Laboratorio de seguridad de directorios
Revisa instantáneas de configuración y código de LDAP y Active Directory y elige la corrección de cada defecto. Se puntúa la detección frente a los falsos positivos.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
La mayoría de las brechas de directorio empiezan con una línea de configuración o de código que está mal sin que nadie lo note. En este laboratorio en el navegador trabajas una cola de unas 20 instantáneas de configuración y código de LDAP y Active Directory y decides en cada una si está bien o eliges la corrección que nombra su defecto. Los defectos repartidos por la cola: bind anónimo habilitado, inyección LDAP en un filtro de inicio de sesión, LDAP en claro en el puerto 389, falta de firma LDAP y de channel binding (exposición a relay), una cuenta de bind o de servicio con privilegios excesivos, contraseñas comparadas en el cliente y lecturas del directorio sin límite o exposición excesiva de atributos. Se te califica por la tasa de detección frente a los falsos positivos: marcar una configuración endurecida conlleva una penalización adicional, porque una revisión que da falsas alarmas es tan inútil como una que deja pasar una vulnerabilidad. Los niveles de dificultad añaden instantáneas más sutiles y trampas deliberadas: un constructor de filtros con escapado según la RFC 4515, StartTLS sobre el puerto 389, una cuenta de bind de solo lectura con alcance limitado y la regla estándar «by anonymous auth» sobre userPassword. Funciona por completo en tu navegador (no se analiza, conecta ni envía nada) y tras la calificación cada instantánea muestra por qué la corrección adecuada es la correcta. Es un laboratorio Pro: con una cuenta gratuita tienes 3 usos y después necesitas Pro.
- Lee cada instantánea: ACL de slapd, LDIF, ajustes de conexión .env, política del registro del controlador de dominio o código de inicio de sesión y búsqueda.
- Decide si está bien o elige la corrección concreta que nombra su defecto.
- Evita marcar las configuraciones endurecidas: cada falso positivo penaliza.
- Revisa la calificación y la explicación de cada instantánea.
Preguntas frecuentes
¿Qué es el laboratorio de seguridad de directorios?
Un ejercicio en el navegador en el que revisas instantáneas de LDAP y Active Directory (ACL de slapd, LDIF, ajustes de conexión en .env, política del registro del controlador de dominio y código de inicio de sesión y búsqueda) y das a cada una un veredicto: OK, o la corrección concreta, como desactivar el bind anónimo, parametrizar o escapar el filtro, exigir LDAPS/StartTLS, imponer la firma y el channel binding, aplicar mínimo privilegio a la cuenta de bind, verificar la contraseña en el servidor o limitar las lecturas y los atributos. Se te puntúa por cuántos defectos reales detectas frente a cuántas configuraciones correctas marcas por error.
¿Cómo se califica?
Cada instantánea tiene un único veredicto correcto, y ese veredicto nombra la corrección: elegir la corrección adecuada es la forma de señalar el defecto adecuado. Tu tasa de detección es la proporción de instantáneas defectuosas que identificas con la corrección exacta. Los falsos positivos (marcar una configuración endurecida) conllevan una penalización adicional, porque una revisión en la que el equipo no puede confiar es tan inútil como una que pasa por alto defectos. Una partida perfecta acierta exactamente cada instantánea, incluidas las correctas.
¿Se conecta a un directorio?
No. No se sube nada, no se contacta con ningún servidor LDAP, no se analiza ningún LDIF ni se ejecuta código. Las instantáneas son extractos realistas de configuración y código, redactados e incluidos con la página, y cada credencial, DN y host es un marcador ficticio evidente. La cola es totalmente estática y determinista. Funciona por completo en tu navegador: no hay que instalar nada ni se envía nada.
¿Para quién es?
Para ingenieros de identidad, de plataforma y de seguridad que gestionan servicios de directorio, analistas que revisan integraciones LDAP y el endurecimiento de AD, y cualquiera que prepare una entrevista de seguridad o de infraestructura y quiera entender de verdad por qué un bind anónimo, un filtro de inicio de sesión concatenado, un bind en claro en el 389, un controlador de dominio sin firma o una cuenta de servicio con Domain Admin son hallazgos, y por qué un constructor de filtros con escapado, StartTLS sobre el 389 o una cuenta de solo lectura con alcance limitado no lo son.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.