Lista de verificación para fortalecer Active Directory

Los controladores de dominio no fallan de forma gradual. Dejar el inicio de sesión interactivo abierto a más que a los Domain Admins, omitir el programa de rotación de krbtgt o permitir que la delegación Kerberos sin restricciones permanezca en una cuenta de servicio no es un cambio de configuración. Es un restablecimiento completo de credenciales en todo el dominio o una intervención de respuesta a incidentes para determinar hasta dónde ha llegado un atacante. Una compromisión de un controlador de dominio no se limita a un solo servidor, y las configuraciones que lo previenen son más difíciles de modificar una vez que las cargas de trabajo de producción dependen diariamente del dominio.

Esta lista de verificación te ofrece un marco técnico y práctico para fortalecer los controladores de dominio de Active Directory y demostrar que el endurecimiento se mantiene con el tiempo. Treinta y un controles en ocho secciones, con la razón detrás de cada uno para que sepas qué falla si lo omites.

Lo que aprenderás

1. Cómo restringir el acceso y la administración del controlador de dominio para que las credenciales nunca lleguen a una estación de trabajo de nivel inferior
2. Por qué Group Policy es donde la configuración de seguridad básica llega a cada controlador de dominio o simplemente no lo hace
3. Cómo inventariar y monitorear cuentas privilegiadas para que un acceso inicial no se convierta en Domain Admin
4. Lo que se necesita para proteger SYSVOL, GPOs y la integridad de los archivos de una sola edición que se propaga a todo su entorno
5. Cómo centralizar la auditoría y el registro para que los registros locales no sean lo primero que un atacante borre
6. Por qué el control de cambios debe separar el parcheo planificado del desvío no planificado antes de poder diferenciarlos
7. Cómo parchear y escanear con una frecuencia que no deje vulnerabilidades conocidas activas en los controladores de dominio de producción
8. Cómo demostrar cumplimiento y resiliencia con evidencia recurrente y una ruta de recuperación probada, no con una auditoría única

Fortalezca antes del lanzamiento, verifique que Group Policy realmente lo aplique y, cuando un auditor solicite evidencia, tendrá una exportación programada en lugar de una prisa.

Si eres responsable de los controladores de dominio de Active Directory, esto te ofrece el punto de partida técnico que la mayoría de los equipos omiten.