Security

Problema Los entornos que dependen de Active Directory (AD) suelen medir la recuperación con RTO (Recovery Time Objective): “tiempo hasta que AD vuelve a estar online”. En un escenario de fallo de infraestructura ese número es útil, pero cuando la causa es una intrusión, volver a levantar los controladores no garantiza que el dominio sea seguro. La diferencia entre “AD está arriba” y “el entorno está confiable” se vuelve crítica: persistencia no erradicada, credenciales comprometidas, tickets de servicio falsificados y relaciones de confianza rotas pueden volver a reactivar la amenaza minutos después de la restauración. El problema real es que muchas organizaciones todavía planifican solo la parte rápida (Rapid Recovery) y relegan la validación a un proceso posterior, lo que genera brechas de seguridad y prolonga el verdadero tiempo de recuperación. ...

Problema En entornos de virtualización con vSphere, los componentes críticos –vCenter Server y ESXi– son objetivo frecuente de vulnerabilidades de alto riesgo. Cuando se descubren fallos como bypass de autenticación, ejecución remota de código o escape de VM a través del adaptador de red VMXNET3, el impacto puede ser total: un atacante con acceso de red puede tomar control del vCenter, ejecutar código arbitrario o comprometer el hipervisor. El patrón recurrente es que los administradores descubren la vulnerabilidad después de que ya está siendo explotada o cuando los escáneres de seguridad marcan los hosts como críticos, y deben aplicar los parches lo antes posible sin interrumpir servicios críticos. ...

Problema En entornos con Active Directory, los equipos con Windows 11 25H2 pueden presentar un bloqueo total del subsistema de seguridad (LSASS/LSAIso) cuando se realiza cualquier operación que dependa de SSPI o Kerberos. El síntoma típico es que aplicaciones como curl --negotiate, RDP, Chrome (proxy auth) o PuTTY (GSSAPI) quedan colgadas indefinidamente. Un diagnóstico rápido muestra que klist get tgt se detiene en Current LogonId is 0:0x… y, curiosamente, Wireshark no captura tráfico en los puertos 88/TCP, 88/UDP, 53 o 389. Herramientas de red básicas (ping, telnet) siguen funcionando, lo que indica que el problema no está en la conectividad física sino en la capa de autenticación local. ...

Problema En entornos con varios controladores de dominio (DC) y servidores que usan RDP, es frecuente encontrarse con credenciales “invalidas” al conectar por nombre de host, mientras que la misma conexión por dirección IP funciona sin problemas. El síntoma típico es la aparición intermitente del evento 37 en los logs del DC: Ticket PAC constructed by: <DC> Client: <DOMAIN>\<DC>$ Ticket for: krbtgt Este evento indica que el Ticket Granting Ticket (TGT) no pudo ser validado correctamente entre DCs. Cuando la falla ocurre en un cruce de sitio (Site A → Site B), la autenticación Kerberos se rompe y RDP recurre a NTLM, que a su vez rechaza las credenciales si la política de seguridad lo impide. El problema se vuelve crítico porque afecta a cualquier servicio que dependa de Kerberos: DFS, SMB, PowerShell remoting, etc. ...

Problema En entornos mixtos Windows + Linux, los administradores suelen querer que los usuarios accedan a servidores Ubuntu usando sus credenciales de Active Directory (AD) y, además, que la autenticación requiera un factor adicional. La combinación típica es: LDAP + Kerberos para validar el usuario contra AD. Google Authenticator (TOTP) como segundo factor. El síntoma más frecuente es que el ticket Kerberos se obtiene, pero los comandos id, getent passwd o sudo siguen fallando. Los logs de SSSD muestran “offline” o errores de TLS, mientras que la conectividad de red y el DNS funcionan. El problema suele radicar en la configuración de SSSD, en la cadena de certificados o en la integración de PAM con el módulo de Google Authenticator. ...

Problema En entornos con Active Directory Certificate Services (AD CS) habilitado, los controladores de dominio pueden actuar como Certificate Authorities (CA) para emitir certificados de autenticación Kerberos (PKINIT). Cuando la configuración permite que los clientes busquen automáticamente un DC para validar la cadena de confianza, un atacante con una cuenta de dominio de bajo privilegio puede explotar esa lógica de “chase” y solicitar un certificado que se firme como si fuera emitido por el propio DC. Con ese certificado, el atacante inicia una sesión PKINIT contra el controlador, ejecuta DCSync y extrae el hash del krbtgt, lo que abre la puerta a un compromiso total del bosque. ...

Problema En muchos homelabs se implementan varias VLAN para aislar servicios críticos (DMZ, gestión, IoT, invitados, etc.). Cuando la tabla de PVID (Port VLAN ID) no está alineada con la lógica de firewall, aparecen síntomas como: Caídas intermitentes de SSID o rendimiento Wi‑Fi por debajo de 500 Mbps. Latencia alta y pérdida de paquetes en enlaces Ethernet que deberían estar por encima de 850 Mbps. Regla de firewall que “no debería” bloquear tráfico, pero lo hace, provocando que una VLAN no pueda comunicarse con otra ni con el router. Reinicios de contenedores o VMs que dependen de DNS/Internet cuando el tráfico se filtra por una VLAN equivocada. El patrón es claro: la segmentación está bien diseñada, pero la asignación de PVID a puertos físicos o a enlaces troncales está mal configurada, lo que genera “storm” de tráfico no etiquetado o etiquetado incorrectamente. ...

Problema En entornos Windows con privilegios de administrador, el filtro Bind Filter permite crear enlaces de ruta que hacen que cualquier proceso que cargue un archivo específico reciba una versión alterada. Tres variantes – File‑Binding, Process‑Binding y Silo‑Binding – pueden engañar a defensas basadas en rutas (AppLocker, EDR user‑mode sensors, Sysmon) sin necesidad de drivers vulnerables ni exploits. El resultado típico es que la solución de seguridad muestra la ruta “legítima” mientras ejecuta código malicioso, o que la redirección solo ocurre dentro de un contenedor (silo) y permanece invisible fuera de él. Cuando el host ya está comprometido, estas técnicas se convierten en “EDR killers” que facilitan la persistencia y la escalada a SYSTEM. ...

Problema Los entornos Windows Server suelen ejecutar varios servicios críticos (RDP, DHCP, MSMQ, FTP, GDI+, VMSwitch, drivers de red, etc.). Cuando una vulnerabilidad de ejecución remota de código (RCE) afecta a cualquiera de esos componentes, el atacante puede tomar control total del host sin interacción del usuario. En producción, la combinación de varios CVE críticos en una misma actualización rompe la rutina de parcheo: los equipos pueden quedar expuestos mientras se planifica el reinicio, y la diversidad de servicios implica que una única medida de mitigación rara vez cubre todo el espectro. ...

Problema En muchos home labs la seguridad se queda en “activar 2FA y listo”. Cuando el número de VMs crece, esa capa mínima deja expuestos puntos críticos: la interfaz de gestión de Proxmox, los servidores de almacenamiento y, sobre todo, los backups. Un atacante que compromete una VM puede saltar a la red de gestión, robar credenciales SSH o cifrar los snapshots si los backups no son inmutables. El patrón recurrente es la falta de segmentación de tráfico y de controles de acceso estrictos, lo que convierte a un entorno doméstico en un objetivo fácil para ransomware o para movimientos laterales dentro de la red. ...