Ciberseguridad y seguridad de la información

Registros de Active Directory: fuentes de información cruciales para la investigación

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre Registros de Active Directory en el campo de Windows e Identity

Respuesta rápida

Los registros de Active Directory requieren la lectura del evento completo y no solo del ID de evento: tiempo, equipo, usuario, ID de inicio de sesión, proceso, fuente de red y contexto organizacional. La conclusión se crea a partir de la correlación de varias fuentes.

La investigación de Windows e Identity se basa en una combinación de eventos de autenticación, creación de procesos, cambios de permisos, telemetría de Sysmon y contexto organizacional. Un solo evento casi nunca proporciona una conclusión completa. Este artículo se centra en los registros de Active Directory y está dirigido a analistas de SOC y estudiantes de Windows Server. El objetivo es proporcionar una metodología de trabajo que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El principal desafío es que los datos casi siempre están incompletos. Los eventos 4768/4769 Kerberos, los fallos 4771, los bloqueos 4740 pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la investigación en torno a una pregunta de investigación, la evidencia necesaria y un criterio claro para su finalización.

El escenario práctico en el artículo es: tabla de casos de uso frente a ID de evento y origen. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de pruebas de penetración, web o nube, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.

Qué sistemas generan telemetría

El tema 'Qué sistemas generan telemetría' es una parte central del trabajo con los registros de Active Directory. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, registre los eventos 4768/4769 Kerberos, los fallos 4771, los bloqueos 4740, los cambios de grupo 4728/4732, el registro del servicio de directorio, compárelos con el comportamiento esperado y defina al menos un pivote. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

Autenticación y Kerberos

En los registros de Active Directory, la identidad y la autorización son dos preguntas diferentes: quién es el cliente y qué se le permite hacer en el recurso. Se revisan los roles, las reclamaciones, las sesiones, la propiedad de objetos y los cambios a lo largo del ciclo de vida, y no es suficiente con que el usuario esté 'conectado'.

Una matriz de prueba incluye un usuario anónimo, un usuario normal, un propietario de objeto, otro usuario y un administrador. Para cada acción, se compara la respuesta y el impacto en el lado del servidor. Un cambio de ID o de encabezado es solo un medio de prueba; la evidencia es que el servidor aprobó o rechazó una acción contraria a la política.

Cambios de cuenta y grupo

El tema 'Cambios de cuenta y grupo' es una parte central del trabajo con los registros de Active Directory. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Servicio de directorio y DNS

El tema 'Servicio de directorio y DNS' es una parte central del trabajo con los registros de Active Directory. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Correlación entre DC y Endpoint

El tema 'Correlación entre DC y Endpoint' es una parte central del trabajo con los registros de Active Directory. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada, qué decisión se quiere tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Puntos de prueba únicos

En este tema, se recomienda construir de antemano un mapa de evidencia enfocado. Los principales puntos de prueba son: 4768/4769 Kerberos, 4771 fallos, 4740 bloqueos, 4728/4732 cambios de grupo, registro del servicio de directorio. La lista no es una lista de verificación automática; cada elemento se selecciona porque puede vincular una entidad, una acción y un tiempo, o explicar un comportamiento legítimo.

4768/4769 Kerberos: defina el valor esperado, qué se consideraría una excepción y qué fuente adicional verificaría el hallazgo.
4771 fallos: defina el valor esperado, qué se consideraría una excepción y qué fuente adicional verificaría el hallazgo.
4740 bloqueos: defina el valor esperado, qué se consideraría una excepción y qué fuente adicional verificaría el hallazgo.
4728/4732 cambios de grupo: defina el valor esperado, qué se consideraría una excepción y qué fuente adicional verificaría el hallazgo.
Registro del servicio de directorio: defina el valor esperado, qué se consideraría una excepción y qué fuente adicional verificaría el hallazgo.

Cuando uno de los focos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el identificador de proceso no es estable, se puede usar el tiempo, el host, el usuario y el padre; si la carga útil está cifrada, se usan metadatos, volumen, frecuencia y contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance y una pregunta de trabajo sobre los registros de Active Directory.
Registre las fuentes de datos y la evidencia necesaria: 4768/4769 Kerberos, 4771 fallos, 4740 bloqueos, 4728/4732 cambios de grupo.
Cree una línea base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Cree una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
Realice un pivote a una fuente adicional para confirmar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y los criterios de repetición de la prueba.

Escenario práctico

El escenario elegido es una tabla de casos de uso frente a ID de evento y origen. El objetivo del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un marco de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe presentar un producto que otro analista o probador pueda revisar: una captura de pantalla o exportación de la evidencia, una línea de tiempo corta, una suposición inicial, evidencia confirmatoria, una limitación y una recomendación. Cuando no hay suficiente evidencia, la conclusión correcta es que el escenario no se probó.

Paso	Qué se realiza	Producto
Preparación	Defina el alcance, el tiempo y el objetivo. Registre qué campos o evidencias de 4768/4769 Kerberos, 4771 fallos, 4740 bloqueos se espera que aparezcan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con los registros de Active Directory, sin información real ni impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Asegúrese de la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia prueba, lo que no prueba y cuál es la posible explicación legítima.	Conclusión intermedia
Finalización	Elija un cierre, escalada, hallazgo o ajuste; añada una recomendación y una nueva prueba.	Producto documentado

Lista de verificación práctica

Verificar y documentar: ID de evento y el proveedor.
Verificar y documentar: Equipo, usuario e ID de inicio de sesión.
Verificar y documentar: Proceso, padre y línea de comandos.
Verificar y documentar: IP de origen, estación de trabajo y tipo de inicio de sesión.
Verificar y documentar: Cambios de grupo/privilegios.
Verificar y documentar: Sysmon ProcessGuid o SessionGuid.
Indicar la zona horaria, la versión de la herramienta y la hora de recopilación.
Guardar los datos brutos antes de filtrar o modificar.
Escribir lo que el hallazgo prueba y lo que aún se desconoce.
Definir el propietario y la acción de seguimiento con la fecha.

Errores comunes

Confiar en el ID de evento sin los campos.
Confundir el inicio de sesión con el origen del ataque.
Ignorar el tipo de inicio de sesión.
Vincular procesos solo por PID.
Suponer que todo PowerShell es malicioso.
Cerrar un evento sin verificar el controlador de dominio.

Resumen y CTA

Los registros de Active Directory: las fuentes de información importantes para la investigación es un tema que conecta el conocimiento técnico con la disciplina laboral. Comience con una pregunta, recopile solo evidencia relevante, conserve el contexto y el tiempo, y elija una acción que pueda justificarse y verificarse nuevamente.

En el curso de Ciberseguridad e IA de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de una cartera de trabajo profesional.

Preguntas frecuentes

¿Los registros de Active Directory por sí solos demuestran un ataque o una debilidad?

No. Proporciona una señal o un hallazgo que necesita contexto, verificación y una fuente adicional. Una conclusión profesional se basa en una secuencia de pruebas y en la conformidad con el comportamiento esperado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se busca una fuente alternativa y se reduce el nivel de confianza. No se deben completar campos por conjetura ni presentar lo desconocido como correcto.

¿Cuánto tiempo se deben conservar las pruebas?

El tiempo depende de la política, la regulación, el costo y el tipo de evento. Es importante definir de antemano la retención, la retención legal y la capacidad de exportar pruebas en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Utilizando máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En las pruebas autorizadas, se definen el alcance, las condiciones de detención y la copia de seguridad antes de comenzar el trabajo.