Collector de solo lectura · standalone o daemon SaaS

Auditorías de seguridad de identidad para
Active Directory y Entra ID

Ejecuta auditorías basadas en hechos para identidad on-prem y cloud desde el mismo flujo de trabajo.
472 detecciones Community y 498 detecciones totales. Mantén los datos en local en modo standalone o conecta un daemon SaaS para el seguimiento centralizado.

Try it free — no signup Iniciar auditoría

472 Community · 498 detecciones totales

Standalone + daemon SaaS

Collector read-only · API + GUI

Vea la plataforma

en acción

Sin registro. Sin instalación. Haga clic y explore.

nordis-industries.demo

Análisis en directo

Generado en 6.2sAuditoría AD + Entra ID

Bueno

218

Hallazgos

178

Tipos

592

Usuarios

686

Equipos

345

Grupos

Críticos abiertos

Hallazgos críticos sin resolver

Crítico

↓ 6 desde la última auditoría

Cobertura MFA

462 de 592 usuarios inscritos

Aceptable

78%

recomendado ≥ 95 %

Administradores privilegiados

Cuentas admin Tier-0

Bueno

recomendado ≤ 20

Cumplimiento

7 marcos por debajo del umbral

Crítico

47%

promedio en 9 marcos

Última auditoría

Último escaneo del colector

Bueno

1dago

+8vs anterior

Evolución del riesgo90d

+2 nuevos-140 periodo

358

Feb 1May 1

Principales riesgos de negocio5/15

Ordenados por amplitud

FILTRO

N.ºMarcoCódigoControlHallazgos

#1NIS2 (FR)Art.21(2)(e)Sécurité de l'acquisition et du développement

#2ANSSI PA-099R52Privilèges Tier-0 nominatifs

#3CIS v8.1§1.1Inventaire des actifs autorisés

#4NIS2 (FR)Art.21(2)(h)Chiffrement et authentification

#5ANSSI PA-099R72Surveillance des comptes privilégiés

Alertas de seguridad

4 config1 aviso31 cuentas

31 cuentas con riesgo CRÍTICO (50+). Acción inmediata necesaria.

wilson.olivia8719 problemas

luo.lan8417 problemas

jackson.john8216 problemas

shimizu.hana7815 problemas

thompson.naomi7614 problemas

Machine Account Quota50

Tout utilisateur du domaine peut joindre jusqu'à 50 machines — passer ms-DS-MachineAccountQuota à 0.

KRBTGT Password Age412 jours

Rotation à effectuer tous les 90-180 jours pour mitiger les Golden Ticket.

Anonymous LDAPAutorisé

Reconnaissance LDAP non-authentifiée possible — désactiver.

Pre-Win2000 Compatible AccessActivé

Groupe legacy qui donne un accès lecture étendu à tous les utilisateurs authentifiés.

Last AD Backupil y a 28 jours

L'Active Directory devrait être sauvegardé régulièrement.

Tendencia vs auditoría anterior

+8 pts

Puntuación: 76 → 84 (+8 pts)

Crítico:18 → 126

Alto:45 → 387

Desglose por categoría

Permissions

18 → 246

Account Status

62 → 653

Group Analysis

61 → 61Sin cambios

Network Security

43 → 474

Service Accounts

67 → 643

Advanced Security

46 → 46Sin cambios

Computer Security

59 → 59Sin cambios

Kerberos Security

49 → 49Sin cambios

Password Security

45 → 45Sin cambios

Privileged Accounts

57 → 592

Auditorías de solo lectura para Active Directory y Entra ID con salida estructurada, flujos repetibles y modos de despliegue para equipos locales o gestionados de forma centralizada.

EtcSec

—

Collector open-source y flujo SaaS

498

detecciones nombradas

técnicas MITRE

<8s

tiempo de benchmark

modos operativos

sistemas soportados

Alineado con frameworks del sector

NIST

GDPR

MITRE ATT&CK

CIS

ANSSI

Por qué los equipos usan EtcSec

Audita lo que existe hoy, mantén el collector cerca del entorno y convierte los resultados en remediación y seguimiento accionables.

