¿Qué son los grupos de administradores del dominio?
¿Qué son los grupos de administradores del dominio?
Escrito por: Lizzie Danielson
Publicado: 24/3/2026
Los grupos de administradores del dominio son un grupo de alto privilegio en un entorno de dominio, normalmente dentro de Windows Active Directory. Los miembros de este grupo tienen control administrativo sobre todas las máquinas, sistemas y recursos dentro del dominio, lo que les otorga derechos y responsabilidades de gran alcance.
Piensa en un grupo de administradores del dominio como el “pase de acceso total” a la red de una organización. Estos grupos están diseñados para administradores de TI que necesitan gestionar la infraestructura del entorno Windows de una empresa. Los miembros del grupo pueden realizar tareas como agregar o eliminar usuarios, cambiar configuraciones críticas y acceder a servidores en todo el dominio.
Básicamente, actúan como los guardianes de toda la red.
Desde el punto de vista de la ciberseguridad, los grupos de administradores del dominio son tanto una bendición como una posible responsabilidad. Son esenciales para mantener y gestionar la infraestructura de TI de una organización, pero sus privilegios elevados los convierten en objetivos atractivos para los hackers. Un actor malicioso con acceso de administrador del dominio podría comprometer toda la red, agregar cuentas no autorizadas, robar datos sensibles o implementar ransomware. Por eso proteger estas cuentas es fundamental para la estrategia de defensa de una organización.
Limitar la membresía – Otorga privilegios de administrador del dominio solo a un número mínimo de personas de confianza. Cuantas menos personas tengan acceso, menor será la superficie de ataque.
Usar autenticación multifactor (MFA) –A estas alturas, esto debería ser obvio. Siempre que tengas dudas, exige MFA para los inicios de sesión para que las cuentas sean más difíciles de vulnerar.
Habilitar el registro y el monitoreo – Monitorea continuamente la actividad de las cuentas en busca de comportamientos inusuales, como inicios de sesión en horarios extraños o desde ubicaciones desconocidas.
Emplear un modelo por niveles – Adopta un modelo de acceso administrativo por niveles para evitar usar cuentas de administrador del dominio en tareas cotidianas. Esto reduce la exposición al riesgo.
Auditar el acceso regularmente – Revisa periódicamente quién tiene derechos de administrador del dominio para asegurarte de que el acceso siga siendo necesario y justificado.
Los atacantes suelen usar una técnica llamada “pass-the-hash” para capturar credenciales de usuario y escalarlas hasta obtener acceso de administrador del dominio. Una vez dentro del grupo, pueden operar prácticamente como “dioses de la red”, dejando consecuencias devastadoras a su paso. Un caso bien documentado es el ataque de ransomware NotPetya, donde los atacantes aprovecharon cuentas con privilegios para propagar el malware por redes globales.
Las rutas de escalada de privilegios más comunes que usan los atacantes para llegar al estado de administrador de dominio.
Kerberoasting: solicitar tickets de servicio para cuentas con SPN y descifrarlos sin conexión para extraer credenciales.
Pass-the-Hash: capturar hashes NTLM y usarlos para autenticarse sin conocer la contraseña en texto plano. Análisis de BloodHound/rutas de ataque: los atacantes usan herramientas para mapear las relaciones de confianza en Active Directory y encontrar la ruta más corta hacia el administrador de dominio, a menudo mediante una cadena de permisos delegados, membresías de grupo y configuraciones incorrectas que ningún administrador pretendía crear.
Ataques de Golden Ticket: falsificar tickets de Kerberos después de obtener el hash de la cuenta KRBTGT, lo que permite un acceso persistente incluso después de restablecer contraseñas. Para los MSP y los equipos de TI internos que gestionan Active Directory, entender estas rutas de escalada es el primer paso para eliminarlas. BloodHound CE (la edición comunitaria) está disponible de forma gratuita y se puede usar de manera defensiva para encontrar y cerrar estas rutas antes que los atacantes.
Orientación operativa concreta: Limita la membresía sin excepciones — la cuenta de administrador del dominio debe ser una cuenta de emergencia, no un inicio de sesión de uso diario. Crea cuentas separadas y limitadas para las tareas administrativas cotidianas; usa las credenciales de administrador del dominio solo para operaciones que realmente las requieran. Aplica MFA en todas las cuentas privilegiadas. Esto aumenta drásticamente el costo de los ataques basados en credenciales. Monitorea los cambios en los grupos de administradores del dominio en tiempo real; las adiciones inesperadas son un indicador de alta confianza de compromiso.
Usa Privileged Access Workstations (PAWs): sistemas dedicados y reforzados que se usan únicamente para operaciones privilegiadas, nunca para correo electrónico o navegación web. Audita la membresía de los grupos de forma programada y elimina las cuentas obsoletas o innecesarias.
Considera implementar el modelo de administración por niveles de Microsoft:
Esto limita el movimiento lateral al garantizar que las credenciales usadas en niveles inferiores no puedan usarse para acceder a niveles superiores. Para los MSP, ofrecer una revisión trimestral del estado de Active Directory, incluyendo una auditoría de los grupos de administradores del dominio, es un servicio concreto y de alto valor que los clientes entienden y aprecian.
Cuando ocurre un incidente, la membresía en los grupos de administradores del dominio se convierte en un punto focal inmediato de la investigación.
Primera pregunta: ¿Hay cuentas no autorizadas en los grupos de administradores del dominio?
Esta única verificación puede confirmar si un atacante logró comprometer toda la red.
