Estimados amigos de Inseguros,
Hoy quiero hablaros de las mejores herramientas para auditar Active Directory de forma gratuita. En muchos entornos, el camino que va desde un usuario normal hasta convertirse en Domain Admin ya existe, y lo peor es que casi nadie lo sabe. No es porque alguien lo haya diseñado así de forma intencionada, sino porque durante años se han ido acumulando permisos, delegaciones, GPOs, shares, certificados, scripts y configuraciones que nadie ha vuelto a revisar. Ese es el terreno perfecto para un atacante, y también el motivo por el que necesitas un buen arsenal de herramientas para auditar Active Directory que te permitan ver ese riesgo antes de que lo haga otro.
Active Directory rara vez se compromete por una única vulnerabilidad crítica. La realidad es mucho más incómoda: normalmente cae por una cadena de pequeñas configuraciones mal revisadas que, encadenadas, abren un camino directo hacia el control total del dominio. Por eso auditar de forma periódica y con las utilidades adecuadas se ha convertido en una tarea esencial tanto para equipos de Red Team como de Blue Team.
Por qué necesitas herramientas para auditar Active Directory
Antes de entrar en el detalle de cada utilidad, conviene entender el enfoque. Auditar el directorio activo no consiste solo en pasar un escáner y esperar a que aparezca una alerta roja. Se trata de entender relaciones: quién puede hacer qué, sobre qué objeto, y qué consecuencias tiene esa capacidad. Las siguientes herramientas para auditar Active Directory cubren distintas capas del problema, desde la configuración global del dominio hasta los ficheros sensibles olvidados en un recurso compartido.
La buena noticia es que todas ellas son gratuitas, están mantenidas por la comunidad de seguridad y se han convertido en un estándar de facto en cualquier auditoría profesional. Vamos a verlas una a una.
1. PingCastle
PingCastle es probablemente el mejor punto de partida. Analiza la seguridad general del dominio y genera un informe HTML con los riesgos priorizados mediante una puntuación fácil de interpretar. En cuestión de minutos obtienes una foto del estado de tu Active Directory: cuentas obsoletas, delegaciones peligrosas, protocolos inseguros y decenas de indicadores más. Es ideal para dar visibilidad a la dirección y para marcar una hoja de ruta de remediación.
2. BloodHound
BloodHound es la herramienta de referencia para mapear relaciones, permisos y caminos de escalada de privilegios que pueden acabar en Domain Admin. Utiliza teoría de grafos para mostrar de forma visual esas rutas de ataque que a simple vista serían imposibles de detectar. Cuando ves gráficamente cómo un usuario aparentemente inofensivo puede llegar a controlar el dominio, entiendes de golpe por qué el enfoque basado en relaciones es tan potente.
3. Certipy
Certipy se centra en un área que suele estar desatendida: los Servicios de Certificados de Active Directory (AD CS). Busca malas configuraciones en la infraestructura de certificados, incluyendo los escenarios ESC conocidos (ESC1, ESC8 y compañía) que permiten a un atacante suplantar identidades o escalar privilegios. Con la adopción masiva de PKI internas, revisar AD CS ya no es opcional.
4. Snaffler
Snaffler recorre los recursos compartidos de la red en busca de contraseñas, claves, ficheros de configuración y datos sensibles olvidados. Es sorprendente la cantidad de credenciales en texto claro, scripts con secretos embebidos y copias de seguridad expuestas que aparecen en cualquier organización. Snaffler automatiza esa búsqueda y prioriza los hallazgos por relevancia, ahorrándote horas de rastreo manual.
5. Group3r
Group3r se especializa en las Directivas de Grupo (GPOs). Revisa configuraciones peligrosas y posibles credenciales recuperables dentro de las políticas aplicadas en el dominio. Las GPOs son un vector clásico y muy jugoso: una política mal definida puede desplegar contraseñas, permisos excesivos o tareas programadas maliciosas a cientos de equipos a la vez.
6. ADeleg
ADeleg te ayuda a inventariar las delegaciones y los problemas de ACL en todo el bosque de Active Directory. Las delegaciones acumuladas a lo largo del tiempo son una de las principales fuentes de escalada de privilegios silenciosa. Esta herramienta te permite entender quién tiene control sobre qué objetos y detectar permisos que nunca deberían haberse concedido.
7. ScriptSentry
ScriptSentry cierra la lista detectando scripts de inicio de sesión peligrosos, credenciales en claro y permisos inseguros sobre esos mismos scripts. Los logon scripts son un rincón olvidado del directorio, y sin embargo pueden ejecutar código en el arranque de sesión de multitud de usuarios. Auditar su contenido y sus permisos es una victoria rápida en cualquier revisión.
Cómo combinar estas herramientas para auditar Active Directory en un flujo real
Tener las utilidades es solo la mitad del trabajo; saber encadenarlas es lo que marca la diferencia. Un flujo de auditoría equilibrado suele seguir este orden:
- Visión general: comienza con PingCastle para obtener una puntuación de riesgo y una lista priorizada de problemas del dominio.
- Caminos de ataque: ejecuta BloodHound para visualizar las rutas de escalada hasta Domain Admin y localizar los cuellos de botella que conviene proteger.
- Superficies específicas: revisa los certificados con Certipy, las GPOs con Group3r y las delegaciones con ADeleg para profundizar en cada capa.
- Datos y scripts expuestos: lanza Snaffler sobre los shares y ScriptSentry sobre los logon scripts para cazar credenciales y ficheros sensibles.
- Remediación y verificación: corrige lo detectado y vuelve a pasar PingCastle y BloodHound para confirmar que los caminos de ataque han desaparecido.
La clave está en repetir este ciclo de forma periódica. Active Directory es un organismo vivo: cada nuevo servidor, cada delegación temporal y cada GPO añadida puede reabrir una puerta que creías cerrada. Integrar estas herramientas para auditar Active Directory en un calendario regular convierte una fotografía puntual en un proceso de mejora continua.
Recuerda además documentar cada hallazgo con su nivel de criticidad y su responsable de remediación. Una auditoría sin seguimiento se queda en un informe bonito que nadie aplica, y el objetivo es reducir la superficie de ataque de verdad.
Preguntas frecuentes
¿Son legales estas herramientas para auditar Active Directory? Sí, todas son de uso legítimo siempre que dispongas de autorización expresa sobre el entorno que vas a auditar. Utilizarlas sobre infraestructuras propias o con consentimiento por escrito del cliente es una práctica profesional habitual; hacerlo sin permiso no lo es.
¿Necesito ser Domain Admin para ejecutarlas? No en todos los casos. Muchas de estas utilidades, como BloodHound o PingCastle, están diseñadas precisamente para mostrar qué puede ver y hacer un usuario con privilegios bajos. Ese es justo el valor: revelar el riesgo desde la perspectiva de un atacante que parte de una cuenta normal.
¿Con qué frecuencia debería auditar mi Active Directory? Lo recomendable es realizar una revisión completa al menos cada trimestre y siempre después de cambios importantes, como migraciones, nuevas delegaciones o despliegues de servicios. Los entornos grandes o muy regulados se benefician de auditorías aún más frecuentes.
¿Quieres dominar la seguridad de Active Directory de principio a fin? En la Academia de SeguridadSi tienes cursos completos de ciberseguridad Microsoft, Active Directory, Red Team y defensa en entornos reales, con laboratorios prácticos y explicados paso a paso. Descubre todos los cursos.
Gracias por leerme.
