Restablecer secretos del dominio: orden y riesgos

5 tareas · 40 min · Principiante

Cuando un atacante pudo leer o usar los secretos de un dominio, cambiarlos es parte de la recuperación, pero el orden importa y cada cambio rompe algo. En esta sala revisas el borrador de plan que dejó un analista junior en Surcos Agroinsumos: qué secretos hay, qué ocurre al cambiar cada uno, qué paso está mal y qué controlador no está listo. No se cambia nada: se lee, se ordena y se justifica. Solo lectura de documentos ficticios.

0 de 5 · 0%

Objetivo de la sala

La cuenta krbtgt es la cuenta con la que los controladores firman los tickets de autenticación del dominio. Quien conoce su secreto puede hacerse pasar por cualquier cuenta mientras ese secreto siga siendo válido. Por eso, tras una intrusión seria, se restablece su contraseña.

El detalle que no se ve es que el dominio guarda dos contraseñas de esa cuenta: la actual y la anterior, para que los tickets recién emitidos no dejen de funcionar de golpe. La documentación pública de Microsoft sobre la recuperación de un bosque pide restablecerla dos veces precisamente por eso.

Responde para continuar

¿Por qué se restablece dos veces la contraseña de krbtgt?

Un solo cambio deja válida la contraseña anterior, y hay que desplazarla también Porque el primer cambio solo se aplica en el controlador donde se hizo, no en los demás de la red Porque Windows exige un cambio de prueba y otro definitivo antes de aceptarlo

Ver pista de ayuda

Piensa en que se guardan dos contraseñas, no una.

Abre plan-propuesto.txt junto con inventario-de-secretos.csv. El plan tiene seis pasos; cada uno debe mover un secreto o preservar evidencia, y ninguno debe dar por cerrado algo que la guía no cierra. Busca el que declara terminado un cambio que, según lo que acabas de leer, queda a medias.

Responde para continuar

¿Qué paso del plan (P1 a P6) dejaría un secreto a medias? Escribe solo su identificador.

Ver pista de ayuda

Lee el verbo del paso, no solo el nombre del secreto.

Un restablecimiento de krbtgt se replica entre controladores. Si uno de ellos no replica, no recibirá el cambio: seguirá aceptando tickets con el secreto antiguo, o rechazando los nuevos, según el caso. Antes de restablecer hay que saber qué controladores están al día, y decidir qué hacer con los que no: repararlos, aislarlos o apartarlos hasta resolver el problema.

Lee replicacion-resumen.txt.

Responde para continuar

¿Qué controlador tiene la replicación atrasada? Escribe su nombre tal cual.

Ver pista de ayuda

Solo uno aparece como fallido.

Un doble restablecimiento seguido, con los controladores al día, invalida todos los tickets que ya se habían emitido. Las personas y los servicios tienen que autenticarse otra vez y algunos servicios no lo harán solos: se quedarán parados hasta que alguien intervenga. En una brecha confirmada ese coste se acepta; en un mantenimiento de rutina se evita esperando entre un cambio y el otro.

Responde para continuar

¿Qué efecto práctico tiene restablecer krbtgt dos veces seguidas?

Se restablecen además las contraseñas de todos los usuarios y equipos del dominio Los tickets ya emitidos dejan de valer y todos deben autenticarse de nuevo Solo se cierran las sesiones de los administradores, el resto no lo nota

Ver pista de ayuda

Los tickets están firmados con ese secreto.

Cuando no hay brecha y el restablecimiento es mantenimiento, la documentación pública de Microsoft recomienda esperar, entre el primer cambio y el segundo, al menos la vida máxima de un ticket de usuario, para que los tickets vigentes expiren sin cortarse. En una brecha se hace en rápida sucesión.

La política del dominio está en politica-de-tickets.txt.

Responde para continuar

En una rotación de rutina en Surcos, ¿cuántas horas como mínimo se espera entre los dos cambios? Escribe solo el número.

Ver pista de ayuda

Es la vida máxima del ticket de usuario según la política.

Inicia sesión para registrar tus puntos y progreso en el ranking.

Entrar · Registrarse

1 Por qué dos veces Lab

2 El paso del plan que no cierra Lab

3 El controlador que no está listo Lab

4 El efecto del doble restablecimiento Lab

5 Cuánto esperar en una rotación de rutina Lab

Whoami-Labs Pro utiliza cookies