Los pasos de respuesta incluyen:
Para los MSP que manejan un incidente de un cliente, tener una línea base documentada de las cuentas de administrador de dominio autorizadas, guardada fuera de línea o en un lugar protegido, agiliza este paso de triaje. Sin una línea base, distinguir una cuenta agregada por un atacante de una legítima añadida meses atrás se vuelve difícil bajo presión de tiempo.
Las credenciales de administrador de dominio son la llave maestra de un entorno de Windows Active Directory. Con acceso de administrador de dominio, un atacante puede: crear nuevas cuentas de usuario, modificar o deshabilitar políticas de seguridad, acceder a todos los recursos compartidos de archivos, implementar software en todos los endpoints, extraer credenciales de los controladores de dominio y establecer persistencia que sobrevive a la reimagen de endpoints. Por esto, los ataques basados en credenciales —ataque de pulverización de contraseñas, Pass-the-Hash, Kerberoasting y ataques Golden Ticket— casi siempre apuntan al camino hacia el acceso de administrador de dominio en lugar de detenerse en credenciales de usuario regulares. La inteligencia de amenazas muestra constantemente que, en incidentes de ransomware, los atacantes suelen obtener privilegios de administrador de dominio antes de activar el cifrado, para así asegurar el máximo impacto en toda la red. La implicación práctica: proteger las cuentas de administrador de dominio no es solo higiene de TI, es el control de seguridad con mayor impacto en un entorno de Windows.
Explica las rutas de escalada de privilegios más comunes que usan los atacantes para llegar al estatus de administrador del dominio. Kerberoasting: solicitar tickets de servicio para cuentas con SPN y descifrarlos fuera de línea para extraer credenciales. Pass-the-Hash: capturar hashes NTLM y usarlos para autenticarse sin conocer la contraseña en texto plano. Análisis de rutas de ataque con BloodHound: los atacantes usan herramientas para mapear las relaciones de confianza en Active Directory y encontrar el camino más corto hacia el administrador del dominio — a menudo a través de una cadena de permisos delegados, membresías de grupos y configuraciones incorrectas que ningún administrador tenía la intención de crear. Ataques de Golden Ticket: falsificar tickets Kerberos después de obtener el hash de la cuenta KRBTGT, lo que permite un acceso persistente incluso después de restablecer contraseñas. Para los MSP y los equipos internos de TI que administran Active Directory, entender estas rutas de escalada es el primer paso para eliminarlas. BloodHound CE (la edición comunitaria) está disponible de forma gratuita y puede usarse de manera defensiva para encontrar y cerrar estas rutas antes que los atacantes.
Orientación operativa concreta: Limita la membresía sin excepciones — la cuenta de administrador del dominio debe ser una cuenta de emergencia, no un inicio de sesión de uso diario. Crea cuentas separadas y limitadas para las tareas administrativas cotidianas; usa las credenciales de administrador del dominio solo para operaciones que realmente las requieran. Aplica MFA en todas las cuentas privilegiadas — esto aumenta drásticamente el costo de los ataques basados en credenciales. Monitorea los cambios en los grupos de administradores del dominio en tiempo real; las adiciones inesperadas son un indicador de alta confianza de compromiso. Usa Privileged Access Workstations (PAWs) — sistemas dedicados y reforzados que se usan únicamente para operaciones privilegiadas, nunca para correo electrónico o navegación web. Audita la membresía de los grupos de forma programada y elimina las cuentas obsoletas o innecesarias. Considera implementar el modelo de administración por niveles de Microsoft: Nivel 0 (controladores de dominio e infraestructura de identidad), Nivel 1 (servidores y aplicaciones), Nivel 2 (endpoints y usuarios). Esto limita el movimiento lateral al garantizar que las credenciales usadas en niveles inferiores no puedan usarse para acceder a niveles superiores. Para los MSP, ofrecer una revisión trimestral del estado de Active Directory — incluyendo una auditoría de los grupos de administradores del dominio — es un servicio concreto y de alto valor que los clientes entienden y aprecian.
Cuando ocurre un incidente, la pertenencia a los grupos de administradores del dominio se convierte en un punto focal inmediato de investigación. Primera pregunta: ¿hay cuentas no autorizadas en los grupos de administradores del dominio? Esta única verificación puede confirmar si un atacante logró comprometer toda la red. Los pasos de respuesta incluyen: auditar la pertenencia a los grupos frente a tu referencia conocida como buena; revocar las sesiones de todas las cuentas de administrador del dominio; restablecer la contraseña de KRBTGT dos veces (para invalidar cualquier ticket de Kerberos falsificado); revisar los registros de eventos del controlador de dominio en busca de eventos de autenticación sospechosos. Para los MSP que manejan un incidente de un cliente, tener una referencia documentada de las cuentas de administrador del dominio autorizadas —guardada sin conexión o en un lugar protegido— agiliza este paso de clasificación. Sin una referencia, distinguir una cuenta agregada por un atacante de una legítima agregada meses atrás se vuelve difícil bajo presión de tiempo.
Recursos adicionales
Descubre qué es el registro de depuración, cómo ayuda en ciberseguridad y las mejores prácticas clave para reducir riesgos y mejorar la respuesta a incidentes
Aprende los pasos de la gestión de vulnerabilidades, cómo evaluar y priorizar riesgos, las mejores herramientas y consejos para un sólido ciclo de vida de la gestión de vulnerabilidades.
Aprende cómo funciona el malware sin archivos, por qué es tan efectivo, y las estrategias esenciales para detectar y prevenir estos ciberataques basados en memoria.
