--- id: CP-199 slug: active-directory-entra-id-identidades lang: es title: Active Directory y Entra ID description: El directorio de la empresa decide quién es quién y quién accede a qué. Qué hace el empleado, qué hace el responsable y dónde están las trampas. canonical_url: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ markdown_url: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades.md publisher: Brain (https://startbrain.io) license: CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/) cite_as: Brain, «Active Directory y Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ (CC BY 4.0) wing: 3 theme: control_access reflex: cr-062 schema: G3 updated: "2026-11-03" translations: es: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ fr: https://startbrain.io/cyberpedia/fr/articles/active-directory-entra-id-identites/ en: https://startbrain.io/cyberpedia/en/articles/active-directory-entra-id-identity/ de: https://startbrain.io/cyberpedia/de/articles/active-directory-entra-id-identitaten/ it: https://startbrain.io/cyberpedia/it/articles/active-directory-entra-id-identita/ sources: - "n": 1 title: Active Directory Domain Services overview publisher: Microsoft url: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview accessed: "2026-11-03" - "n": 2 title: What is Microsoft Entra? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra accessed: "2026-11-03" - "n": 3 title: "Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/004/ accessed: "2026-11-03" - "n": 4 title: Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK® publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1621/ accessed: "2026-11-03" - "n": 5 title: "How it works: Microsoft Entra multifactor authentication" publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks accessed: "2026-11-03" - "n": 6 title: What is Conditional Access? publisher: Microsoft url: https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview accessed: "2026-11-03" - "n": 7 title: "Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1078/002/ accessed: "2026-11-03" - "n": 8 title: "Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1558/003/ accessed: "2026-11-03" - "n": 9 title: "OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®" publisher: MITRE ATT&CK url: https://attack.mitre.org/techniques/T1003/006/ accessed: "2026-11-03" - "n": 10 title: "SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management" publisher: NIST url: https://csrc.nist.gov/pubs/sp/800/63/b/4/final published: "2025-07-31" accessed: "2026-11-03" --- # Active Directory y Entra ID Un directorio de empresa mantiene la lista de cuentas y regula lo que puede hacer cada una. En local suele ser Active Directory Domain Services (AD DS), que almacena información sobre las cuentas de usuario: nombres, contraseñas, números de teléfono [1]. En la nube es Microsoft Entra ID, un servicio de identidad y gestión de accesos que se encarga de la autenticación, de la aplicación de las políticas y de la protección de usuarios, dispositivos, aplicaciones y recursos [2]. Para un empleado, el directorio es invisible. Aparece de dos maneras: la pantalla de inicio de sesión y la solicitud de aprobación en el teléfono. Esta ficha explica qué hace el empleado en esos dos momentos, qué hace el responsable del directorio y dónde se esconden las trampas. ## En 30 segundos - Dónde ocurre: en cada inicio de sesión, incluido el de Microsoft 365, porque todo suscriptor de Microsoft 365, Azure o Dynamics CRM Online ya utiliza Entra ID [2]. - Lo que busca el atacante: una cuenta válida. MITRE ATT&CK describe cuentas atacadas por fuerza bruta, por suplantación de identidad (phishing) o por otros medios [3]. - El reflejo: aprobar una solicitud de aprobación solo si acaba de iniciar sesión usted mismo, y notificar cualquier solicitud que no haya provocado [4]. ## Preguntas directas ### ¿Para qué sirve un directorio? Un directorio es una estructura jerárquica que almacena información sobre los objetos de una red. Un servicio de directorio como AD DS pone esos datos a disposición de usuarios y administradores [1]. Entre esos objetos hay recursos compartidos (servidores, volúmenes, impresoras) y cuentas de usuarios y de equipos [1]. La seguridad está integrada mediante la autenticación al iniciar sesión y el control de acceso a los objetos del directorio [1]. ### ¿Qué diferencia hay entre Active Directory y Entra ID? AD DS es el servicio de directorio de Windows Server [1]. Entra ID es su equivalente en línea: cada tenant de Microsoft 365 es automáticamente un tenant de Entra [2]. Ambos pueden convivir. Una cuenta en la nube puede ser híbrida, es decir, sincronizada o federada con un directorio local como Active Directory [3]. Entonces una misma contraseña sirve en los dos mundos, lo que amplía el daño de un robo [3]. ### ¿Por qué no basta con una