Brechas de cobertura de LAPS: auditoría y remediación

Resumen: ¿qué son las brechas de cobertura de LAPS desplegado?

Las brechas de cobertura de LAPS desplegado describen un entorno de Active Directory donde existe la gestión de contraseñas de administrador local, pero su protección no llega a todas las máquinas o identidades importantes. Algunos equipos nunca reciben la directiva prevista. Otros siguen usando almacenamiento heredado en texto claro, conceden derechos de recuperación demasiado amplios o mantienen utilizable una contraseña expuesta hasta que la rotación se completa correctamente.

Windows Local Administrator Password Solution gestiona y respalda la contraseña de una cuenta de administrador local. Entre sus objetivos está reducir el movimiento lateral mediante credenciales locales reutilizadas. La introducción a Windows LAPS de Microsoft describe tanto el respaldo en Active Directory como la implementación nativa más reciente. Un objeto de directiva, una característica instalada o un atributo con valor son evidencias que investigar; cada uno responde a una pregunta distinta de si todos los dispositivos previstos están protegidos.

Este artículo supone que LAPS con respaldo en AD ya está presente. Nuestra guía de Windows LAPS no implementado explica el ciclo de vida de credenciales que falta: contraseñas de administrador local sin gestionar, estáticas o compartidas, y cómo establecer su rotación. Nuestro artículo sobre higiene de objetos de equipo y esquema LAPS aborda el requisito más fundamental de un esquema sin extender, junto con la higiene de equipos y controladores de dominio. Aquí el esquema existe y el despliegue ha comenzado; la tarea es encontrar dónde falla.

Funcionamiento: cuatro formas en que LAPS desplegado pierde protección

1. Cobertura parcial del dominio

Un despliegue puede funcionar en una OU piloto y dejar fuera servidores miembro, estaciones de trabajo recién aprovisionadas o dispositivos trasladados a otra OU. Así quedan dos poblaciones tras la misma afirmación tranquilizadora: «usamos LAPS». Revise por separado el inventario previsto y el estado real de estaciones de trabajo y servidores miembro, sin permitir que una gran población de estaciones oculte servidores sin gestionar.

La cobertura también difiere del buen funcionamiento. Un atributo de expiración puede seguir teniendo valor mientras un dispositivo está desconectado o falla el procesamiento de la directiva. Registre si un equipo presenta evidencias de Windows LAPS nativo, de LAPS heredado o de ninguno, y valide la actividad reciente frente a la directiva de rotación configurada. Explicite en el alcance los objetos de equipo deshabilitados y los controladores de dominio; la gestión de contraseñas DSRM es un caso de uso independiente para los DC.

2. El atributo heredado sigue siendo la vía de recuperación

Las generaciones usan atributos diferentes. La referencia del esquema de Microsoft relaciona ms-Mcs-AdmPwdExpirationTime con msLAPS-PasswordExpirationTime y ms-Mcs-AdmPwd con msLAPS-Password. El valor nativo msLAPS-Password contiene datos de contraseña en texto claro en JSON; msLAPS-EncryptedPassword contiene datos cifrados. Por tanto, el prefijo msLAPS- por sí solo no demuestra que haya cifrado.

Windows LAPS puede aplicar una directiva antigua mediante el modo de emulación de Microsoft LAPS heredado. La emulación mantiene el almacenamiento en texto claro en AD y no ofrece el cifrado nativo de contraseñas. Encontrar un atributo heredado debe motivar una revisión de la directiva activa y del estado de la migración, sin suponer que necesariamente se está ejecutando la extensión cliente antigua. La directiva nativa de Windows LAPS tiene prioridad sobre la heredada. La emulación también exige que la extensión del lado cliente de Microsoft LAPS heredado esté ausente del dispositivo gestionado.

3. La recuperación de contraseñas está delegada demasiado ampliamente

La rotación no compensa que una entidad de seguridad no autorizada recupere la contraseña actual. Compruebe tanto el permiso para recuperar los datos almacenados como, cuando se usa cifrado, la entidad autorizada para descifrarlos. Son controles distintos. Un grupo de soporte con una responsabilidad de recuperación aprobada merece una revisión de sus miembros; no se vuelve seguro solo porque su nombre incluya «LAPS».

