Hacking ético interno: hasta dónde puede llegar un atacante dentro de tu red

Por el equipo de QuantumSec

La mayoría de empresas invierten en proteger el perímetro, pero una vez que un atacante entra —por phishing, por una cuenta filtrada, por un empleado malicioso— pocas saben realmente hasta dónde podría llegar. El hacking ético interno simula exactamente ese escenario: un atacante que ya tiene un punto de apoyo dentro de la red. Esta guía explica qué evalúa y por qué Active Directory es casi siempre el objetivo final.

Qué es el hacking ético interno y por qué importa aunque el perímetro esté bien protegido

El insider threat y el phishing exitoso son, en la práctica, los vectores de entrada más habituales en incidentes reales, y ninguno de los dos depende de que el perímetro esté mal configurado. Una vez dentro, si la red no está segmentada y Active Directory no está endurecido, un atacante puede moverse lateralmente, escalar privilegios y acceder a sistemas críticos durante semanas sin ser detectado. El hacking ético interno responde a la pregunta que un perímetro bien protegido no responde: ¿qué pasa si alguien ya está dentro?

Active Directory: el objetivo principal de cualquier atacante interno

Casi cualquier ruta de ataque interno termina en Active Directory, porque es quien controla los permisos de toda la organización. Las técnicas más habituales incluyen Kerberoasting (extraer y crackear offline los tickets de servicio de cuentas con privilegios), AS-REP Roasting (contra cuentas sin preautenticación Kerberos), y abuso de ACLs mal configuradas que permiten a un usuario de bajo privilegio modificar permisos de cuentas más sensibles. Herramientas como BloodHound mapean automáticamente estos caminos de escalada, que en redes grandes son mucho más numerosos de lo que la mayoría de equipos de IT asume.

Movimiento lateral y escalada de privilegios: las técnicas reales

Pass-the-hash y pass-the-ticket permiten reutilizar credenciales robadas (hashes o tickets Kerberos) sin necesidad de conocer la contraseña en texto claro. El relay de NTLM aprovecha protocolos de autenticación heredados para hacerse pasar por otro equipo de la red. Y la explotación de credenciales de servicio reutilizadas o con contraseñas débiles es, con diferencia, la ruta más común hacia una cuenta de administrador de dominio. Cada una de estas técnicas se prueba de forma controlada para documentar la ruta exacta que seguiría un atacante real.

Qué aporta este servicio frente a un pentesting de red tradicional

Un pentesting de red evalúa configuraciones y vulnerabilidades puntuales. El hacking ético interno va un paso más allá: parte de un punto de entrada asumido (normalmente un usuario de dominio estándar) y documenta la cadena de ataque completa hasta el impacto máximo posible, clasificada según MITRE ATT&CK Enterprise. El resultado no es una lista de fallos aislados, es un mapa de cómo esos fallos se combinan en la práctica para comprometer toda la organización.

FAQ

¿Desde qué punto de partida se realiza el hacking ético interno?

Habitualmente simulamos un usuario de dominio estándar sin privilegios especiales, el escenario más realista (un empleado comprometido por phishing o un atacante con acceso inicial). También es posible partir de acceso físico a la red o de una cuenta sin privilegios en un equipo concreto, según el alcance acordado.

¿Puede el test afectar a los sistemas en producción?

Coordinamos todas las pruebas con tu equipo de IT. Las técnicas más invasivas, como modificar objetos de Active Directory, se ejecutan solo con autorización explícita y en ventanas acordadas. El objetivo es demostrar el riesgo, no causar una interrupción.

¿Con qué frecuencia debería repetirse esta evaluación?

Al menos una vez al año, y siempre después de cambios significativos en Active Directory o en la estructura de red (fusiones, nuevas sedes, migraciones). Si estás sujeto a NIS2 o ISO 27001, la normativa puede exigir una cadencia concreta.