Delegación sin restricción y restringida

3 tareas · 40 min · Principiante

La delegación en Kerberos permite a un servicio suplantar la identidad de un usuario para consultar recursos secundarios en su nombre. Cuando se configura sin restricciones, el servidor receptor almacena el TGT del usuario en memoria LSASS, exponiendo a toda la organización. En esta sala se analizan las configuraciones de delegación en Constructora Andes Central.

0 de 3 · 0%

Objetivo de la sala

En la delegación sin restricción (Unconstrained Delegation, marcada con la bandera TRUSTED_FOR_DELEGATION), cada vez que un usuario se autentica contra el servidor, su TGT completo viaja adjunto en el ticket de servicio y se almacena en el proceso LSASS de ese host. Si un atacante compromete dicho servidor y un administrador de dominio se conecta a él, el TGT del administrador puede ser extraído de memoria.

Consulta la tabla delegacion_equipos y localiza el servidor que presenta delegación sin restricción.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla delegacion_equipos, ¿cuál es el nombre del servidor configurado con delegación sin restricción (Unconstrained)?

Ver pista de ayuda

Revisa la fila cuyo tipo_delegacion indica Sin restriccion y copia el valor de equipo.

Para limitar el alcance de la suplantación, Microsoft introdujo la delegación restringida clásica (Kerberos Constrained Delegation - KCD), donde el servidor solo puede solicitar tickets para una lista explícita de SPNs autorizados en el directorio.

Consulta la tabla delegacion_equipos e indica qué atributo de Active Directory contiene la lista de servicios a los que el equipo app01.andescentral.local está autorizado a delegar.

Esta tarea se hace en el laboratorio

Una consola para consultar la base de datos, aquí en la página. No instalas nada y no puedes romper nada.

Conectando con la base…

Responde para continuar

Según la tabla delegacion_equipos, ¿cuál es el atributo clave de Active Directory utilizado para definir la delegación restringida?

Ver pista de ayuda

Observa el valor en la columna atributo_clave para la fila de app01.andescentral.local.

Active Directory proporciona mecanismos de defensa en profundidad para evitar que cuentas sensibles o de altos privilegios puedan ser suplantadas a través de servidores intermediarios, incluso si dichos servidores tienen delegación habilitada.

¿Qué directiva o bandera de cuenta impide que un TGT sea reenviado o delegado por cualquier servicio?

Responde para continuar

¿Qué bandera en las propiedades de una cuenta de Active Directory evita que sus tickets sean delegados por servicios intermedios?

Account is sensitive and cannot be delegated (Cuenta confidencial y no se puede delegar). User cannot change password (El usuario no puede cambiar la contraseña). Smartcard is required for interactive logon (Se requiere tarjeta inteligente para inicio de sesión). Password never expires (La contraseña nunca caduca).

Ver pista de ayuda

Esta opción (NOT_DELEGATED) le indica al KDC que nunca incluya un TGT reenviable en las solicitudes de esa cuenta.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

Conectando con la base…

Constructora Andes Central · Configuración de Delegación Kerberos (datos de ejemplo)

Consola de lectura · salidas guardadas

Tablas

delegacion_equipos

equipo
tipo_delegacion
atributo_clave
servicios_destino
evaluacion_riesgo

Ctrl + Enter

Consola de consultas v1.0 · build b77233

1 Servidor con delegación sin restricción Lab

2 Atributo de delegación restringida Lab

3 Protección de cuentas críticas frente a delegación

Whoami-Labs Pro utiliza cookies