Tiering de Active Directory
Implementamos el modelo de tiering en tu Active Directory para que el compromiso de un solo computador no termine en el control de todo tu dominio.
- Duración típica
- 6 a 12 semanas
- Modalidad
- Progresiva y no disruptiva
- Incluye
- Formación y soporte quincenal
Beneficios
Qué gana tu organización
Frena el movimiento lateral
Aísla los niveles de privilegio para que comprometer un computador no signifique comprometer el dominio completo.
Sin reinstalar tu Active Directory
Reutilizamos tu infraestructura existente: no es un proyecto de migración desde cero.
Administración desde equipos protegidos
Las cuentas críticas operan desde estaciones de acceso privilegiado, separadas del correo y de la navegación web.
Un modelo que tu equipo sostiene
Formación previa y acompañamiento durante la adopción, para que el modelo se mantenga en el tiempo y no se degrade.
¿Es para ti?
Este servicio es para ti si…
Si te reconoces en alguna de estas situaciones, es un buen momento para conversar.
Cuéntanos tu caso- Tus administradores usan la misma cuenta privilegiada para todo, incluso para leer el correo.
- Un pentest o un red team llegó a administrador de dominio partiendo de un solo computador.
- No sabes cuántas cuentas tienen privilegios de administrador de dominio ni quién las usa.
- Te preocupa que un ransomware se propague a todos tus servidores desde un solo equipo.
El servicio
¿En qué consiste?
En muchos ataques, incluidos los de ransomware, el atacante no se detiene en el primer computador que compromete: se mueve lateralmente en busca de credenciales privilegiadas hasta controlar todo el Active Directory. Si tus administradores usan las mismas cuentas y equipos para todo, ese salto es corto.
El modelo de tiering aísla los niveles de privilegio —controladores de dominio y cuentas críticas (Tier 0), servidores (Tier 1) y estaciones de trabajo (Tier 2)— mediante cuentas distintas por nivel, estaciones de administración protegidas (PAW) y políticas de grupo que evitan que una credencial privilegiada quede expuesta en un nivel inferior.
Lo implementamos de forma progresiva y no disruptiva, reutilizando tu infraestructura existente: formamos a tu equipo, guiamos la migración y te acompañamos con sesiones de soporte quincenales durante la adopción.
Entregables
Qué recibes
Inventario de cuentas privilegiadas
Quién tiene privilegios, en qué nivel y cuáles sobran, como base para reducirlos.
Estructura de tiers implementada
Niveles, grupos y políticas de grupo configurados en tu Active Directory, con las excepciones documentadas.
Estaciones PAW desplegadas
Estaciones de acceso privilegiado listas para tus administradores, con sus nuevos flujos de trabajo.
Documentación de la arquitectura
Arquitectura final, procedimientos de administración y cuentas de emergencia (break-glass) documentados.
Metodología
Cómo trabajamos
Un proceso en cuatro fases, de principio a fin, con tu equipo informado en cada etapa.
-
Formación
Preparamos a tu equipo en los conceptos clave antes de tocar el entorno.
- Fundamentos del modelo de tiering
- Estaciones de acceso privilegiado (PAW)
- Flujos de trabajo para administradores
-
Implementación
Construimos la nueva estructura de niveles sobre tu Active Directory.
- Inventario de cuentas privilegiadas
- Diseño de la estructura de tiers y políticas
- Cuentas de emergencia (break-glass)
-
Migración guiada
Movemos sistemas y cuentas a la nueva estructura de forma progresiva.
- Migración de sistemas por tier
- Despliegue de estaciones PAW
- Ajuste de políticas de grupo (GPO)
-
Acompañamiento en la adopción
Te damos soporte mientras tu equipo adopta el nuevo modelo.
- Sesiones de soporte quincenales
- Resolución de excepciones operativas
- Documentación final de la arquitectura
Preguntas frecuentes
Resolvemos tus dudas
No. Está diseñada para implementarse de forma progresiva y no disruptiva sobre tu entorno actual, moviendo sistemas y cuentas por etapas.
Varía según el tamaño de tu organización; habitualmente entre 6 y 12 semanas, incluida la migración guiada.
No necesariamente. En muchos casos se pueden reconfigurar equipos existentes como estaciones de acceso privilegiado.
Un administrador de Active Directory como contraparte, tiempo para la formación y ventanas acordadas para mover sistemas y cuentas a la nueva estructura.
El tiering se enfoca en proteger las identidades privilegiadas de tu Active Directory. Infraestructura y Seguridad de Redes lo combina con hardening de sistemas y segmentación de red, en un proyecto más amplio.
¿Tienes otra pregunta? Escríbenos y te respondemos.
Sigue explorando
Servicios relacionados
Respuesta a Incidentes (IR)
Contenemos el incidente, encontramos por dónde entró el atacante y te ayudamos a volver a operar de forma segura. Con un retainer activo, tienes un canal de emergencia 24/7.
Ver servicioPlanes de Respuesta ante Incidentes y Simulacros de Mesa
Creamos o revisamos tu plan de respuesta a incidentes, lo bajamos a playbooks por escenario y lo ponemos a prueba con simulacros de mesa (tabletop exercises) junto a tu equipo técnico y tu dirección.
Ver servicioGestión de Superficie de Ataque (ASM)
Descubrimos y vigilamos de forma continua todo lo que tu organización expone a internet, y te alertamos de las nuevas exposiciones antes de que un atacante las aproveche.
Ver servicio¿Avanzamos con Tiering de Active Directory?
Agenda una reunión de 30 minutos: entendemos tu contexto y te proponemos el alcance adecuado para tu organización.
Agenda una reunión