Una delegación amplia en una OU puede afectar a muchos equipos. Los permisos explícitos de un equipo también pueden diferir de la configuración de referencia de la OU. Revise conjuntamente las concesiones heredadas, las excepciones, los miembros de grupos y la población autorizada para recuperar contraseñas. Una concesión a un grupo no equivale a contar las personas que pueden ejercerla.

4. La exposición de la contraseña persiste tras la revisión de acceso

Un cambio de ACL restringe las futuras lecturas del directorio. No puede retirar una contraseña ya copiada en un ticket, una transcripción, la salida de un script o la sesión de otra persona. Son posibilidades para investigar en un incidente, no evidencias de que un entorno concreto haya sufrido una filtración.

Cadena de ataque: de los derechos de recuperación al acceso local

Una secuencia plausible de fallos comienza con el compromiso de una identidad que tiene derechos de recuperación indebidos. Si esa entidad puede obtener una contraseña de administrador local utilizable, el atacante consigue una credencial para el equipo afectado. El alcance resultante depende del estado de la cuenta, del acceso de red y de los controles de autenticación local; un atributo legible no implica automáticamente el control del dominio.

Un dispositivo sin cobertura presenta una vía distinta: su contraseña local permanece fuera del ciclo de vida LAPS previsto. Un dispositivo que solo usa la generación heredada puede rotar correctamente y aun así exponer datos de recuperación en texto claro a una población de lectores demasiado amplia. Estas condiciones pueden coexistir, pero requieren correcciones diferentes. Ampliar el alcance de la directiva no elimina lectores excesivos, y activar el cifrado no incorpora al alcance un dispositivo excluido.

Para el triaje de incidentes, identifique el equipo, la generación de la contraseña almacenada, la población autorizada para recuperarla y la rotación completada tras la contención. Evite exportar contraseñas reales solo para demostrar la debilidad. Los metadatos, las evidencias de ACL y los registros de los endpoints suelen permitir una primera evaluación más segura.

Medir la cobertura y los permisos de lectura

Buscar equipos con evidencias de expiración nativa

La guía de migración de Microsoft identifica un msLAPS-PasswordExpirationTime nuevo o actualizado como una forma de supervisar la transición a Windows LAPS nativo. El comando siguiente adapta para auditoría los parámetros documentados de filtro LDAP y propiedades de Get-ADComputer, usando el atributo documentado. Sustituya la OU de ejemplo por su alcance de auditoría aprobado. Este comando se ofrece al lector; no se ejecutó contra un dominio de producción para este artículo.

Get-ADComputer -SearchBase 'OU=Workstations,DC=corp,DC=example' -LDAPFilter '(msLAPS-PasswordExpirationTime=*)' -Properties 'msLAPS-PasswordExpirationTime',OperatingSystem,Enabled

El resultado es una lista de equipos con evidencias de expiración nativa, no un porcentaje ni una prueba de que todos funcionan correctamente. Compárela con el inventario de dispositivos esperado para identificar equipos ausentes. Un valor de expiración heredado en un equipo ausente puede mostrar un despliegue anterior. Compruebe el estado deshabilitado, el directorio de respaldo previsto y la configuración real del endpoint antes de asignar una brecha de cobertura. Un dispositivo con respaldo en Entra no debe evaluarse por la ausencia de un atributo de respaldo en AD.

Para un cálculo de cobertura defendible, concilie el mismo inventario de estaciones de trabajo y servidores miembro habilitados y dentro del alcance con las evidencias de despliegue nativo o heredado. Indique qué generaciones se cuentan como cubiertas. Mantenga separada la vista de migración a la generación nativa de la vista de despliegue de cualquier generación. Después revise la vigencia de la expiración y la rotación correcta; la mera presencia de un atributo no permite establecer ninguna de las dos.

