Pentest de red interna y Active Directory: ¿qué obtiene la empresa?

Un pentest de red interna y Active Directory muestra hasta dónde llega un atacante que ya está dentro: basta un portátil infectado o la contraseña de un empleado. La empresa recibe una lista de puntos débiles concretos en su red de oficina y su dominio Windows, una valoración de a qué puede llevar cada uno y un orden de correcciones, la mayoría con herramientas propias de Microsoft.

Active Directory (AD) es el servicio de Windows que guarda todas las cuentas de la empresa, los grupos, los permisos y las reglas de los equipos. Con él los empleados entran en sus ordenadores, el correo, los servidores de archivos y la contabilidad. Quien controla AD controla, en la práctica, toda la informática de la oficina. A continuación explico, para el dueño y el responsable de IT, qué se revisa, qué riesgos son típicos, cómo se suelen corregir y qué preparar antes de empezar. El formato general del trabajo está en la página de pentest.

En resumen

• Para qué. La defensa del perímetro tarde o temprano deja pasar a alguien: por phishing, un portátil infectado o una contraseña robada. El pentest interno muestra qué pasa después.
• Qué se revisa. Cuentas de administrador de sobra u olvidadas, la misma contraseña de administrador local en todas partes, protocolos antiguos como NTLM, una red plana sin segmentar, contraseñas de cuentas de servicio, la configuración de los servicios de certificados y el vínculo entre AD y Microsoft Entra ID.
• Cómo se corrige. Sobre todo con herramientas gratuitas de Microsoft: Windows LAPS, firma SMB, cuentas de servicio administradas, el modelo de niveles de acceso.
• Qué aporta el cliente. Alcance, permiso por escrito y reglas de actuación, un portátil de pruebas o VPN, una cuenta de empleado estándar, contactos y copias de seguridad recientes.
• Qué recibes. Un informe con resumen para la dirección, hallazgos, impacto en el negocio y plan de corrección, y después un retest si está acordado.

Por qué importa la red interna

Muchas empresas invierten en el perímetro: cortafuegos, filtro de correo, antivirus. Pero basta una persona que abre un archivo malicioso, o una contraseña filtrada de otro servicio, y el atacante está dentro con los permisos de un empleado normal. MITRE ATT&CK, la base de conocimiento de técnicas de ataque más usada, recoge el uso de cuentas reales como técnica propia, T1078 Valid Accounts. ^[7]

Lo que pasa después depende de cómo esté configurada la red interna. Si hay decenas de cuentas de administrador, las contraseñas de administrador local son iguales y contabilidad está en la misma red que los servidores, el camino de un portátil a todos los datos de la empresa es corto. Si la configuración está cuidada, el mismo incidente se queda en el problema de un solo equipo. El pentest interno responde cuál de las dos historias es la tuya.

Sobre la diferencia entre un pentest y una simulación de ataque encubierta completa, lee Red Team o pentest. Para la red interna se suele empezar por un pentest, y un Red Team tiene sentido más adelante, cuando lo básico ya está corregido.

Riesgos y correcciones: tabla

¿Tenemos demasiados administradores?

Una imagen típica en una empresa con unos años: en el grupo de administradores del dominio están un antiguo proveedor de IT, una cuenta para una aplicación vieja y el director, por si acaso. Cada una de esas cuentas es otra llave de todo el dominio.

Microsoft Defender for Identity, la herramienta de Microsoft para proteger AD, evalúa varios de estos riesgos por separado: cuentas obsoletas sin inicio de sesión en 90 días, cuentas inactivas en grupos sensibles, cuentas de servicio en grupos privilegiados y cuentas con privilegios a la vez en AD y en Microsoft Entra ID. ^[4] El pentest muestra lo mismo desde el lado práctico: cuáles de esas cuentas llevan de verdad al control total.

Cómo se corrige. Se revisa quién está en los grupos de administradores y se deja solo a quien lo necesita de verdad. Las cuentas inactivas se desactivan y luego se eliminan. Los administradores tienen una cuenta aparte para tareas de administración, y el correo y la navegación los hacen con la normal.

¿La contraseña de administrador local es la misma en todos los equipos?

Cuando los equipos se preparan a partir de una misma imagen, la contraseña del administrador local integrado suele ser igual en todos. Microsoft dice claramente que es habitual y que los atacantes lo aprovechan para moverse entre dispositivos. ^[1]

Cómo se corrige. Windows LAPS, una función gratuita integrada en Windows, pone una contraseña aleatoria en cada equipo, la cambia con regularidad y la guarda en AD o en Microsoft Entra ID, donde solo un administrador autorizado puede leerla. Está disponible en Windows 11 y en las versiones compatibles de Windows 10 y Windows Server que recibieron la actualización del 11 de abril de 2023. ^[1] El antiguo producto independiente Microsoft LAPS está obsoleto, así que en instalaciones nuevas conviene usar directamente la versión integrada.

¿Siguen funcionando protocolos antiguos en la red?

