Ciberseguridad y seguridad de la información

Active Directory Penetration Testing: Guía de pruebas y defensa

6 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre Active Directory Penetration Testing en el campo de las pruebas de penetración

Respuesta rápida

Active Directory Penetration Testing debe realizarse únicamente dentro de un alcance y reglas de compromiso aprobados. El proceso incluye recopilación de información, verificación controlada, evidencia, evaluación de riesgos, remediación y retest.

Una prueba de penetración profesional es un proceso autorizado y definido, no una colección de comandos. El alcance, las reglas de compromiso, las evidencias, la evaluación de riesgos, la remediación y el retest son una parte integral del trabajo. Este artículo se centra en Active Directory Penetration Testing y está dirigido a estudiantes de PT y especialistas en Windows Security. El objetivo es proporcionar una metodología que se pueda aplicar en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El desafío principal es que los datos son casi siempre parciales. Los trusts, la delegación y las ACLs pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para su finalización.

El escenario práctico en el artículo es: la construcción de una lista de verificación para un dominio de laboratorio. Todos los ejemplos son datos de laboratorio o descripciones de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.

Alcance y Arquitectura

El proceso de Active Directory Penetration Testing se construye por fases con puntos de parada. Se define un objetivo, alcance, fuentes, acciones permitidas, evidencia requerida, roles y un criterio de finalización. En entornos ofensivos se añaden condiciones de parada y un canal de emergencia.

Cada etapa debe tener una salida clara: un mapa de activos, una línea de tiempo, un hallazgo, una regla, un playbook o un informe. El paso a la siguiente etapa solo se realiza cuando la salida es suficiente y confiable; así se evita el trabajo aleatorio o la expansión del alcance sin autorización.

Mapeo de Identidad y Privilegios

El tema 'Mapeo de Identidad y Privilegios' es una parte central del trabajo en Active Directory Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de la herramienta sin comprender el objetivo.

En la práctica, registre los trusts, la delegación, las ACLs, las cuentas de servicio, la clasificación por niveles (tiering), compare con el comportamiento esperado y defina al menos un pivote. El resultado debe ser verificable por otro analista, incluyendo limitaciones y próximos pasos.

Kerberos y Cuentas de servicio

El tema 'Kerberos y Cuentas de servicio' es una parte central del trabajo en Active Directory Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de la herramienta sin comprender el objetivo.

Delegación, GPO y Trusts

El tema 'Delegación, GPO y Trusts' es una parte central del trabajo en Active Directory Penetration Testing. Se recomienda dividirlo en tres preguntas: ¿Cuál es la entrada?, ¿Qué decisión se quiere tomar? y ¿Qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de la herramienta sin comprender el objetivo.

Hallazgos, Detección y Remediación

La respuesta al Active Directory Penetration Testing debe reducir el riesgo sin eliminar la evidencia que aún se necesita. Comience con una acción reversible y enfocada, confirme la propiedad y la autoridad, y documente el tiempo, el ejecutante y el resultado.

Una remediación a largo plazo aborda la raíz: permisos, configuración, validación, telemetría, proceso o capacitación. Después de la implementación, realice una nueva prueba y monitoree las señales de recurrencia, en lugar de limitarse a cerrar un ticket.

Puntos de prueba únicos

En este tema, se recomienda construir de antemano un mapa de evidencias enfocado. Los principales puntos de prueba son: trusts, delegación, ACLs, cuentas de servicio, tiering, rutas de ataque. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo, o explicar un comportamiento legítimo.

trusts: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.
delegation: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.
ACLs: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.
service accounts: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.
tiering: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.
attack paths: Defina cuál es el valor esperado, qué se consideraría una anomalía y qué fuente adicional verificará el hallazgo.

Cuando uno de los focos no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si un identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el User y el Parent; si la carga útil está cifrada, se utilizan los metadatos, el volumen, la frecuencia y el contexto de TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance y una pregunta de trabajo sobre Active Directory Penetration Testing.
Registre las fuentes de datos y la evidencia necesaria: trusts, delegación, ACLs, cuentas de servicio.
Cree una línea base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Construya una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
Realice un pivote a una fuente adicional para confirmar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es la construcción de una Checklist para un dominio de laboratorio. El objetivo del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, un marco de tiempo y un resultado esperado.

Al finalizar el ejercicio, se debe entregar un producto que otro analista o probador pueda revisar: una captura de pantalla o Export de la evidencia, una breve línea de tiempo, una hipótesis inicial, una evidencia que la confirme, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Fase	Qué se realiza	Producto
Preparación	Defina el alcance, el tiempo y el objetivo. Registre qué campos o evidencias de trusts, delegation, ACLs se esperan.	Plan de prueba corto
Creación de datos	Realice una acción segura y simulada relacionada con Active Directory Penetration Testing, sin información real o impacto en un sistema de producción.	Evento/Request/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Asegúrese de la zona horaria, los identificadores y la integridad.	Dos evidencias vinculadas
Análisis	Escriba lo que cada evidencia prueba, lo que no prueba y cuál es la explicación legítima posible.	Conclusión intermedia
Finalización	Elija un cierre, una escalada, un hallazgo o un ajuste; añada una recomendación y un Retest.	Producto documentado

Lista de verificación práctica

Verifique y documente: Alcance y ROE.
Verifique y documente: Hora de la prueba y fuente.
Verifique y documente: Request/Response o salida de la herramienta.
Verifique y documente: Impacto probado en el laboratorio.
Verifique y documente: Calificación de riesgo.
Verifique y documente: Remediación y Retest.
Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
Guarde los datos brutos antes de filtrar o modificar.
Escriba lo que el hallazgo prueba y lo que aún se desconoce.
Defina el propietario y la acción de seguimiento con fecha.

Errores comunes

Iniciar una prueba sin un alcance firmado.
Usar un exploit agresivo como predeterminado.
No guardar la Evidencia.
Reportar solo CVSS sin contexto.
No proponer una remediación aplicable.
No realizar Retest.

Resumen y CTA

Active Directory Penetration Testing: Guía de pruebas y defensa es un tema que conecta el conocimiento técnico con la disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que pueda justificar y volver a probar.

En el programa Cybersecurity & AI de HPI, estos principios se practican utilizando sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de una cartera de trabajo profesional.

Preguntas frecuentes

¿Está permitido realizar Active Directory Penetration Testing en un sitio público?

No sin la autorización explícita del propietario del sistema. Incluso una prueba que parezca sencilla puede cambiar datos, activar mecanismos de defensa o considerarse acceso no autorizado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se comprueba una fuente alternativa y se reduce el nivel de confianza. No se deben completar campos con suposiciones ni presentar "Unknown" como correcto.

¿Cuánto tiempo se debe conservar la evidencia?

El tiempo depende de la política, la regulación, el coste y el tipo de incidente. Es importante definir de antemano la retención, la retención legal (Legal hold) y la capacidad de exportar la evidencia en un formato verificable.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En las pruebas autorizadas, se definen el alcance, las condiciones de parada y la copia de seguridad antes de comenzar el trabajo.