KRBTGT y seguridad
KRBTGT en Active Directory: que es, riesgos y como resetear su contrasena
KRBTGT es la cuenta que firma todos los tickets Kerberos de un dominio de Active Directory. Si un atacante consigue su clave, puede falsificar tickets de acceso a cualquier recurso del dominio, y esos tickets siguen valiendo hasta que se cambia su contrasena, dos veces. Esta guia explica que es, cuando conviene cambiarla y como hacerlo sin romper nada.
Que es la cuenta KRBTGT y para que sirve
KRBTGT es una cuenta integrada que existe en todos los dominios de Active Directory. La usa el servicio de autenticacion Kerberos de los controladores de dominio para cifrar y firmar todos los tickets de Kerberos, incluidos los TGT (ticket-granting tickets) que reciben los usuarios al iniciar sesion. No se puede eliminar, nadie inicia sesion con ella y su contrasena la genera el propio sistema.
Como todos los tickets se firman con su clave, la seguridad de KRBTGT afecta a todo el dominio. Los controladores de dominio de solo lectura (RODC) tienen su propia cuenta con el formato krbtgt_numero, que se gestiona aparte.
Golden Ticket: por que un KRBTGT comprometido es tan grave
Si un atacante obtiene la clave de KRBTGT, puede fabricar tickets Kerberos validos para cualquier usuario y acceder a cualquier recurso del dominio. Es lo que se conoce como ataque Golden Ticket. Conseguir esa clave suele exigir antes privilegios muy altos en el dominio, asi que normalmente aparece en fases avanzadas de una intrusion.
Lo peligroso es la persistencia: los tickets falsificados no dependen de la contrasena de ningun usuario, asi que cambiar contrasenas de usuarios o de administradores no los invalida. Siguen funcionando hasta que se cambia la contrasena de KRBTGT, y hay que hacerlo dos veces.
Cuando conviene cambiar la contrasena de KRBTGT
Hay dos escenarios claros. El primero es una sospecha o confirmacion de compromiso del dominio: aqui el reset forma parte de la recuperacion, pero no sustituye a echar al atacante, porque cambiar la contrasena solo invalida los tickets falsificados, no cierra el acceso por el que entro.
El segundo es la rotacion periodica. Microsoft Defender for Identity marca como recomendacion de seguridad cualquier cuenta KRBTGT cuya contrasena se cambio hace mas de 180 dias. Si nunca se ha rotado, CISA avisa de que pueden aparecer problemas de replicacion porque las credenciales usan cifrados antiguos (DES o RC4), asi que conviene comprobar antes que la replicacion de Active Directory funciona correctamente.
- Tras un compromiso del dominio
- Rotacion periodica
- Si lleva mas de 180 dias sin cambiar
- Antes: comprobar replicacion
Como se resetea: dos veces y con 10 horas de espera
El procedimiento documentado por Microsoft se hace en Usuarios y equipos de Active Directory: activar Caracteristicas avanzadas, abrir el contenedor Users, pulsar con el boton derecho en la cuenta krbtgt y elegir Restablecer contrasena. La contrasena que escribas no importa, porque el sistema genera una contrasena fuerte por su cuenta.
Hay que hacerlo dos veces, porque KRBTGT guarda las dos contrasenas mas recientes en su historial: con un solo cambio, una contrasena antigua seguiria siendo valida. Entre un cambio y otro hay que esperar al menos 10 horas, que es la vida maxima por defecto de los tickets de usuario y de servicio; si esos valores se han modificado en tu dominio, la espera debe ser mayor que el valor configurado. Si usas un filtro de contrasenas personalizado, el cambio puede dar error; Microsoft documenta una solucion en el articulo KB 2549833.
Que impacto tiene y como prepararlo
Restablecer la contrasena de KRBTGT invalida los tickets Kerberos existentes, y CISA advierte de que puede afectar a las aplicaciones que dependen de Active Directory. Los clientes que no son Windows pueden no conseguir tickets nuevos hasta que caduquen los actuales.
Por eso conviene planificarlo: elegir una ventana de bajo uso, comprobar antes la salud de la replicacion, avisar a quien gestione aplicaciones integradas con el dominio y no hacer los dos cambios seguidos, sino respetando la espera entre ambos.
Que vigilar para detectar un posible Golden Ticket
No hay un indicador infalible, pero las guias de deteccion mas habituales coinciden en varias senales: solicitudes de ticket de servicio (evento 4769) sin una solicitud previa de TGT (evento 4768), tickets con una duracion anormal, el uso de cifrado RC4 donde el dominio exige AES y una contrasena de KRBTGT que lleva mucho tiempo sin cambiarse.
Ninguna senal basta por si sola, y hay variantes de ataque que evitan algunas de ellas, asi que conviene combinarlas con monitorizacion de eventos de autenticacion y con una revision periodica de los permisos de replicacion del dominio.
Plan de respuesta y continuidad del negocio
Un incidente que llegue hasta KRBTGT es un incidente de dominio completo: hay que contener, investigar como entro el atacante, cerrar ese acceso, restablecer credenciales criticas y solo entonces rotar KRBTGT dos veces. Tener ese orden ensayado reduce el tiempo de parada y evita repetir el compromiso.
Preguntas frecuentes
Si tu duda no está aquí, escríbenos y te respondemos en menos de 24 horas.
Es KRBTGT lo mismo que un usuario normal de AD?
No. Es una cuenta integrada del servicio Kerberos: no se puede eliminar, nadie inicia sesion con ella y su contrasena la genera el sistema.
Por que hay que cambiar la contrasena de KRBTGT dos veces?
Porque la cuenta conserva las dos contrasenas mas recientes en su historial. Cambiarla dos veces elimina las antiguas y evita que quede alguna valida.
Cuanto hay que esperar entre los dos cambios?
Al menos 10 horas, la vida maxima por defecto de los tickets de usuario y de servicio. Si en tu dominio se han modificado esos valores, la espera debe ser mayor que el valor configurado.
Cada cuanto conviene cambiarla?
Microsoft Defender for Identity recomienda actuar cuando la contrasena de KRBTGT lleva mas de 180 dias sin cambiarse, y siempre tras un compromiso del dominio, una vez expulsado el atacante.
El cambio puede afectar a los usuarios?
Si. Invalida los tickets Kerberos existentes y puede afectar a aplicaciones que dependen de Active Directory, sobre todo a clientes que no son Windows. Por eso se planifica en una ventana de bajo uso.
Cambiar la contrasena de KRBTGT basta tras un ataque?
No. Invalida los tickets falsificados, pero no cierra el acceso por el que entro el atacante. Primero hay que contenerlo y expulsarlo.
Esto aplica solo a grandes empresas?
No. Aplica a cualquier empresa con un dominio de Active Directory, tambien a pymes con servidores propios. Si no tienes un dominio propio, es poco probable que te afecte directamente.
Podeis ayudar en la evaluacion y el plan de mejoras?
Si, podemos preparar una revision tecnica de tu entorno Active Directory y un plan de mejoras priorizado.
Quieres evaluar el riesgo de tu entorno Active Directory?
Solicita una revision inicial y te indicamos prioridades de proteccion.