← Volver al blog 
2 min es
Active Directory: los primeros diez cambios en cualquier dominio nuevo
Antes de tocar GPOs avanzadas, hay una lista corta que reviso siempre en un dominio de Active Directory nuevo. La mayoría llevan mal configuradas desde la instalación y nadie las vuelve a mirar.
- active-directory
- hardening
- windows-server
- sysadmin
Cuando heredo un dominio de Active Directory que no monté yo, hay una lista rápida que reviso antes que nada, antes de meterme en GPOs complejas. Son los fallos más comunes, los más baratos de arreglar, y con más impacto real si se explotan.
Cuentas y privilegios
- Contraseñas de cuentas privilegiadas que no caducan. Sorprendentemente común, incluso en administradores de dominio. Se revisa en un minuto con PowerShell.
- Demasiada gente en Domain Admins. El grupo debería tener el mínimo posible, y ninguna de esas cuentas debería usarse para el día a día.
- Cuentas de servicio con privilegios de más. Se crean "temporalmente" con permisos de administrador de dominio para instalar algo, y ahí se quedan.
Configuración que se hereda mal
- Delegación de Kerberos sin restricciones. Es una de las rutas de escalada de privilegios más explotadas en AD real. Migrar a delegación restringida siempre que se pueda.
- Política de contraseñas por defecto. Sigue sin exigir una longitud mínima competitiva. Subir a 14 caracteres o más.
- LAPS sin desplegar. Si el administrador local comparte contraseña en todos los equipos, un solo equipo comprometido da acceso lateral a todos los demás. Es gratuito y lleva años siendo casi un estándar.
- SMBv1 todavía activo "por si acaso". Años después de que dejara de ser defendible, sigue apareciendo.
Visibilidad y recuperación
- Auditoría avanzada sin activar. Sin registro de cambios de grupo y autenticaciones fallidas, cualquier investigación empieza a ciegas.
- Grupos anidados sin documentar. Varios niveles de anidamiento acaban dando accesos que nadie recuerda haber concedido.
- Sin plan de recuperación del propio AD probado de verdad. Si el dominio cae, todo lo demás cae con él. Es la pieza que menos se puede permitir fallar en silencio.
Ninguno de estos diez puntos necesita presupuesto ni herramientas de terceros: es configuración nativa de Windows Server. Es exactamente el tipo de deuda que se acumula porque "funciona así desde siempre", hasta que aparece en una auditoría o, peor, en un incidente real.
