Un controlador de dominio es un servidor con Active Directory Domain Services que autentica usuarios y equipos, almacena sus cuentas y aplica las políticas de seguridad en un dominio de Windows.
Cómo funciona un controlador de dominio
Un controlador de dominio (DC) guarda una copia de la base de datos de Active Directory, el archivo NTDS.dit, con todas las cuentas de usuarios, grupos y equipos y los hashes de sus contraseñas. Actúa como Centro de Distribución de Claves para Kerberos, responde a consultas LDAP, distribuye las directivas de grupo y replica los cambios en los demás controladores de dominio. Las organizaciones grandes mantienen varios DC por redundancia.
Por qué los controladores de dominio son un objetivo prioritario
Controlar un controlador de dominio significa controlar todas las cuentas y equipos del dominio, por eso los atacantes van a por él durante el movimiento lateral. Técnicas habituales:
- DCSync (MITRE ATT&CK T1003.006): abusar de los permisos de replicación para pedir los hashes de contraseña de cualquier cuenta, incluida krbtgt.
- Robo de NTDS.dit (T1003.003): copiar la base de datos con herramientas como ntdsutil o mediante instantáneas de volumen.
- Ataques Golden Ticket: falsificar tickets de Kerberos con el hash robado de krbtgt.
- Explotación de vulnerabilidades: Zerologon (CVE-2020-1472) permitía a un atacante en la red tomar el control de un DC sin ninguna credencial.
Una vez dentro, los operadores de ransomware suelen usar las directivas de grupo del controlador de dominio para desplegar su cifrador en todos los equipos al mismo tiempo.
Cómo proteger los controladores de dominio
- Parchear los DC sin demora y no ejecutar otras aplicaciones en ellos.
- Reducir al mínimo los Domain Admins y aplicar un modelo de administración por niveles con estaciones de trabajo dedicadas.
- Vigilar las solicitudes de replicación procedentes de sistemas que no son DC y otros eventos sospechosos.
- Hacer copias de seguridad de Active Directory sin conexión y practicar la recuperación del bosque.