contraseña? Según Microsoft, una contraseña sola deja un vector de ataque sin proteger: si es débil o ha quedado expuesta en otro sitio, un atacante puede usarla [5]. La autenticación multifactor exige al menos dos elementos de tres: algo que se sabe (normalmente una contraseña), algo que se tiene (un teléfono, una llave física), algo que se es (una huella, un rostro) [5]. Para un atacante, el segundo factor no es fácil de obtener ni de duplicar [5]. La organización también puede fijar reglas de contexto. Las directivas de acceso condicional de Microsoft Entra son instrucciones «if… then»: si un usuario quiere acceder a una aplicación como Microsoft 365, debe pasar por la autenticación multifactor [6]. Pueden dejar el inicio de sesión normal dentro de la red de la empresa o desde un dispositivo registrado, y exigir un factor adicional a distancia o desde un dispositivo personal [5]. ### ¿Qué hago ante una solicitud de aprobación que no he iniciado yo? Rechazarla y notificarla. MITRE ATT&CK describe la técnica de generación de solicitudes MFA: un atacante que tiene una contraseña pero no el segundo factor dispara notificaciones push (Duo Push, Microsoft Authenticator, Okta o equivalente) para que la víctima las acepte [4]. Puede repetir los intentos para saturar al usuario de notificaciones, SMS y llamadas hasta que acepte, algo que la fuente llama «MFA fatigue» [4]. Entre las medidas de MITRE figuran formar a los usuarios para que solo acepten las solicitudes procedentes de inicios de sesión que han lanzado ellos, para que comprueben el lugar del intento y para que notifiquen las solicitudes sospechosas o no solicitadas [4]. ### ¿Qué puede hacer un atacante con una cuenta robada? Depende de la cuenta. Las cuentas de dominio son las que gestiona AD DS, y abarcan usuarios, administradores y servicios [7]. Una vez comprometidas, pueden servir para el acceso inicial, la persistencia, la escalada de privilegios o la evasión de defensas [7]. En el lado de la nube, una cuenta con muchos privilegios, ya sea federada, sincronizada o exclusiva de la nube, puede permitir saltar al entorno local [3]. ### ¿Qué es el Kerberoasting? En este ataque, un adversario que posee un ticket Kerberos válido solicita a un controlador de dominio tickets de servicio para nombres de entidad de servicio (SPN) [8]. Una parte de esos tickets puede estar cifrada con el algoritmo RC4. El hash de la cuenta de servicio hace entonces de clave y pasa a ser vulnerable a un ataque de fuerza bruta sin conexión, que puede revelar credenciales en claro [8]. Los hashes descifrados pueden dar acceso a cuentas válidas, con persistencia, escalada de privilegios y movimiento lateral [8]. El empleado no interviene en esto: la defensa corresponde a quienes gestionan las cuentas de servicio. ## Cómo funciona El directorio AD DS incluye un esquema, que define las clases de objetos y sus atributos, un catálogo global, un mecanismo de consulta y un servicio de replicación [1]. Todos los controladores de dominio de un dominio participan en la replicación y contienen una copia completa de la información de su dominio: un cambio hecho en uno se replica en todos [1]. Entra ID es el producto base de la familia Microsoft Entra [2]. Esta familia incluye también Entra ID Governance, que automatiza las solicitudes de acceso, las asignaciones y las revisiones, y puede retirar los derechos de un empleado que deja la empresa [2]. Entra ID Protection detecta y señala los riesgos vinculados a las identidades [2]. Para las aplicaciones antiguas que no saben usar la autenticación moderna, Entra Domain Services ofrece servicios administrados como las directivas de grupo, LDAP y la autenticación Kerberos/NTLM [2]. El acceso condicional decide a partir de señales: usuario o grupo, ubicación IP, dispositivo, aplicación, riesgo detectado [6]. Sus decisiones van del bloqueo al acceso concedido con condiciones: autenticación multifactor, dispositivo conforme, cambio de contraseña [6]. Estas directivas se aplican después de la autenticación con el primer factor [6]. Los valores predeterminados de seguridad (security defaults) activan rápidamente Microsoft Authenticator para todos los usuarios de un tenant [5]. ## Lo que usted hace - Active la autenticación multifactor cuando se le ofrezca. Entre los métodos disponibles figuran Microsoft Authenticator, Windows Hello for Business, las claves de acceso (FIDO2), un token físico, el SMS y la llamada de voz [5]. Los métodos se gestionan en My Profile [5]. - Apruebe solo las solicitudes que usted ha provocado. Si llega una solicitud sin que haya intentado nada, rechácela y notifíquela al equipo informático [4]. - Elija una contraseña única y compleja para cada servicio: MITRE recomienda contraseñas complejas y únicas para las cuentas en la nube [3]. - No reutilice su contraseña profesional en otros