Cyberpediapor Brain
ESDEENFR

Active Directory y Entra ID

El directorio de la empresa decide quién es quién y quién accede a qué. Qué hace el empleado, qué hace el responsable y dónde están las trampas.

En 30 segundos

Dónde ocurre
En cada inicio de sesión, incluido el de Microsoft 365, porque todo suscriptor de Microsoft 365, Azure o Dynamics CRM Online ya utiliza Entra ID2.
Lo que busca el atacante
Una cuenta válida. MITRE ATT&CK describe cuentas atacadas por fuerza bruta, por suplantación de identidad (phishing) o por otros medios3.
El reflejo
Aprobar una solicitud de aprobación solo si acaba de iniciar sesión usted mismo, y notificar cualquier solicitud que no haya provocado4.

De qué se trata

Un directorio de empresa mantiene la lista de cuentas y regula lo que puede hacer cada una. En local suele ser Active Directory Domain Services (AD DS), que almacena información sobre las cuentas de usuario: nombres, contraseñas, números de teléfono1. En la nube es Microsoft Entra ID, un servicio de identidad y gestión de accesos que se encarga de la autenticación, de la aplicación de las políticas y de la protección de usuarios, dispositivos, aplicaciones y recursos2.

Para un empleado, el directorio es invisible. Aparece de dos maneras: la pantalla de inicio de sesión y la solicitud de aprobación en el teléfono. Esta ficha explica qué hace el empleado en esos dos momentos, qué hace el responsable del directorio y dónde se esconden las trampas.

Preguntas directas

¿Para qué sirve un directorio?

Un directorio es una estructura jerárquica que almacena información sobre los objetos de una red. Un servicio de directorio como AD DS pone esos datos a disposición de usuarios y administradores1. Entre esos objetos hay recursos compartidos (servidores, volúmenes, impresoras) y cuentas de usuarios y de equipos1. La seguridad está integrada mediante la autenticación al iniciar sesión y el control de acceso a los objetos del directorio1.

¿Qué diferencia hay entre Active Directory y Entra ID?

AD DS es el servicio de directorio de Windows Server1. Entra ID es su equivalente en línea: cada tenant de Microsoft 365 es automáticamente un tenant de Entra2. Ambos pueden convivir. Una cuenta en la nube puede ser híbrida, es decir, sincronizada o federada con un directorio local como Active Directory3. Entonces una misma contraseña sirve en los dos mundos, lo que amplía el daño de un robo3.

¿Por qué no basta con una contraseña?

Según Microsoft, una contraseña sola deja un vector de ataque sin proteger: si es débil o ha quedado expuesta en otro sitio, un atacante puede usarla5. La autenticación multifactor exige al menos dos elementos de tres: algo que se sabe (normalmente una contraseña), algo que se tiene (un teléfono, una llave física), algo que se es (una huella, un rostro)5. Para un atacante, el segundo factor no es fácil de obtener ni de duplicar5.

La organización también puede fijar reglas de contexto. Las directivas de acceso condicional de Microsoft Entra son instrucciones «if… then»: si un usuario quiere acceder a una aplicación como Microsoft 365, debe pasar por la autenticación multifactor6. Pueden dejar el inicio de sesión normal dentro de la red de la empresa o desde un dispositivo registrado, y exigir un factor adicional a distancia o desde un dispositivo personal5.

¿Qué hago ante una solicitud de aprobación que no he iniciado yo?

Rechazarla y notificarla. MITRE ATT&CK describe la técnica de generación de solicitudes MFA: un atacante que tiene una contraseña pero no el segundo factor dispara notificaciones push (Duo Push, Microsoft Authenticator, Okta o equivalente) para que la víctima las acepte4. Puede repetir los intentos para saturar al usuario de notificaciones, SMS y llamadas hasta que acepte, algo que la fuente llama «MFA fatigue»4. Entre las medidas de MITRE figuran formar a los usuarios para que solo acepten las solicitudes procedentes de inicios de sesión que han lanzado ellos, para que comprueben el lugar del intento y para que notifiquen las solicitudes sospechosas o no solicitadas4.

¿Qué puede hacer un atacante con una cuenta robada?