Solo lectura por diseño

Recoge datos de Active Directory por LDAP/LDAPS y SYSVOL, y de Entra ID por Microsoft Graph, sin desplegar agentes en los controladores de dominio.

Ejecuciones rápidas y repetibles

Los benchmarks terminan en segundos, lo que hace viable repetir auditorías tras cada remediación o cambio de privilegios.

Contexto MITRE ATT&CK

Relaciona los hallazgos con técnicas de ataque para explicar por qué un control importa, no solo que ha fallado.

Flujo de remediación estructurado

Pasa de detecciones en bruto a correcciones priorizadas, exportaciones y revisiones de seguimiento sin reconstruir la auditoría.

Cómo funciona

Un flujo repetible para auditorías de AD y Entra ID

PASO 01

Despliegue el colector

Instala ETC Collector en Linux, macOS, Windows o Docker y configura los proveedores de Active Directory y Entra ID.

PASO 02

Ejecute la auditoría

Ejecuta la auditoría en modo standalone o mediante el daemon SaaS. El motor revisa detecciones nombradas en AD y Entra ID.

PASO 03

Obtenga un informe accionable

Revisa hallazgos priorizados, mapeo MITRE ATT&CK, exportaciones y guía de remediación desde el mismo flujo.

etcsec.com

Repetición automática

¿Entorno aislado?

Para redes aisladas, mantén el servidor standalone en local o exporta resultados JSON para revisarlos después sin exponer el collector a Internet.

Collector open-source

ETC CollectorStandalone o daemon SaaS

Un collector Go multiplataforma para Active Directory y Entra ID. Community cubre 472 detecciones con 324 checks AD y 148 checks Entra. Pro / Full alcanza 498 detecciones totales al añadir 16 checks AD (ADCS y rutas de ataque) y 10 detecciones Entra de Risk Protection.

Recogida en solo lectura

Lee datos de AD por LDAP/LDAPS y SYSVOL, y de Entra ID por Microsoft Graph, y genera JSON estructurado para la GUI local, la API o la automatización.

Dos modos operativos

Usa un servidor standalone totalmente local con GUI embebida y API REST, o registra un daemon SaaS para auditorías recurrentes gestionadas de forma centralizada.

Multiplataforma y ligero

Un único binario estático para Linux, macOS y Windows, de unos 20 MB sin dependencias de runtime, además de flujos Docker e instalación como servicio.

Explorar ETC Collector GitHub

Instalación en una línea

curl -fsSL https://get.etcsec.com/install-pro.sh | sudo bash -s -- --mode server --token="<verify-in-popup>"

Instalación Linux en una línea, más guías para macOS, Windows y Docker

API REST embebida y GUI web local en el puerto 8443

Community: 324 detecciones AD + 148 detecciones Entra. Pro / Full: 340 detecciones AD + 158 detecciones Entra

ETC Collector Community Edition es open-source bajo la licencia Apache 2.0. Las funcionalidades de la Pro Edition requieren una licencia comercial incluida con una suscripción a EtcSec.

472

Detecciones Community

Modos operativos

Sistemas operativos

~20MB

Binario estático

Cobertura completa

Qué busca la plataforma en AD y Entra ID

Desde exposición de contraseñas y abusos de Kerberos hasta deriva de Conditional Access, PIM, permisos de apps y exposición de invitados, las detecciones permanecen ligadas a hallazgos con nombre.

CRÍTICO

Exposición de contraseñas y credenciales

Políticas débiles, cifrado reversible, flags password-not-required y atributos en texto claro.

CRÍTICO

Abuso de Kerberos y delegación

AS-REP roasting, Kerberoasting, delegación no restringida y riesgos de protocol transition.

