Explorando el Directorio Activo (AD): Bootcamp de ataques en RootedCON 2025

17 de febrero de 2025 Celia Catalán

El Directorio Activo (AD) es una pieza clave en la infraestructura de numerosas organizaciones, gestionando la autenticación, autorización y políticas de seguridad en entornos Windows. Debido a su relevancia, se ha convertido en un objetivo principal para atacantes que buscan comprometer sistemas corporativos. Para abordar esta problemática, Alex Amorín y Axel Losantos han diseñado el Bootcamp de Ataques al Directorio Activo, una formación intensiva que combina teoría y práctica para capacitar a profesionales en la identificación y mitigación de vulnerabilidades en AD.

Sobre los instructores

Alex Amorín es el responsable de Pentesting y Red Team en Zerolynx. Es Ingeniero Informático por la Universidad de Burgos y posee un Máster en Seguridad de las TIC por la Universidad Europea. Su trayectoria profesional está respaldada por certificaciones de alto prestigio en seguridad ofensiva, incluyendo OSCP, OSWP, OSWE, OSEP, OSED, CRTO, CRTL y OSCE3. Además, ha contribuido significativamente al campo de la ciberseguridad con más de 25 CVE (Common Vulnerabilities and Exposures) publicadas, evidenciando su compromiso con la investigación y divulgación de vulnerabilidades.

Axel Losantos, por su parte, es Pentester y Operador de Red Team con más de cinco años de experiencia en ciberseguridad. Ha participado en proyectos internacionales en sectores como el bancario, farmacéutico, seguros y administración pública. Es Técnico Superior en Desarrollo de Aplicaciones Multiplataforma, posee un Grado en Ingeniería Informática y un Máster en Ciberseguridad por la UNIR. Axel cuenta con certificaciones destacadas en seguridad ofensiva, tales como OSCP, OSEP, OSWE, CRTO, CRTL, CRTP, CRTE, CARTP, CARTE, ARTE, eCPPTv2 y CHMRTS, reflejando su dedicación al aprendizaje continuo y especialización en técnicas avanzadas de ataque y defensa.

Contenido del bootcamp

El Bootcamp de Ataques al Directorio Activo está estructurado para proporcionar una comprensión profunda y práctica sobre cómo auditar y explotar entornos de AD. A lo largo de varias sesiones, los participantes explorarán desde conceptos básicos hasta técnicas avanzadas de ataque y defensa. A continuación, se detallan las principales áreas de enfoque:

1. Introducción y configuración del entorno

Sesión 0: Preparación del entorno de laboratorio, asegurando que todos los participantes cuenten con las herramientas y configuraciones necesarias para las prácticas.

2. Fundamentos de Active Directory y reconocimiento

Sesión 1: Se abordan los conceptos esenciales de AD, incluyendo su estructura lógica y física, y los protocolos clave como LDAP. Además, se introduce la "kill chain" en el contexto de AD, destacando las etapas que un atacante sigue para comprometer el sistema.

3. Enumeración de Active Directory

Sesión 2: Uso de PowerShell y consultas LDAP para extraer información crítica sobre usuarios, grupos y configuraciones del dominio.

Sesión 3: Implementación de herramientas avanzadas como BloodHound y SharpHound para mapear relaciones de confianza y posibles rutas de escalada de privilegios. Se complementa con técnicas manuales de enumeración y uso de herramientas nativas de Windows.

4. Explotación de vulnerabilidades en AD

Sesión 4: Análisis y explotación de vulnerabilidades conocidas en entornos de AD, tales como Kerberoasting, ASREP-Roasting, ZeroLogon, entre otras. Se enfatiza en cómo estas vulnerabilidades pueden ser utilizadas para obtener acceso no autorizado y escalar privilegios.

5. Abuso de configuraciones inseguras

Sesión 5: Identificación y explotación de configuraciones erróneas, como permisos excesivos en ACLs, implementación incorrecta de LAPS y gMSA, y delegaciones mal configuradas.

6. Técnicas avanzadas de ataque y persistencia

Sesión 6: Exploración de ataques avanzados, incluyendo aquellos dirigidos a la infraestructura de certificados (ADCS) y técnicas de persistencia como la modificación de GPOs y creación de cuentas con privilegios elevados ocultas.

Objetivos del bootcamp

Al finalizar el bootcamp, los participantes estarán capacitados para:

Identificar y Explorar Vulnerabilidades: Reconocer configuraciones inseguras y vulnerabilidades en entornos de AD.

Implementar Técnicas de Explotación: Aplicar métodos para comprometer sistemas y escalar privilegios de manera controlada.

Realizar Movimientos Laterales: Desplazarse dentro de la red para acceder a recursos adicionales y expandir el alcance del compromiso.

Establecer Persistencia: Implementar técnicas que permitan mantener el acceso al sistema comprometido a lo largo del tiempo.

Fortalecer la Seguridad de AD: Aplicar contramedidas y mejores prácticas para proteger el entorno de AD contra posibles ataques.

¿A quién está dirigido?

Este bootcamp está diseñado para:

Profesionales de Ciberseguridad: Aquellos que buscan profundizar sus conocimientos en ataques y defensas específicas de AD.

Administradores de Sistemas: Personal encargado de la gestión y seguridad de entornos Windows que desean comprender las posibles amenazas y cómo mitigarlas.

Analistas y Auditores de Seguridad: Profesionales responsables de evaluar la seguridad de infraestructuras y garantizar el cumplimiento de políticas de seguridad.