Depende de la cuenta. Las cuentas de dominio son las que gestiona AD DS, y abarcan usuarios, administradores y servicios7. Una vez comprometidas, pueden servir para el acceso inicial, la persistencia, la escalada de privilegios o la evasión de defensas7. En el lado de la nube, una cuenta con muchos privilegios, ya sea federada, sincronizada o exclusiva de la nube, puede permitir saltar al entorno local3.

¿Qué es el Kerberoasting?

En este ataque, un adversario que posee un ticket Kerberos válido solicita a un controlador de dominio tickets de servicio para nombres de entidad de servicio (SPN)8. Una parte de esos tickets puede estar cifrada con el algoritmo RC4. El hash de la cuenta de servicio hace entonces de clave y pasa a ser vulnerable a un ataque de fuerza bruta sin conexión, que puede revelar credenciales en claro8. Los hashes descifrados pueden dar acceso a cuentas válidas, con persistencia, escalada de privilegios y movimiento lateral8. El empleado no interviene en esto: la defensa corresponde a quienes gestionan las cuentas de servicio.

1Cómo funciona1 min

El directorio AD DS incluye un esquema, que define las clases de objetos y sus atributos, un catálogo global, un mecanismo de consulta y un servicio de replicación1. Todos los controladores de dominio de un dominio participan en la replicación y contienen una copia completa de la información de su dominio: un cambio hecho en uno se replica en todos1.

Entra ID es el producto base de la familia Microsoft Entra2. Esta familia incluye también Entra ID Governance, que automatiza las solicitudes de acceso, las asignaciones y las revisiones, y puede retirar los derechos de un empleado que deja la empresa2. Entra ID Protection detecta y señala los riesgos vinculados a las identidades2. Para las aplicaciones antiguas que no saben usar la autenticación moderna, Entra Domain Services ofrece servicios administrados como las directivas de grupo, LDAP y la autenticación Kerberos/NTLM2.

El acceso condicional decide a partir de señales: usuario o grupo, ubicación IP, dispositivo, aplicación, riesgo detectado6. Sus decisiones van del bloqueo al acceso concedido con condiciones: autenticación multifactor, dispositivo conforme, cambio de contraseña6. Estas directivas se aplican después de la autenticación con el primer factor6. Los valores predeterminados de seguridad (security defaults) activan rápidamente Microsoft Authenticator para todos los usuarios de un tenant5.

2Lo que usted hace2 min
  • Active la autenticación multifactor cuando se le ofrezca. Entre los métodos disponibles figuran Microsoft Authenticator, Windows Hello for Business, las claves de acceso (FIDO2), un token físico, el SMS y la llamada de voz5. Los métodos se gestionan en My Profile5.
  • Apruebe solo las solicitudes que usted ha provocado. Si llega una solicitud sin que haya intentado nada, rechácela y notifíquela al equipo informático4.
  • Elija una contraseña única y compleja para cada servicio: MITRE recomienda contraseñas complejas y únicas para las cuentas en la nube3.
  • No reutilice su contraseña profesional en otros sitios. La fuente de MITRE sobre las cuentas de dominio cita la reutilización de contraseñas entre los medios para comprometer cuentas7.

Lo que hace el responsable del directorio:

  • Limitar las cuentas de servicio al mínimo de derechos necesarios, incluida la pertenencia a grupos privilegiados como Domain Administrators8.
  • Exigir contraseñas largas para las cuentas de servicio (idealmente de 25 caracteres o más), renovarlas y plantearse las cuentas de servicio administradas de grupo o un gestor de contraseñas8.
  • Limitar el uso de las cuentas con privilegios según los niveles de administración, y no colocar cuentas de usuarios ni de administradores de dominio en los grupos de administradores locales sin un control estricto9.
  • Revisar con regularidad los permisos de las cuentas privilegiadas en la nube, como Global Administrator y Privileged Role Administrator, comprobar que no se ha creado ninguna cuenta privilegiada no autorizada y plantearse un acceso privilegiado temporal (just-in-time) en lugar de una asignación permanente3.
  • Revisar las cuentas inactivas o innecesarias y eliminarlas3.
  • Desactivar la autenticación heredada, que no gestiona la autenticación multifactor3.
3Las trampas2 min

Demasiadas cuentas de administrador. Cada cuenta con privilegios es un objetivo: DCSync, por ejemplo, permite extraer datos de contraseñas de Active Directory simulando la replicación de un controlador de dominio9. Los miembros de los grupos Administrators, Domain Admins y Enterprise Admins, o las cuentas de máquina del controlador, pueden ejecutarlo9. Los hashes obtenidos, entre ellos el de la cuenta KRBTGT, sirven luego para fabricar un Golden Ticket o para cambiar una contraseña9.