Enumerar las entidades de recuperación

La referencia de Find-LapsADExtendedRights documenta la consulta de OU y la opción -IncludeComputers. Este ejemplo sustituye una OU de auditoría e incluye permisos a nivel de equipo:

Find-LapsADExtendedRights -Identity 'OU=Workstations,DC=corp,DC=example' -IncludeComputers

Compare las entidades devueltas con una lista de recuperación aprobada e inspeccione las pertenencias pertinentes y los permisos heredados o explícitos. Trátelo como una enumeración de permisos, no como prueba de una lectura de contraseña completada ni como una reconstrucción exhaustiva del acceso efectivo. Preserve los identificadores de objetos y de los destinatarios de permisos en las evidencias de auditoría sin almacenar valores de contraseñas.

Para una comprobación autorizada de recuperación en un equipo, la referencia de Get-LapsADPassword de Microsoft documenta el siguiente patrón, con un nombre de equipo de ejemplo sustituido. Recupera datos de credenciales; no es una consulta limitada a metadatos y no se ejecutó contra un dominio de producción para este artículo.

Get-LapsADPassword -Identity 'WS-001'

Sin -AsPlainText, las contraseñas devueltas se encapsulan en SecureString. Inspeccione Source, DecryptionStatus y AuthorizedDecryptor para distinguir los resultados de almacenamiento y descifrado. El cmdlet también recupera contraseñas heredadas ms-Mcs-AdmPwd, pero esos resultados carecen de Account y PasswordUpdateTime; una fecha de actualización vacía en ese caso no es evidencia de una rotación fallida.

Detección: leer el registro operativo LAPS del cliente

Microsoft documenta estas señales en la referencia del registro de eventos de Windows LAPS:

Recopile estos eventos de Microsoft-Windows-LAPS/Operational en los clientes gestionados. El canal correspondiente en un controlador de dominio se refiere a su propia gestión DSRM, no a la actividad de los clientes unidos al dominio. Un ciclo de procesamiento correcto no necesariamente incluye rotación si no correspondía actualizar la contraseña.

Correlacione los eventos por dispositivo y ciclo de procesamiento. Use la directiva configurada para decidir cuándo debería haberse producido una actualización. Estos eventos operativos establecen los resultados del procesamiento y de las actualizaciones; no establecen quién recuperó la contraseña almacenada. La ausencia de eventos también requiere comprobar el buen funcionamiento de la recopilación antes de interpretarla como falta de actividad LAPS.

Remediación: cerrar cada fallo por separado (Remediation)

1. Reparar el alcance de la directiva y los permisos de escritura

Asigne un responsable a cada equipo sin cobertura. Verifique su directorio de respaldo previsto y la selección de destinos de la directiva, y repare la causa real: ubicación en OU, filtrado, prioridad de directivas o delegación de escritura. El procedimiento de despliegue en AD de Microsoft documenta el comando siguiente, con una OU de ejemplo sustituida:

Set-LapsADComputerSelfPermission -Identity 'OU=Workstations,DC=corp,DC=example'

Concede permisos de autoactualización para atributos nativos de Windows LAPS; no configura la directiva ni demuestra que el respaldo se haya completado. Para despliegues heredados o de emulación, use las herramientas de ACL heredadas descritas en la guía de emulación de Microsoft, sin suponer que este cmdlet nativo repara los permisos heredados. Vuelva a comprobar la lista de candidatos y las evidencias de actualización del endpoint después de la corrección.

2. Restringir la recuperación y el descifrado

Elimine las concesiones indebidas en su origen real, incluidos los permisos heredados, y delegue la recuperación en la población aprobada. Añadir una concesión limitada no revoca una concesión amplia existente. Repita la consulta de derechos después de revisar las ACL y pruebe la recuperación aprobada sin incluir credenciales en las salidas generales de auditoría.

Para el cifrado nativo en AD, la referencia de configuración de directivas de Microsoft exige un nivel funcional de dominio 2016 o posterior. Revise ADPasswordEncryptionEnabled y ADPasswordEncryptionPrincipal; este último identifica la entidad autorizada para descifrar y debe poder resolverse en el dispositivo. No equipare los derechos de recuperación del directorio con la autoridad de descifrado.

