Escanear Active Directory
¿Qué hace el escaneo de Active Directory?
El escaneo Active Directory tiene como objetivo sus controladores de dominio: los agentes de IA prueban la IP de cada controlador, confirman los riesgos explotables que encuentran y respaldan cada hallazgo con evidencia.
¿Qué prueba el escaneo?
Los agentes prueban el dominio como lo haría un atacante dentro de su red:
- Descubrir: encuentran los controladores de dominio y los servicios de Active Directory que exponen.
- Mapear: enumeran usuarios, recursos compartidos y errores de configuración a través de LDAP, SMB y RPC, sin credenciales siempre que es posible.
- Comprometer: ejecutan ataques reales para obtener y validar credenciales, como Kerberos roasting, password spraying y el abuso de los servicios de certificados (ADCS) y de los permisos (ACLs).
- Escalar: cada nueva credencial abre nuevas rutas de ataque. Los agentes la usan para escalar privilegios y moverse a otras máquinas, en dirección a los privilegios de administrador del dominio.
Cada hallazgo está vinculado a la llamada a herramienta que lo demostró: haga clic en Reasoning en un hallazgo para ver cada comando y su salida.
¿Es seguro ejecutarlo en un dominio de producción?
El escaneo ejecuta ataques reales contra su dominio, con estas protecciones:
- El password spraying está limitado para que no se bloqueen cuentas reales.
- Los cambios que hacen los agentes durante las pruebas se registran y se revierten.
Antes de empezar, avise al equipo que supervisa su red: el escaneo puede provocar inicios de sesión fallidos y alertas de seguridad. Use el paso Guardrails para bloquear IP, limitar el alcance y aprobar acciones de riesgo, y el paso Execution window para elegir cuándo se ejecuta.
¿Cómo iniciar un escaneo de Active Directory?
- Haga clic en New Scan en la barra superior.
- Elija Active Directory.
- En Domain Controllers, introduzca la dirección o el rango IPv4 o IPv6 de cada controlador de dominio, uno por línea, y haga clic en Continue.
- El paso Extra Context permite añadir activos relacionados para escanearlos junto con los controladores de dominio. Es opcional: haga clic en Continue para omitirlo.
Si sus controladores de dominio están en una red interna, el escaneo debe alcanzarlos desde dentro de ella: despliegue primero un escáner on-prem. Cuando su organización dispone de un escáner, un paso Scanner le permite elegirlo.
¿Qué perfil de escaneo elegir?
Hay dos perfiles disponibles para Active Directory:
- Network Single Vulnerability Assessment: un escaneo dirigido de unos 20 minutos que identifica y confirma vulnerabilidades explotables. Su paso Prompts es obligatorio: describa qué se debe probar.
- Network Deep Agentic Scan: un escaneo en profundidad de unos 2 días. Los agentes encadenan vulnerabilidades en rutas de ataque y las validan con exploits de prueba de concepto.
Seleccione un perfil y haga clic en Continue.
¿Cómo configurar los agentes de IA?
- Guardrails: elija si los agentes ejecutan las acciones de riesgo por su cuenta o le consultan antes. Opcionalmente, limite en Vulnerability scope los dominios e IP en los que los agentes prueban y reportan vulnerabilidades (déjelo vacío para cubrir todos los objetivos), indique en Blocked IPs las IP a las que nunca deben acceder y agregue Additional instructions, por ejemplo los entornos que se deben evitar. Haga clic en Continue.
- AI Provider: ejecute el escaneo con tokens de Cybermodels o con su propia clave (BYOK Simple o BYOK Advanced). Haga clic en Continue.
- Effort: elija Core (50 tokens), Advanced (200 tokens), Elite (400 tokens) o Custom Tokens. Un esfuerzo mayor explora más y consume más tokens. ¿No está seguro? Haga clic en Estimate this scan para obtener una recomendación. Haga clic en Continue.
¿Cómo finalizar y lanzar el escaneo?
- El paso Prompts solo es obligatorio con Network Single Vulnerability Assessment; con Network Deep Agentic Scan es opcional. Los tres pasos siguientes son opcionales: haga clic en Continue para omitir cada uno.
- Advanced Settings: define el número máximo de solicitudes por segundo (QPS) que envía el escaneo.
- Custom Checks: añade agentes adicionales que se ejecutan con este escaneo.
- Tags: etiqueta el escaneo para filtrarlo y organizarlo en Scans.
- Execution window también es opcional: elija cuándo puede ejecutarse el escaneo, por ejemplo Overnight. Fuera de ese horario, el escaneo se pausa y continúa en la siguiente ventana. Consulte Elegir cuándo se ejecuta un escaneo.
- Revise el resumen de la derecha y haga clic en Start scan.
El escaneo aparece en Scans: primero queda en cola y luego se ejecuta. Cuando termine, consulte Entender los resultados de un escaneo.