Ciberseguridad y seguridad de la información

Investigación de escalada de privilegios en Windows mediante registros

7 min de lecturaPublicado: 5 de agosto de 2026

Ilustración visual profesional sobre la investigación de escalada de privilegios en Windows en el campo de Windows e identidad

Respuesta rápida

La investigación de escalada de privilegios en Windows requiere leer el evento completo y no solo el ID de Evento: tiempo, ordenador, usuario, ID de inicio de sesión, proceso, origen de red y contexto organizacional. La conclusión se forma correlacionando varias fuentes.

La investigación de Windows e identidad se basa en una combinación de eventos de autenticación, creación de procesos, cambios de permisos, telemetría de Sysmon y contexto organizacional. Un solo evento casi nunca proporciona una conclusión completa. Este artículo se centra en la investigación de escalada de privilegios en Windows y está dirigido a analistas de SOC e investigadores de Endpoint. El objetivo es proporcionar una metodología de trabajo que pueda aplicarse en la práctica, en una entrevista profesional y en un entorno de trabajo, sin limitarse a una definición de diccionario.

El principal desafío es que los datos casi siempre están incompletos. Los privilegios especiales 4672, los cambios de membresía de grupo, la creación de servicios/tareas pueden indicar una dirección, pero su significado depende del tiempo, el activo, el usuario y la actividad esperada. Por lo tanto, construiremos la prueba en torno a una pregunta de investigación, la evidencia requerida y un criterio claro para su finalización.

El escenario práctico en el artículo es: un escenario en el que un usuario normal obtiene permisos locales. Todos los ejemplos son datos de laboratorio o descripción de procesos. Cuando se trata de Penetration Testing, Web o Cloud, solo se debe trabajar con autorización explícita, un alcance definido y la capacidad de detener la prueba.

Qué se considera Escalada

El tema 'Qué se considera Escalada' es una parte central del trabajo sobre la investigación de escalada de privilegios en Windows. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

En la práctica, registre los privilegios especiales 4672, los cambios de membresía de grupo, la creación de servicios/tareas, UAC/elevación, el linaje del proceso, compárelo con el comportamiento esperado y defina al menos un Pivot. El resultado debe ser verificable por otro analista, incluidas las limitaciones y los pasos siguientes.

Cambios de usuarios y grupos

El tema 'Cambios de usuarios y grupos' es una parte central del trabajo sobre la investigación de escalada de privilegios en Windows. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Servicios y tareas programadas

El tema 'Servicios y tareas programadas' es una parte central del trabajo sobre la investigación de escalada de privilegios en Windows. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Integridad de procesos y tokens

El tema 'Integridad de procesos y tokens' es una parte central del trabajo sobre la investigación de escalada de privilegios en Windows. Se recomienda desglosarlo en tres preguntas: ¿Cuál es la entrada, qué decisión se desea tomar y qué evidencia es suficiente para justificarla? Estas preguntas evitan el uso automático de una herramienta sin comprender el objetivo.

Contención y recopilación de pruebas

En esta etapa se define qué pruebas son necesarias para responder a la pregunta de investigación. Para la investigación de escalada de privilegios en Windows, los puntos base son el ID de Evento y el Proveedor, el Equipo, el Usuario y el ID de inicio de sesión, el Proceso, el Padre y la Línea de comandos, la IP de origen, la Estación de trabajo y el Tipo de inicio de sesión. Para cada fuente se documentan el propietario, el período de retención, la zona horaria, el retraso de recepción y los campos que podrían faltar.

La calidad de la recopilación no se mide por el hecho de que el registro 'llega'. Se debe verificar la integridad, la latencia, el análisis, los eventos duplicados y la sincronización horaria. Una prueba Canary o un evento de laboratorio conocido permite verificar que la acción apareció en la fuente, pasó por el Pipeline y se puede buscar en los campos correctos.

Puntos de prueba únicos

En este tema se recomienda construir un mapa de evidencia enfocado de antemano. Los principales puntos de prueba son: privilegios especiales 4672, cambios de membresía de grupo, creación de servicios/tareas, UAC/elevación, linaje del proceso. La lista no es una lista de verificación automática; cada elemento se elige porque puede vincular una entidad, una acción y un tiempo o explicar un comportamiento legítimo.

4672 privilegios especiales: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente verificará el hallazgo.
Cambios de membresía de grupo: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente verificará el hallazgo.
Creación de servicios/tareas: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente verificará el hallazgo.
UAC/elevación: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente verificará el hallazgo.
Linaje del proceso: Defina cuál es el valor esperado, qué se considerará anómalo y qué otra fuente verificará el hallazgo.

Cuando uno de los puntos principales no está disponible, se debe documentar la brecha y elegir una alternativa. Por ejemplo, si el identificador de proceso no es estable, se puede utilizar el tiempo, el Host, el Usuario y el Padre; si el Payload está cifrado, se utilizan los metadatos, el volumen, la frecuencia y el contexto TLS/DNS.