ALTO

ADCS y servicios de certificados

Rutas ESC de ADCS, mapeo de certificados débil y exposición de web enrollment.

ALTO

ACL peligrosas y DCSync

GenericAll, WriteDACL, puertas traseras en AdminSDHolder, derechos de replicación y rutas RBCD.

ALTO

Huecos en Conditional Access

MFA ausente, deriva de autenticación heredada y exclusiones de políticas que debilitan el tenant.

ALTO

Deriva de acceso privilegiado

Configuración de PIM, roles de admin excesivos, foreign principals y cuentas privilegiadas obsoletas.

ALTO

Aplicaciones e identidades externas

Permisos de service principals, credenciales caducadas, apps multi-tenant y exposición de invitados.

CATÁLOGO COMPLETO

Explorar el catálogo completo de detecciones

Consulta el catálogo público y las páginas detalladas de cobertura AD y Entra.

Ver todos los controles

Iniciar auditoría

Collector read-only, modo standalone, flujo daemon SaaS y páginas de cobertura detalladas enlazadas abajo.

Marco de referencia estándar de la industria

MITRE ATT&CKCobertura integrada

Mapeado a 49 técnicas MITRE ATT&CK en Credential Access, Persistence, Defense Evasion, Lateral Movement y Discovery.

21Acceso a credenciales técnicas detectadas

12Persistencia técnicas detectadas

8Evasión de defensa técnicas detectadas

6Movimiento lateral técnicas detectadas

2Descubrimiento técnicas detectadas

Más información sobre MITRE ATT&CK

Hallazgos de ejemplo con mapeo ATT&CK

Cuentas Kerberoastables

Credential Access

T1558.003

Derechos DCSync

Credential Access

T1003.006

Escalada via plantilla de certificado

Credential Access

T1649

Permisos GPO peligrosos

Persistence

T1484.001

Controlador de dominio malicioso (DCShadow)

Defense Evasion

T1207

Delegación no restringida

Lateral Movement

T1550

Evasión de Conditional Access

Credential Access

T1556

Abuso de relaciones de confianza

Discovery

T1482

Haga clic en los IDs de técnica para ver detalles en MITRE ATT&CK

Benchmarks comparativos

Metodología publicada, resultados y detalle completo

Revise la cobertura documentada, los tiempos observados y las condiciones de prueba en las páginas comparativas dedicadas de PingCastle y Purple Knight.

Alternativa a PingCastle

ETC Collector cubre la mayor parte de las reglas de PingCastle en el mismo dominio de prueba AD y además añade ADCS, attack paths y cobertura de Entra ID.

59 de las 61 reglas de riesgo publicadas de PingCastle cubiertas en la ejecución documentada
876/896 puntos de riesgo de PingCastle cubiertos
6,58 s frente a ~41 s con network probes

Abrir la comparación con PingCastle

Alternativa a Purple Knight

ETC Collector cubre las señales de Purple Knight que realmente importan y termina mucho más rápido, manteniéndose multiplataforma y orientado a CLI.

115/119 indicadores cubiertos
49/49 indicadores FAIL cubiertos
7,99 s frente a ~3 min en el mismo dominio

Abrir la comparación con Purple Knight

Notas del benchmark

Ambas comparativas se ejecutaron en el mismo dominio AD de prueba de 546 usuarios y 100 equipos en febrero de 2026.
ETC Collector se ejecutó con network probes cuando la metodología lo requería.
Las salvedades, huecos de cobertura y capturas permanecen en las páginas comparativas dedicadas.
Las páginas comparativas incluyen el desglose completo por reglas, capturas y los huecos restantes de las ejecuciones documentadas.

Disponible hoy

Hoy los proveedores de auditoría realmente disponibles son Active Directory y Microsoft Entra ID. Ambos usan el mismo flujo del collector, la misma GUI/API local y el mismo modelo de auditorías recurrentes.

DISPONIBLE