Identidades y accesos

    Monitorización de Active Directory: quién tiene acceso a qué y qué falla en su dominio

    FlowPro NG se conecta a los controladores de dominio por LDAPS, lee periódicamente usuarios, equipos, grupos y unidades organizativas y busca por sí mismo cuentas de riesgo. Los equipos de AD se vinculan con el inventario de dispositivos.
    Probar 14 días gratisDemo en línea
    flowpro.local/assets
    Inventario de dispositivos en FlowPro NG

    Dentro de una red, el atacante busca primero cuentas. Las cuentas olvidadas de AD se lo ponen fácil.

    La cuenta de un exempleado que nadie desactivó, una contraseña que nunca caduca, una cuenta de servicio expuesta a Kerberoasting. Estas cosas se acumulan en un dominio con los años y nadie las ve en las herramientas de AD hasta que un atacante las aprovecha.

    El control de accesos y la gestión de cuentas también forman parte de los requisitos de NIS2. FlowPro NG le ofrece una visión periódica del estado del dominio junto a logs, flujos y vulnerabilidades, en su propio servidor y sin instalar nada en los controladores de dominio.

    Qué obtiene

    Monitorización de Active Directory en FlowPro NG

    Sincronización por LDAPS

    Conexión a AD solo cifrada por LDAPS (puerto 636) con una cuenta de solo lectura. Admite varios dominios y cada conexión tiene su propio intervalo de sincronización. La contraseña se guarda cifrada.

    Usuarios, equipos, grupos y OU

    Un inventario claro del dominio: cuándo inició sesión cada uno por última vez, cuándo cambió la contraseña, en qué grupos está y en qué unidad organizativa. Búsqueda y filtros en lugar de recorrer la consola.

    10 comprobaciones de riesgo

    Tras cada sincronización se evalúan cuentas y equipos inactivos, contraseñas antiguas, contraseñas que no caducan, cuentas sin contraseña obligatoria, cifrado reversible de contraseñas, cuentas expuestas a Kerberoasting e incoherencias en grupos privilegiados.

    Grupos privilegiados bajo control

    Las comprobaciones señalan miembros inesperados de grupos de administradores, cuentas deshabilitadas que siguen en ellos y cuentas con el indicador adminCount fuera de esos grupos.

    Equipos de AD en el inventario

    Los equipos del dominio se vinculan con los dispositivos de FlowPro NG. Para cada dispositivo verá en un solo lugar sus logs, flujos, vulnerabilidades y estado en AD.

    Eventos de seguridad de Windows (beta)

    El análisis de eventos de Windows está disponible en beta: inicios de sesión, cambios de cuentas y grupos, uso de privilegios y Kerberos. Las plantillas de detección cubren, por ejemplo, fuerza bruta, Kerberoasting y el borrado del registro de auditoría.

    • Active Directory
    • LDAPS
    • Kerberos
    • Kerberoasting
    • AS-REP Roasting
    • Windows Security Log
    • Elastic Agent
    • NIS2

    Cómo funciona

    En marcha en pocos pasos

    1. 01

      Prepare una cuenta de solo lectura

      Basta con una cuenta normal del dominio con permiso de lectura del directorio. El controlador de dominio debe aceptar LDAPS en el puerto 636 y ser accesible desde el servidor de FlowPro NG.

    2. 02

      Añada la conexión

      En el módulo Active Directory introduzca el controlador de dominio, el Bind DN, el Base DN y la contraseña. Pruebe primero la conexión y después fije el intervalo de sincronización.

    3. 03

      Revise los hallazgos

      Tras la primera sincronización verá el inventario del dominio y los resultados de las comprobaciones ordenados por gravedad. Corrija en AD como siempre y FlowPro NG lo verificará en la siguiente sincronización.

    FAQ

    Preguntas frecuentes

    ¿Cómo encontrar cuentas inactivas en AD?

    A mano, por ejemplo con PowerShell y el atributo lastLogonTimestamp. FlowPro NG lo hace automáticamente tras cada sincronización: las cuentas habilitadas sin inicio de sesión en más de 90 días se marcan como hallazgo. Los equipos se comprueban igual.

    ¿Qué es Kerberoasting?

    Un ataque en el que cualquier usuario autenticado solicita un ticket de servicio Kerberos para una cuenta con SPN y luego descifra su contraseña sin conexión. Las cuentas de servicio con contraseñas débiles son las más expuestas. FlowPro NG localiza esas cuentas en su dominio.

    ¿Tengo que instalar algo en los controladores de dominio?

    Para el inventario y las comprobaciones no: FlowPro NG lee el directorio por LDAPS. Solo necesita Elastic Agent si también quiere recoger eventos de seguridad de Windows.

    ¿FlowPro NG modifica algo en Active Directory?

    No. El módulo solo lee el directorio y le basta una cuenta sin derechos de administrador. Los hallazgos los corrige usted en las herramientas de administración de AD.

    ¿FlowPro NG admite varios dominios?

    Sí. Añada una conexión independiente con su propio intervalo de sincronización para cada dominio. Los resultados de las comprobaciones se muestran por dominio.

    Soluciones relacionadas

    SIEM y gestión de logsLogs de servidores, equipos y dispositivos de red en un solo lugar. Búsqueda, reglas de detección y alertas en su propio servidor.Gestión de vulnerabilidadesVulnerabilidades conocidas de NVD vinculadas a sus equipos. Prioridad según el catálogo CISA KEV, EPSS y CVSS, no según la longitud de la lista.Detección de anomalías de red17 detecciones sobre flujos de red cada minuto: escaneos de puertos, inundaciones, exfiltración de datos, beaconing, movimiento lateral, túneles.
    Cómo se compara FlowPro NG con Wazuh, Elastic, Splunk y Flowmon

    Pruébelo en su propia red

    La prueba Enterprise de 14 días desbloquea todos los módulos. La instala en su propio servidor, sin tarjeta de crédito.

    Prueba gratuitaDemo en línea