Proceso de trabajo recomendado

Defina el alcance y una pregunta de trabajo sobre la investigación de escalada de privilegios en Windows.
Registre las fuentes de datos y las pruebas necesarias: 4672 privilegios especiales, cambios de membresía de grupo, creación de servicios/tareas, UAC/elevación.
Cree una línea base corta de comportamiento normal o resultado esperado.
Realice la prueba mínima en un entorno de laboratorio y guarde el tiempo, la entrada y la salida.
Construya una línea de tiempo o una tabla de comparación y separe los hechos de la interpretación.
Realice un Pivot a una fuente adicional para verificar o refutar la explicación inicial.
Resuma la decisión, las limitaciones, la acción recomendada y el criterio de Retest.

Escenario práctico

El escenario elegido es un escenario en el que un usuario normal obtiene privilegios locales. El objetivo del ejercicio no es demostrar la capacidad de ataque, sino practicar la recopilación, comparación y documentación de forma segura. Antes de comenzar el trabajo, se definen datos simulados, una ventana de tiempo y un resultado esperado.

Al final del ejercicio, se debe entregar un producto que otro analista o evaluador pueda revisar: una captura de pantalla o una exportación de la evidencia, una línea de tiempo corta, una hipótesis inicial, evidencia de verificación, una limitación y una recomendación. Cuando no hay evidencia suficiente, la conclusión correcta es que el escenario no ha sido probado.

Etapa	Qué se ejecuta	Producto
Preparación	Defina el alcance, el tiempo y el objetivo. Registre qué campos o pruebas de los privilegios especiales 4672, los cambios de membresía de grupo, la creación de servicios/tareas se espera que aparezcan.	Plan de prueba breve
Creación de datos	Realice una acción segura y simulada relacionada con la investigación de escalada de privilegios en Windows, sin información real ni impacto en un sistema de producción.	Evento/Solicitud/Flujo controlado
Recopilación	Recopile la evidencia bruta y el contexto de una fuente adicional. Verifique la zona horaria, los identificadores y la integridad.	Dos pruebas vinculadas
Análisis	Escriba qué prueba demuestra, qué no demuestra y cuál es la posible explicación legítima.	Conclusión provisional
Finalización	Elija un cierre, escalada, hallazgo o ajuste; añada una recomendación y una nueva prueba.	Producto documentado

Lista de verificación práctica

Verifique y documente: ID de Evento y Proveedor.
Verifique y documente: Equipo, Usuario y ID de inicio de sesión.
Verifique y documente: Proceso, Padre y Línea de comandos.
Verifique y documente: IP de origen, Estación de trabajo y Tipo de inicio de sesión.
Verifique y documente: Cambios de grupo/privilegios.
Verifique y documente: Sysmon ProcessGuid o SessionGuid.
Indique la zona horaria, la versión de la herramienta y la hora de recopilación.
Guarde el dato bruto antes de filtrar o modificar.
Escriba lo que demuestra el hallazgo y lo que aún se desconoce.
Defina el propietario y la acción de seguimiento con una fecha límite.

Errores comunes

Depender del ID de Evento sin campos.
Confundir el inicio de sesión con el origen del ataque.
Ignorar el Tipo de inicio de sesión.
Vincular Procesos solo por PID.
Asumir que todo PowerShell es malicioso.
Cerrar un evento sin verificar el controlador de dominio.

Resumen y CTA

La investigación de escalada de privilegios en Windows mediante registros es un tema que combina conocimientos técnicos con disciplina de trabajo. Comience con una pregunta, recopile solo evidencia relevante, mantenga el contexto y el tiempo, y elija una acción que pueda justificarse y volverse a probar.

En el curso Cybersecurity & AI de HPI se practican estos principios mediante sistemas, registros y laboratorios. Un paso natural es pasar a los artículos vinculados, realizar el ejercicio de laboratorio y guardar el producto como parte de un portafolio profesional.

Preguntas frecuentes

¿La investigación de escalada de privilegios en Windows por sí sola demuestra un ataque o una debilidad?

No. Proporciona una señal o un hallazgo que necesita contexto, verificación y una fuente adicional. Una conclusión profesional se basa en una secuencia de pruebas y en la adaptación al comportamiento esperado.

¿Qué se hace cuando faltan algunos datos?

Se documenta lo que falta, se busca una fuente alternativa y se reduce el nivel de confianza. No se deben completar campos por conjetura ni presentar lo desconocido como correcto.

¿Cuánto tiempo se deben conservar las pruebas?

El tiempo depende de la política, la regulación, el coste y el tipo de evento. Es importante definir de antemano la retención, la retención legal y la capacidad de exportar pruebas en un formato que se pueda verificar.

¿Cómo se practica sin poner en riesgo un sistema real?

Se utilizan máquinas virtuales, datos simulados, CTF o un laboratorio dedicado. En pruebas autorizadas, se definen el alcance, las condiciones de parada y la copia de seguridad antes de comenzar el trabajo.