sitios. La fuente de MITRE sobre las cuentas de dominio cita la reutilización de contraseñas entre los medios para comprometer cuentas [7]. Lo que hace el responsable del directorio: - Limitar las cuentas de servicio al mínimo de derechos necesarios, incluida la pertenencia a grupos privilegiados como Domain Administrators [8]. - Exigir contraseñas largas para las cuentas de servicio (idealmente de 25 caracteres o más), renovarlas y plantearse las cuentas de servicio administradas de grupo o un gestor de contraseñas [8]. - Limitar el uso de las cuentas con privilegios según los niveles de administración, y no colocar cuentas de usuarios ni de administradores de dominio en los grupos de administradores locales sin un control estricto [9]. - Revisar con regularidad los permisos de las cuentas privilegiadas en la nube, como Global Administrator y Privileged Role Administrator, comprobar que no se ha creado ninguna cuenta privilegiada no autorizada y plantearse un acceso privilegiado temporal (just-in-time) en lugar de una asignación permanente [3]. - Revisar las cuentas inactivas o innecesarias y eliminarlas [3]. - Desactivar la autenticación heredada, que no gestiona la autenticación multifactor [3]. ## Las trampas Demasiadas cuentas de administrador. Cada cuenta con privilegios es un objetivo: DCSync, por ejemplo, permite extraer datos de contraseñas de Active Directory simulando la replicación de un controlador de dominio [9]. Los miembros de los grupos Administrators, Domain Admins y Enterprise Admins, o las cuentas de máquina del controlador, pueden ejecutarlo [9]. Los hashes obtenidos, entre ellos el de la cuenta KRBTGT, sirven luego para fabricar un Golden Ticket o para cambiar una contraseña [9]. El segundo factor ausente. MITRE señala que Storm-0501 utilizó una cuenta Global Administrator de la víctima sin ningún método MFA registrado para acceder a sus entornos en la nube [3]. El mismo grupo aprovechó cuentas comprometidas para llegar a Microsoft Entra Connect, que sincroniza las identidades locales y Entra, de modo que los usuarios inician sesión en ambos con la misma contraseña [3]. La notificación que acaba aceptándose. La fatiga por notificaciones push es un medio documentado de eludir la autenticación multifactor [4]. MITRE aconseja sustituir el simple push por la introducción de un código de un solo uso que se muestre en la pantalla de inicio de sesión, y limitar el número de solicitudes enviadas en un periodo [4]. Las cuentas de servicio olvidadas. Son las que ataca el Kerberoasting, también con herramientas como Rubeus o el comando Invoke-Kerberoast de PowerSploit [8]. MITRE recomienda preferir el cifrado AES a RC4 cuando sea posible [8]. El marco de referencia. El NIST publicó la versión final de SP 800-63B-4, dedicada a la autenticación y a la gestión de los autenticadores, el 31 de julio de 2025 [10]. El texto trata de la autenticación de las personas que interactúan con los sistemas de información del gobierno estadounidense y define requisitos técnicos para cada uno de sus tres niveles de garantía [10]. Sustituye a la versión SP 800-63B de marzo de 2020 [10]. ## Casos reales ### 2025: ataques de borrado de datos en Polonia MITRE ATT&CK recoge, para los ataques «2025 Poland Wiper Attacks», dos usos de credenciales en el mismo episodio. Los atacantes utilizaron cuentas privilegiadas para acceder a la solución VPN FortiGate y a las subredes siguientes [7]. También aprovecharon credenciales robadas en entornos locales para acceder a servicios en la nube [3]. ## Fuentes 1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultado el 3 de noviembre de 2026) 2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultado el 3 de noviembre de 2026) 3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado el 3 de noviembre de 2026) 4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado el 3 de noviembre de 2026) 5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultado el 3 de noviembre de 2026) 6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultado el 3 de noviembre de 2026) 7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultado el 3 de noviembre de 2026) 8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultado el 3 de noviembre de 2026) 9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultado el 3 de noviembre de 2026) 10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 de julio de 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultado el 3 de noviembre de 2026) --- Fuente original: Cyberpedia, la enciclopedia pública de ciberseguridad e IA publicada por Brain. Versión canónica: https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/ Puede reutilizar este texto libremente bajo la licencia CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/), siempre que cite «Brain, Cyberpedia» con un enlace a la dirección anterior.