Laboratorio de ataques Kerberos
Haz el triaje de ~15 escenarios de ataques a Active Directory y Kerberos: nombra el ataque, la señal que lo delata y la mitigación correcta.
Abrir la herramienta →La herramienta interactiva se abre en inglés.
Un compromiso de Active Directory rara vez parece dramático en los logs: es una ráfaga de tickets de servicio RC4, un TGT que el controlador de dominio nunca emitió o una única escritura silenciosa en un objeto de equipo. En este laboratorio trabajas una cola de unos 15 escenarios realistas de detección y en cada uno tomas tres decisiones: qué ataque es (Kerberoasting, AS-REP roasting, golden o silver ticket, abuso de delegación sin restricciones, restringida o basada en recursos (RBCD), overpass-the-hash o pass-the-ticket), qué señal de detección lo delata y qué mitigación lo cierra de verdad. La detección se basa en lo que registra realmente el KDC (4768 AS-REQ, 4769 TGS-REQ, cambios de directorio 5136, tipos de cifrado RC4 (0x17) frente a AES (0x12), indicadores de preautenticación y S4U2Proxy), y las mitigaciones son las herramientas reales de AD: gMSA, solo AES, contraseñas fuertes en cuentas con SPN, proteger krbtgt y rotarla dos veces, el grupo Protected Users, eliminar SPN innecesarios y exigir la preautenticación. Algunos escenarios son Kerberos normal disfrazado de hostil: si los marcas, la falsa alarma te penaliza. No se conecta a ningún KDC: todo se ejecuta en tu navegador. Es un laboratorio Pro.
- Lee el contexto del operador y la instantánea de telemetría del controlador de dominio de cada escenario.
- Identifica el ataque (o marca que es actividad normal).
- Elige la señal de detección que lo delata y la mitigación que mejor lo cierra.
- Revisa tu tasa de aciertos en los tres ejes y la explicación de cada escenario tras la evaluación.
Preguntas frecuentes
¿Qué es el laboratorio de ataques Kerberos?
Un ejercicio en el navegador en el que haces el triaje de una cola de escenarios de ataques a Active Directory. Cada escenario te da el contexto del operador y una instantánea de la telemetría que registraría un controlador de dominio, y te pide tres decisiones: qué ataque es (o que es actividad normal), la señal de detección que lo identifica y la mejor mitigación. Se te puntúa por cuántos aciertas en los tres ejes frente a cuántos escenarios benignos marcas por error.
¿Qué ataques y mitigaciones cubre?
Los ataques son Kerberoasting, AS-REP roasting, golden tickets, silver tickets, abuso de delegación sin restricciones, restringida y restringida basada en recursos (RBCD), overpass-the-hash (pass-the-key) y pass-the-ticket. Las mitigaciones proceden de las herramientas reales de endurecimiento de AD: cuentas de servicio administradas de grupo (gMSA), cifrado AES en lugar de RC4 (y desactivar DES/RC4), contraseñas fuertes en las cuentas con SPN, proteger krbtgt y rotarla dos veces, el grupo Protected Users, eliminar SPN innecesarios y exigir la preautenticación de Kerberos.
¿Ejecuta Kerberos real o toca un dominio?
No. Nada se conecta a un KDC, no se genera tráfico de red y no se ejecuta criptografía. Los escenarios son resúmenes de telemetría decodificada, realistas y redactados, incluidos en la página, y cada decisión es determinista: se ejecuta íntegramente en tu navegador, sin instalación y sin enviar nada a ningún sitio.
¿Para quién es?
Para ingenieros de AD e identidad, analistas de blue team que hacen triaje de logs de controladores de dominio, red teamers que quieren afinar el lado de la detección y la mitigación, y cualquiera que prepare una entrevista de seguridad y quiera sentir la diferencia entre un golden y un silver ticket, detectar un Kerberoast con degradación a RC4 y saber por qué el grupo Protected Users y una gMSA son las palancas que cierran de verdad estas técnicas.
¿Es gratis?
No, es un laboratorio Pro. Con una cuenta gratuita tienes 3 usos de prueba; después necesitas Pro.