NTLM es un método antiguo de inicio de sesión de Windows. Microsoft ha declarado obsoletas todas sus versiones y recomienda pasar a Negotiate, que intenta primero Kerberos y solo recurre a NTLM cuando hace falta. NTLMv1 se ha eliminado a partir de Windows 11 24H2 y Windows Server 2025. ^[3] El problema es que impresoras, escáneres, aplicaciones viejas y servidores olvidados todavía dependen a menudo de NTLM.

La segunda cuestión es la firma SMB, del protocolo de archivos compartidos de Windows. La firma protege los mensajes frente a modificaciones en tránsito. Microsoft explica que ayuda a proteger frente a ataques de retransmisión y suplantación, y Windows 11 24H2 (Pro, Enterprise y Education) la exige por defecto. ^[2] Pero los servidores configurados hace años y los almacenamientos antiguos a menudo funcionan sin ella.

Cómo se corrige. Primero se averigua quién sigue usando NTLM, después se exige la firma SMB y se limita NTLM de forma gradual, comprobando que ningún departamento se quede sin trabajar. Microsoft también aconseja conectarse a los recursos compartidos por nombre y no por dirección IP, para que se use Kerberos. ^[2]

¿Un portátil normal llega a los servidores y las copias?

Una red plana significa que todos los dispositivos están en el mismo segmento: el portátil de contabilidad, el Wi-Fi de invitados, el servidor de archivos, las cámaras, los controladores de dominio y el servidor de copias. Así cualquier dispositivo infectado tiene camino directo a lo más importante.

Cómo se corrige. Se divide la red en zonas según su función: puestos de trabajo, servidores, administración, copias de seguridad, invitados, dispositivos como cámaras e impresoras. Entre zonas se permiten solo las conexiones necesarias. La segmentación se hace por etapas, y el pentest ayuda a decidir qué zonas separar primero.

¿Son fuertes las contraseñas de las cuentas de servicio?

Las cuentas de servicio las usan las aplicaciones: copias de seguridad, bases de datos, CRM. Sus contraseñas se ponen una vez al instalar y no se cambian en años, y las cuentas suelen tener más permisos de los necesarios. Microsoft señala que comprometer una de estas cuentas en un grupo privilegiado puede dar acceso amplio de administrador, y que la actividad maliciosa con ella es difícil de detectar porque detrás no hay una persona concreta. ^[4]

Cómo se corrige. Se sacan las cuentas de servicio de los grupos de administradores cuando es posible y se les dan solo los permisos necesarios. Donde se puede, se pasa a cuentas de servicio administradas de grupo (gMSA), cuya contraseña cambia automáticamente. Para el resto, contraseñas largas y aleatorias, y límites sobre en qué equipos pueden iniciar sesión. ^[4]

¿Están bien configurados los servicios de certificados?

Active Directory Certificate Services (AD CS) emite certificados internos para Wi-Fi, VPN, inicio de sesión con tarjeta inteligente y cifrado. Muchas veces se instala una vez y no se vuelve a revisar. Microsoft Defender for Identity tiene un conjunto propio de evaluaciones para AD CS y advierte que los errores en las plantillas de certificados o en los permisos de la entidad emisora pueden permitir que un usuario normal obtenga un certificado válido para una cuenta privilegiada, hasta comprometer todo el dominio. ^[5]

Cómo se corrige. Se revisan las plantillas de certificados y sus permisos, se quitan los derechos excesivos a grupos amplios como Authenticated Users, se retiran las plantillas que nadie usa y se activa la aprobación del responsable donde tenga sentido. ^[5]

¿Es seguro el vínculo entre AD y Microsoft Entra ID?

Si la empresa usa Microsoft 365, su AD suele sincronizarse con Microsoft Entra ID mediante Microsoft Entra Connect. El servidor de sincronización contiene datos de identidad críticos, y Microsoft indica que debe tratarse como componente Tier 0, el mismo nivel que los controladores de dominio. Microsoft también advierte que quien controle ese servidor puede modificar usuarios en Microsoft Entra ID. ^[6]

Cómo se corrige. Se limita el acceso de administración al servidor de sincronización a un grupo reducido, se activa MFA para todas las cuentas privilegiadas en AD y en Entra ID, se bloquea NTLM en ese servidor y se pone una contraseña de administrador local única con Windows LAPS. ^[6] Aparte, se revisa si hay cuentas con privilegios a la vez en AD y en la nube. ^[4] La configuración del propio Microsoft 365 se puede revisar con la guía cómo revisar la seguridad de Microsoft 365.

