Cyberpediapor Brain
ESDEENFR

Proteger las cuentas de administrador (PAM)

Una cuenta de administrador abre todas las puertas. Así la protege un PAM y esto es lo que hacen a diario el empleado y su responsable.

En 30 segundos

Dónde ocurre
En cualquier sistema donde alguien tenga derechos de administración, en el directorio de la empresa, en un equipo, un servidor o un servicio en línea.
Qué busca el atacante
Obtener las credenciales de una cuenta existente, para actuar sin llamar la atención4.
El reflejo
Usar una cuenta de administrador solo para administrar, nunca para el correo, la web o la ofimática, y pedir los derechos en el momento en que hacen falta.
Si ya ha ocurrido
Avisar al equipo de seguridad.

De qué se trata

Una cuenta con privilegios es una cuenta de sistema que posee las autorizaciones de un usuario privilegiado1. Un usuario privilegiado es una persona autorizada, y por tanto considerada de confianza, para realizar funciones de control, supervisión, administración o seguridad que los usuarios ordinarios no tienen permitido realizar2.

Esta cuenta no pertenece necesariamente a un informático de la empresa. El NCSC británico emplea la palabra «administrador» tanto para una persona, como un administrador de bases de datos, como para una cuenta de sistema encargada de lanzar una tarea programada, y recuerda que la administración se confía con frecuencia a un proveedor externo3. Todos tienen permisos superiores a los de un usuario normal3. La gestión de accesos privilegiados, o PAM (Privileged Access Management), reúne las reglas y las herramientas que regulan estas cuentas.

Preguntas directas

¿Qué es una cuenta con privilegios?

Es una cuenta cuyos derechos superan los de un usuario ordinario: crear un usuario en un dominio, conectarse por SSH a un servidor web para modificar un archivo o configurar una alarma en una válvula industrial son tres ejemplos que da el NCSC3. Todas estas acciones pueden servir para causar daño, de ahí la necesidad de protegerlas3.

¿Por qué los atacantes apuntan primero a estas cuentas?

Las credenciales robadas permiten eludir los controles de acceso. También sirven para mantener un acceso duradero a servicios expuestos como las VPN, el correo web o el escritorio remoto4. Además, una cuenta comprometida puede dar un nivel de privilegio más alto en ciertos sistemas o acceso a zonas reservadas de la red4. Con una credencial legítima, el atacante puede prescindir de software malicioso, lo que hace más difícil detectar su presencia4.

Microsoft describe el mismo mecanismo para el directorio Active Directory: el atacante extrae las credenciales de las sesiones abiertas y busca en primer lugar las cuentas que ya tienen privilegios elevados, que después suplanta5. Los objetivos habituales son las cuentas con privilegios permanentes, las cuentas de directivos, las cuentas de directorio con privilegios y los controladores de dominio5.

¿Se puede leer el correo con una cuenta de administrador?

No. Microsoft cita, entre los comportamientos que aumentan el riesgo de robo de credenciales, navegar por internet con la sesión de una cuenta con privilegios abierta y conectarse a ella desde un ordenador no seguro5. El fabricante recomienda no utilizar las cuentas con muchos privilegios para las tareas administrativas corrientes cuando se pueda evitar5. Los equipos de administración seguros no ejecutan ninguna aplicación de correo, ningún navegador ni ningún programa de ofimática5.

¿Qué significa PAM en concreto?

El NCSC da la directriz: controlar con cuidado quién administra, dónde, cuándo, por qué y cómo, conceder a los administradores el mínimo privilegio y retirar el acceso cuando ya no es necesario3. En Microsoft, el servicio Privileged Identity Management permite gestionar, controlar y supervisar el acceso a recursos importantes de la organización6. MITRE añade la supervisión del uso de las cuentas privilegiadas y la responsabilidad garantizada mediante el registro y la auditoría7.

1Cómo funciona2 min

Un PAM reúne varios elementos.

Primero, una caja fuerte de contraseñas. MITRE recomienda herramientas de caja fuerte para el almacenamiento y la rotación de las credenciales, y cita CyberArk, HashiCorp Vault o KeePass como ejemplos7. Para las contraseñas de los administradores locales, la misma ficha cita Microsoft LAPS7.

Segundo, la elevación temporal de derechos. En el servicio Privileged Identity Management de Microsoft Entra, un empleado puede ser «elegible» para un rol sin tenerlo de forma permanente. Cuando lo necesita, lo activa durante un tiempo limitado, dentro de un máximo fijado por los administradores, indicando el motivo de su solicitud6. La activación puede exigir una verificación de autenticación multifactor, una justificación profesional o la aprobación de un aprobador designado6. Pasado el plazo, el rol se desactiva: es el principio del acceso «justo a tiempo», en el que los permisos temporales impiden que un usuario malintencionado o no autorizado acceda a ellos tras su vencimiento6. El mismo servicio envía una notificación cuando se activa un rol con privilegios y permite revisiones de acceso para comprobar que cada persona sigue necesitando su rol6.

Tercero, la trazabilidad. El NCSC pide registrar todas las actividades de administración y auditarlas, para comprobar que los administradores solo realizan acciones legítimas y aprobadas3. El servicio de Microsoft permite descargar el historial de auditoría6. Microsoft recomienda además supervisar el directorio para detectar señales de ataque5.

Cuarto, la autenticación fuerte. Exige al menos dos pruebas de identidad: lo que se sabe, lo que se posee, lo que se es8. MITRE aconseja imponerla a todas las cuentas privilegiadas7 y en particular a los roles con privilegios8. Microsoft la exige al utilizar cuentas privilegiadas o para las tareas de administración5.