3. Completar la migración desde la generación heredada

Siga el procedimiento de migración de Microsoft para una transición inmediata o una coexistencia temporal. Durante la coexistencia, las dos implementaciones deben gestionar cuentas locales diferentes. Verifique la directiva nativa, los atributos nativos actualizados y la actividad correcta del endpoint antes de retirar el software heredado. Revise también el acceso a los datos residuales de contraseñas heredadas; un despliegue nativo correcto no demuestra que se hayan eliminado todas las antiguas vías de recuperación.

4. Rotar después de una exposición creíble

Tras contener el acceso no autorizado, coordine la rotación en el endpoint afectado. Microsoft documenta Reset-LapsPassword para situaciones excepcionales que exigen un cambio inmediato, incluida una vulneración de la seguridad de una máquina:

Reset-LapsPassword

Ejecútelo localmente en el dispositivo gestionado afectado con los privilegios necesarios. El cmdlet no devuelve información detallada del resultado; verifique los eventos producidos. Una solicitud de restablecimiento enviada no basta para demostrar que la credencial expuesta ha dejado de funcionar. Revise las identidades y endpoints afectados por el incidente junto con la rotación, sin cerrarlo únicamente porque cambió la ACL de lectura.

Cómo detecta EtcSec estos problemas

El catálogo acepta estos cuatro identificadores. Las descripciones siguientes reflejan las implementaciones de Detect() revisadas para este artículo, sin afirmar que se haya ejecutado una auditoría contra su dominio:

• LAPS_DOMAIN_COVERAGE_LOW evalúa la cobertura de equipos habilitados que no son DC, contando la presencia de LAPS heredado o nativo. Separa las cifras de estaciones y servidores y comunica una métrica a nivel de dominio. En el Detect() revisado, una cobertura inferior al 95% genera un hallazgo: alta (High) por debajo del 80%, en caso contrario media (Medium) por debajo del 95%. Son umbrales de control de EtcSec, no recomendaciones de Microsoft. Fuente: etc-collector public/internal/audit/detectors/ad/advanced/laps/laps-domain-coverage.go, líneas 78–86, commit f51fad0b69c0c7fbda2fcc3c43bd6f6b4da4bee4, revisado el 3 de octubre de 2026. El control mide evidencias de despliegue, no la vigencia de la rotación ni la calidad del cifrado.
• LAPS_LEGACY_ATTRIBUTE identifica equipos con evidencias de LAPS heredado y sin evidencias de Windows LAPS nativo. No identifica la implementación cliente en ejecución ni demuestra una lectura no autorizada.
• LAPS_PASSWORD_READABLE examina ACE de concesión con CONTROL_ACCESS que apuntan al GUID de esquema de ms-Mcs-AdmPwd resuelto en el bosque real. Excluye destinatarios reconocidos como administradores integrados y el SID del propio equipo. Su alcance es esta señal de permisos heredados, no una evaluación general de los derechos de descifrado de contraseñas nativas cifradas.
• LAPS_PASSWORD_LEAKED usa la misma señal de ACE de concesión heredadas con CONTROL_ACCESS y señala más de un destinatario de lectura distinto en un equipo tras las mismas exclusiones de administradores integrados y del SID propio. Aquí, «no administrador» significa no reconocido por ese filtro; el detector no establece el rol administrativo efectivo de cada destinatario. Señala una posible exposición por permisos excesivos, no una exfiltración observada, y no expande los grupos para contar personas. Valide el acceso efectivo por separado: este predicado cuenta concesiones coincidentes sin resolver frente a ellas las ACE de denegación.

Use los hallazgos de etc-collector para priorizar la investigación y después valide por separado la cobertura, los derechos efectivos, la generación de la directiva y la rotación del endpoint. Un hallazgo de despliegue puede resolverse mientras persiste un problema de permisos. Cierre la revisión solo cuando tanto el inventario previsto como la vía de recuperación aprobada coincidan con las evidencias.