Enumeración de dominio desde dentro

Un dominio de Windows guarda en un único sitio quién es cada persona, qué máquina usa, a qué grupos pertenece y qué permisos tiene cada objeto. Lo que sorprende a quien nunca lo vio desde dentro es que la mayoría de esa información la puede leer cualquier cuenta autenticada, incluida una sin ningún privilegio especial: es el comportamiento normal del directorio, pensado para que las aplicaciones y los propios usuarios puedan consultar el directorio del que dependen. Para el evaluador autorizado, esto significa que el primer acceso de bajo privilegio ya es un punto de partida real, no un callejón sin salida.

En Cuenca Minerales, el alcance firmado incluye una cuenta de dominio de prueba sin privilegios, entregada por el cliente para simular el punto de partida de un empleado comprometido o de un atacante que ya tiene un pie dentro. El primer paso no es buscar un exploit: es leer lo que el directorio ya cuenta con esa cuenta.

Enumerar no es sacar una lista de nombres: es entender las relaciones. Un usuario pertenece a uno o más grupos, un grupo puede pertenecer a otro grupo, y los permisos reales de una cuenta son la suma de todos los grupos de esa cadena, no solo el grupo que aparece primero en su ficha. Leer «pertenece a Operadores-Planta» sin seguir a qué pertenece ese grupo a su vez es quedarse con la mitad de la historia.

En el volcado de Cuenca Minerales hay una cuenta cuya ficha dice que pertenece a un grupo de apariencia inocua, y ese grupo pertenece a otro con permisos administrativos sobre un servidor. La membresía efectiva no es la que aparece en la primera línea.

Las unidades organizativas (OU) agrupan objetos por función, sede o criticidad, y esa organización —o su ausencia— ya dice algo del dominio. Una OU llamada «Servidores de Producción» con delegación de permisos abierta a un grupo demasiado amplio es un hallazgo antes de mirar un solo permiso individual: alguien decidió juntar lo más sensible y luego lo dejó accesible a más gente de la necesaria.

Un dominio con años de uso acumula cientos de cuentas, grupos y equipos, y la mayoría no aporta nada al engagement. El criterio no es volcarlo todo al informe: es filtrar por lo que conecta con el objetivo del encargo —en este caso, qué cuentas y grupos tocan los sistemas de control industrial (SCADA) de la minera, que es el activo que el cliente marcó como crítico en el alcance—.