Por último, la separación de cuentas. En su modelo, Microsoft crea una cuenta de usuario de equipo seguro y una cuenta distinta de administrador de dispositivos9. El NCSC recomienda una administración por niveles, porque no todas las administraciones presentan el mismo riesgo3.

2Qué hace usted1 min

Los gestos del empleado se resumen en cuatro puntos.

  • Separar los dos usos. La cuenta diaria sirve para el correo, la web y la ofimática. La cuenta de administración solo sirve para administrar, en un equipo previsto para ello5.
  • Pedir los derechos cuando hacen falta. Si su función exige un acceso elevado de vez en cuando, utilice el procedimiento de activación o de solicitud de aprobación de su empresa en lugar de conservar derechos permanentes6. Microsoft va en la misma línea: eliminar la pertenencia permanente a los grupos con muchos privilegios y conceder una pertenencia temporal cuando es necesaria5.
  • Aceptar la autenticación fuerte. Microsoft pide imponerla al menos a los administradores9.
  • No conservar sin necesidad derechos de administrador local en su equipo. Microsoft prevé retirar esos derechos a los usuarios de sus equipos privilegiados9, y MITRE recomienda sacar a los usuarios del grupo de administradores locales7.

Para un responsable, la tarea consiste en limitar el número de personas que tienen acceso a la información sensible, lo que reduce el riesgo de que un actor malintencionado acceda a ella y de que un usuario autorizado toque por descuido un recurso sensible6. Un aprobador designado recibe una notificación por correo cuando una solicitud de rol espera su aprobación6.

3Las trampas1 min
  • La contraseña de administrador reutilizada. MITRE explica que reutilizar contraseñas puede permitir abusar de cuentas locales en un conjunto de máquinas, para elevar privilegios y desplazarse de un equipo a otro10. Microsoft incluye entre las configuraciones de riesgo las cuentas privilegiadas locales con las mismas credenciales en todos los sistemas5.
  • La cuenta inactiva. El atacante puede abusar de cuentas inactivas, por ejemplo las de personas que han dejado la organización, porque el usuario original ya no está para notar una actividad anómala4. Las revisiones de acceso permiten comprobar que los usuarios siguen necesitando su rol6.
  • Demasiadas cuentas poderosas. Asignar demasiados usuarios a los grupos de dominio privilegiados fomenta su uso excesivo5.
  • El robo de credenciales. Iniciar sesión con una cuenta privilegiada en un ordenador no seguro expone esas credenciales5.
  • Derechos que se solapan entre cuentas locales, de dominio y en línea. MITRE lo considera preocupante, porque el atacante puede pasar de una cuenta y un sistema a otros hasta llegar a un nivel de administrador de dominio o de empresa4.
4Casos reales1 min

Ataque contra la red eléctrica ucraniana, 2015

En este ataque, el grupo Sandworm Team utilizó cuentas válidas en la red corporativa para elevar sus privilegios, desplazarse lateralmente e instalarse de forma duradera en esa red4.

Ficha

Identificador
CP-198
Ala
3. Protocolos y defensa
Competencia Brain
Controlar los accesos (control_access)
Reflejo Brain
cr-030
Esquema
G3 · Corte anatómico
Idiomas
de, en, es, fr
Fuentes
10 fuentes verificadas el 3 de noviembre de 2026
Fuentes10 fuentes
  1. NIST, «privileged account - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_account (consultado el 3 de noviembre de 2026)
  2. NIST, «privileged user - Glossary | CSRC». https://csrc.nist.gov/glossary/term/privileged_user (consultado el 3 de noviembre de 2026)
  3. NCSC (Royaume-Uni), «Secure system administration», 15 de septiembre de 2020. https://www.ncsc.gov.uk/collection/secure-system-administration (consultado el 3 de noviembre de 2026)
  4. MITRE ATT&CK, «Valid Accounts, Technique T1078 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/ (consultado el 3 de noviembre de 2026)
  5. Microsoft, «Best practices for securing Active Directory». https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/plan/security-best-practices/best-practices-for-securing-active-directory (consultado el 3 de noviembre de 2026)
  6. Microsoft, «What is Privileged Identity Management? - Microsoft Entra ID Governance». https://learn.microsoft.com/en-us/entra/id-governance/privileged-identity-management/pim-configure (consultado el 3 de noviembre de 2026)
  7. MITRE ATT&CK, «Privileged Account Management, Mitigation M1026 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1026/ (consultado el 3 de noviembre de 2026)
  8. MITRE ATT&CK, «Multi-factor Authentication, Mitigation M1032 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/mitigations/M1032/ (consultado el 3 de noviembre de 2026)
  9. Microsoft, «Deploying a privileged access solution - Privileged access». https://learn.microsoft.com/en-us/security/privileged-access-workstations/privileged-access-deployment (consultado el 3 de noviembre de 2026)
  10. MITRE ATT&CK, «Valid Accounts: Local Accounts, Sub-technique T1078.003 - Enterprise | MITRE ATT&CK®». https://attack.mitre.org/techniques/T1078/003/ (consultado el 3 de noviembre de 2026)

Citar este artículo

Brain, «Proteger las cuentas de administrador (PAM)», Cyberpedia, 2026. https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/

BibTeX 
@misc{brain_cp198_es_2026,
  author = {Brain},
  title = {Proteger las cuentas de administrador (PAM)},
  year = {2026},
  howpublished = {Cyberpedia},
  url = {https://startbrain.io/cyberpedia/es/articles/gestion-acceso-privilegiado-pam-cuentas-admin/},
  note = {CC BY 4.0}
}
Licencia CC BY 4.0