Cómo se sincronizan las identidades y con qué cuenta

Una sincronización de directorio tiene tres piezas: un servidor que ejecuta el agente, una cuenta en el directorio local que lee (y a veces escribe) los objetos, y una cuenta en el inquilino de la nube que escribe allí lo que llega. La dirección normal del flujo es de la sede hacia la nube; algunas funciones añaden un camino de vuelta, como la devolución de cambios de clave.

Lo que hace interesante esta pieza para un evaluador es el permiso de la cuenta local. Cuando la empresa elige el método que envía al inquilino una huella de la contraseña de cada persona, esa cuenta necesita leer los cambios de todo el directorio, incluido el material de contraseñas: el mismo privilegio que usa un controlador de dominio para hablar con otro. El catálogo público de técnicas de MITRE lo recoge con el nombre de volcado de credenciales mediante replicación del directorio (T1003.006), y el de modificación del proceso de autenticación tiene una variante dedicada a la identidad híbrida (T1556.007). Por eso el servidor del agente se trata como un controlador de dominio, no como un servidor cualquiera.

Las cuentas de la sincronización no son intercambiables: una vive en la sede y otra vive arriba. La que vive en el inquilino lleva un rol propio, pensado para esa única función, y no se administra desde el directorio local. Saber cuál es importa porque, si alguien la obtiene, lo que consigue no está en la sede: está en la nube.

Abre el laboratorio y mira dónde vive cada cuenta.

Una organización puede declarar niveles de protección y aun así colocar mal una pieza. Un servidor que ejecuta el agente —aunque esté en espera y solo trabaje si el principal falla— tiene las mismas cuentas y los mismos permisos que el activo. Si quien lo administra no es el mismo grupo que administra un controlador de dominio, la protección del nivel más alto no existe en la práctica: existe en el documento.

Vuelve al laboratorio y cruza el papel de cada servidor con su nivel declarado.

En el informe no se escribe «hay cuentas con muchos permisos». Se escribe cuántas cuentas de la evidencia alcanzan el permiso que permite leer los cambios completos del directorio, y se nombran. Ese número es lo que convierte el párrafo en un hallazgo medible.

Ya tienes el servidor fuera de su nivel. Falta decidir cómo se redacta. Lo que no se vio no se escribe, y lo que se vio se escribe con la condición que lo convierte en impacto: quién tendría que llegar hasta ahí y qué conseguiría.