El segundo factor ausente. MITRE señala que Storm-0501 utilizó una cuenta Global Administrator de la víctima sin ningún método MFA registrado para acceder a sus entornos en la nube3. El mismo grupo aprovechó cuentas comprometidas para llegar a Microsoft Entra Connect, que sincroniza las identidades locales y Entra, de modo que los usuarios inician sesión en ambos con la misma contraseña3.

La notificación que acaba aceptándose. La fatiga por notificaciones push es un medio documentado de eludir la autenticación multifactor4. MITRE aconseja sustituir el simple push por la introducción de un código de un solo uso que se muestre en la pantalla de inicio de sesión, y limitar el número de solicitudes enviadas en un periodo4.

Las cuentas de servicio olvidadas. Son las que ataca el Kerberoasting, también con herramientas como Rubeus o el comando Invoke-Kerberoast de PowerSploit8. MITRE recomienda preferir el cifrado AES a RC4 cuando sea posible8.

El marco de referencia. El NIST publicó la versión final de SP 800-63B-4, dedicada a la autenticación y a la gestión de los autenticadores, el 31 de julio de 202510. El texto trata de la autenticación de las personas que interactúan con los sistemas de información del gobierno estadounidense y define requisitos técnicos para cada uno de sus tres niveles de garantía10. Sustituye a la versión SP 800-63B de marzo de 202010.

4Casos reales1 min

2025: ataques de borrado de datos en Polonia

MITRE ATT&CK recoge, para los ataques «2025 Poland Wiper Attacks», dos usos de credenciales en el mismo episodio. Los atacantes utilizaron cuentas privilegiadas para acceder a la solución VPN FortiGate y a las subredes siguientes7. También aprovecharon credenciales robadas en entornos locales para acceder a servicios en la nube3.

Ficha

Identificador
CP-199
Ala
3. Protocolos y defensa
Competencia Brain
Controlar los accesos (control_access)
Reflejo Brain
cr-062
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
10 fuentes verificadas el 3 de noviembre de 2026
Fuentes10 fuentes
  1. Microsoft, «Active Directory Domain Services overview». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/get-started/virtual-dc/active-directory-domain-services-overview (consultado el 3 de noviembre de 2026)
  2. Microsoft, «What is Microsoft Entra?». https://learn.microsoft.com/en-us/entra/fundamentals/what-is-entra (consultado el 3 de noviembre de 2026)
  3. MITRE ATT&CK, «Valid Accounts: Cloud Accounts, Sub-technique T1078.004 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/004/ (consultado el 3 de noviembre de 2026)
  4. MITRE ATT&CK, «Multi-Factor Authentication Request Generation, Technique T1621 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1621/ (consultado el 3 de noviembre de 2026)
  5. Microsoft, «How it works: Microsoft Entra multifactor authentication». https://learn.microsoft.com/en-us/entra/identity/authentication/concept-mfa-howitworks (consultado el 3 de noviembre de 2026)
  6. Microsoft, «What is Conditional Access?». https://learn.microsoft.com/en-us/entra/identity/conditional-access/overview (consultado el 3 de noviembre de 2026)
  7. MITRE ATT&CK, «Valid Accounts: Domain Accounts, Sub-technique T1078.002 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/002/ (consultado el 3 de noviembre de 2026)
  8. MITRE ATT&CK, «Steal or Forge Kerberos Tickets: Kerberoasting, Sub-technique T1558.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1558/003/ (consultado el 3 de noviembre de 2026)
  9. MITRE ATT&CK, «OS Credential Dumping: DCSync, Sub-technique T1003.006 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1003/006/ (consultado el 3 de noviembre de 2026)
  10. NIST, «SP 800-63B-4, Digital Identity Guidelines: Authentication and Authenticator Management», 31 de julio de 2025. https://csrc.nist.gov/pubs/sp/800/63/b/4/final (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Active Directory y Entra ID», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/

BibTeX 
@misc{brain_cp199_es_2026,
  author = {Brain},
  title = {Active Directory y Entra ID},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/active-directory-entra-id-identidades/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0