Qué aporta el cliente

El pentest interno trabaja dentro de tu red, así que la preparación importa más que en una prueba externa. Lo mínimo que conviene acordar antes de empezar:

• Alcance. Qué oficinas, subredes, dominios y servidores entran, y qué queda fuera: por ejemplo, equipos de producción o sistemas de socios.
• Permiso por escrito y reglas de actuación. Quién autoriza, qué días y horas se puede probar, qué acciones están prohibidas y cómo parar si algo va mal.
• Punto de conexión. Un portátil de pruebas conectado a la red de la oficina, o acceso por VPN que imita la conexión de un empleado normal.
• Una cuenta de empleado estándar sin permisos de administrador. Es el escenario más habitual: el atacante tiene la contraseña de una persona.
• Contactos. El responsable de IT y alguien a quien llamar enseguida si se encuentra algo crítico o un servicio se comporta de forma extraña.
• Copias de seguridad. Copias recientes y comprobadas de los controladores de dominio y los servidores clave. El pentest se hace con cuidado, pero la copia es el seguro normal para cualquier trabajo en un entorno de producción.

Una lista paso a paso está en cómo prepararse para un pentest.

Qué recibes

• Un resumen para la dirección sin jerga: qué se encontró, a qué puede llevar, qué corregir primero.
• Hallazgos con pruebas y nivel de riesgo, cada uno con su impacto en el negocio y pasos concretos de corrección para tu equipo de IT.
• La ruta de riesgo, que muestra cómo se combinan puntos débiles separados: a menudo ninguno es crítico por sí solo, pero juntos llevan al control total del dominio.
• La lista de lo revisado y lo no revisado, para que se vean los límites del resultado.
• Un retest tras las correcciones, si está acordado en el contrato, con confirmación por escrito de lo que está cerrado.

El plazo depende del alcance, normalmente desde una semana, y se fija antes de empezar. El alcance depende del número de oficinas y subredes, dominios y servidores, y de si entran el Wi-Fi y la parte en la nube.

Retest: cómo asegurarse de que está corregido

Después del informe, el equipo de IT corrige los hallazgos, empezando por los más críticos. El retest consiste en volver a revisar exactamente esos puntos: si cada equipo tiene ya su propia contraseña de administrador local, si se han quitado los administradores de sobra, si quedan protocolos antiguos en algún servidor olvidado. El resultado se entrega por escrito y es útil para enseñarlo a auditores, bancos o clientes que preguntan por tu seguridad.

Checklist antes de un pentest de red interna

• El alcance está por escrito: oficinas, subredes, dominios, servidores y lo que queda fuera.
• El permiso por escrito está firmado, y las reglas de actuación y el horario, acordados.
• Hay un portátil de pruebas o acceso VPN preparado.
• Está creada una cuenta de empleado estándar sin permisos de administrador.
• Se han compartido los contactos del responsable de IT y para urgencias.
• Se han comprobado copias recientes de los controladores de dominio y servidores clave.
• Están acordados el formato y el idioma del informe.
• El retest y sus plazos figuran en el contrato.

Descargar la lista de preparación (PDF)PDF · A4

Preguntas frecuentes

¿Qué es un pentest de red interna, en palabras sencillas?

Es una prueba de lo que puede hacer un atacante que ya está en la red de tu oficina con los permisos de un empleado normal. Con reglas acordadas, un especialista busca puntos débiles en la red y en Active Directory y muestra cuáles llevan a datos importantes y al control total del dominio.

¿En qué se diferencia un pentest de Active Directory de un pentest externo?

El pentest externo revisa lo que se ve desde internet: webs, VPN, servidores de correo. El interno mira qué pasa cuando alguien ya está dentro. Se complementan, porque el perímetro tarde o temprano deja pasar a alguien. Los dos formatos están descritos en la página de pentest.

¿Puede un pentest parar el trabajo de la oficina?

El riesgo es bajo si hay reglas de actuación, horario de pruebas y un contacto para detenerlas. Las pruebas que podrían afectar a la disponibilidad de los servicios se acuerdan antes o se excluyen. Aun así hacen falta copias recientes, como para cualquier trabajo en un entorno en uso.

¿Para qué dar al auditor una cuenta de empleado?

Porque es el escenario más realista: la contraseña de un empleado se filtra por phishing o por otro servicio. Así la prueba no pierde tiempo en entrar y se centra en la pregunta principal: qué se puede hacer después.

¿Cada cuánto se hace un pentest de red interna?

Normalmente una vez al año y después de cambios grandes: mudanza a otra oficina, fusión de dominios, paso a Microsoft 365 o cambio de proveedor de IT. Entre pentests ayuda revisar con regularidad los grupos de administradores y las recomendaciones de Microsoft Defender for Identity, si lo tienes.

Referencias

1. Microsoft Learn: Windows LAPS overview learn.microsoft.com
2. Microsoft Learn: Control SMB signing behavior learn.microsoft.com
3. Microsoft Learn: Deprecated features in the Windows client (NTLM) learn.microsoft.com
4. Microsoft Learn: Accounts security posture assessment, Microsoft Defender for Identity learn.microsoft.com
5. Microsoft Learn: Certificates security posture assessment, Microsoft Defender for Identity learn.microsoft.com
6. Microsoft Learn: Microsoft Entra Connect prerequisites learn.microsoft.com
7. MITRE ATT&CK: T1078 Valid Accounts attack.mitre.org