¿Qué es Windows LAPS no implementado?
Windows LAPS no implementado significa que el entorno todavía no dispone de un proceso gestionado para establecer, rotar, guardar y recuperar la contraseña del administrador local en puestos Windows y servidores. Windows Local Administrator Password Solution existe para resolver un problema muy concreto: la cuenta de administrador local suele mantenerse por soporte, build o escenarios de emergencia, pero si su contraseña es estática o se reutiliza, la intrusión en una sola máquina puede abrir el mismo secreto en muchas otras.
La recomendación actual de Microsoft es usar Windows LAPS y no depender de rotación manual. Windows LAPS puede guardar la contraseña en Active Directory o en Microsoft Entra ID, y aporta políticas nativas, cmdlets PowerShell y auditoría. Si la función no se ha desplegado, está mal acotada o nunca se empujó de forma consistente por GPO, Intune o CSP, el riesgo sigue siendo real aunque la organización crea que el acceso admin local se usa poco.
Por eso Windows LAPS no implementado suele aparecer junto a Mala configuración de GPO: cuando Group Policy se convierte en vector de ataque y Cuentas obsoletas y con privilegios excesivos en Active Directory. En ambos casos, el problema no es solo quién tiene privilegios, sino si el ciclo de vida del secreto sigue bajo control después de una intrusión.
Cómo funciona
Windows LAPS viene integrado en versiones modernas de Windows y puede gestionar una cuenta de administrador local definida por dispositivo. Microsoft documenta dos destinos de backup compatibles:
- Active Directory en Windows Server
- Microsoft Entra ID
En el cliente se definen la cuenta gestionada, la complejidad de contraseña, la antigüedad máxima, las acciones posteriores a autenticación y el directorio de copia. Del lado administrativo se controla quién puede leer la contraseña, quién puede forzar una rotación y cómo se audita su recuperación.
Para Entra ID, Microsoft también fija prerequisitos importantes:
- el dispositivo debe estar unido a Entra ID o híbrido
- los dispositivos solo registrados no son compatibles
- LAPS debe estar habilitado en el tenant y la política cliente debe establecer
BackupDirectoryen Microsoft Entra ID
Para Active Directory, Windows LAPS se apoya en extensiones de esquema y en derechos delegados para almacenar el secreto de forma segura. Microsoft entrega cmdlets específicos para actualizar el esquema, consultar contraseñas, identificar derechos de lectura y forzar nuevas rotaciones.
| Área LAPS | Función que aporta Microsoft | Por qué importa |
|---|---|---|
| Política cliente | Ajustes integrados de Windows LAPS | Impone edad, longitud, complejidad y cuenta gestionada |
| Destino de backup | AD o Entra ID | Hace recuperable la contraseña sin hojas manuales |
| Control de acceso | Roles o derechos delegados | Evita que una necesidad de helpdesk abra demasiado acceso |
| Herramientas PowerShell | Get-LapsADPassword, Get-LapsAADPassword, Find-LapsADExtendedRights, Reset-LapsPassword | Permite medir despliegue y recuperación |
Microsoft también documenta la migración desde el antiguo Microsoft LAPS. Ese punto importa porque muchas organizaciones creen que "ya tienen LAPS" cuando en realidad solo tienen un despliegue histórico, parcial o nunca normalizado.
La cadena de ataque
Paso 1 - Comprometer un equipo con contraseña local reutilizable
Los atacantes no necesitan Domain Admin para aprovechar una mala higiene de contraseñas locales. Les basta con una máquina donde la cuenta de administrador local siga activa y su contraseña pueda adivinarse, recuperarse o capturarse. Si ese mismo secreto funciona en otros equipos, la intrusión deja de ser local muy rápido.
Por eso este problema suele aparecer en la misma revisión que Seguridad de contraseñas en Active Directory: configuraciones erróneas que sí importan. El error de fondo es idéntico: un secreto que debería ser único y controlado resulta fácil de reutilizar.
Paso 2 - Reutilizar el secreto para movimiento lateral
En cuanto la contraseña o el hash NTLM valen en varios dispositivos, los canales de administración remota se convierten en un multiplicador. La ruta exacta varía según el entorno, pero la lógica es siempre la misma: la contraseña nunca se aleatorizó por equipo ni rotó con rapidez tras una exposición.
# Revisar si un dispositivo registra actividad reciente de Windows LAPS
Get-WinEvent -LogName 'Microsoft-Windows-LAPS/Operational' -MaxEvents 20 |
Select-Object TimeCreated, Id, LevelDisplayName, Message
Si este log está vacío en equipos que deberían estar cubiertos, o si no aparecen rotaciones ni recuperaciones en la ruta de gestión esperada, el despliegue es incompleto.
Paso 3 - Ampliar el acceso antes de que la rotación manual responda
Los cambios manuales de contraseña no escalan bien durante un incidente. Un entorno sin Windows LAPS suele recurrir a scripts de emergencia, tickets o resets ad hoc. Eso ralentiza la contención y alarga la ventana en la que el atacante puede seguir reutilizando el mismo acceso local en más sistemas.
Por eso el tema encaja directamente con Rutas de ataque de Active Directory hacia Domain Admin. LAPS por sí solo no resuelve la escalada de privilegios, pero su ausencia da a los atacantes un primitivo fiable de movimiento lateral que a menudo conecta con un abuso más amplio de AD.
Detección
La mejor detección combina cobertura de políticas, validación del backup y revisión de permisos.
| Indicador | Fuente | Qué comprobar |
|---|---|---|
| No hay política Windows LAPS efectiva | GPO, Intune, CSP o política local | ¿Los equipos gestionados reciben realmente configuración LAPS? |
| No hay backup reciente en AD o Entra ID | Get-LapsADPassword o Get-LapsAADPassword | ¿La contraseña se guarda y rota donde debería? |
| No hay actividad LAPS en el endpoint | Microsoft-Windows-LAPS/Operational | ¿El cliente procesa correctamente la política? |
| Hay demasiados lectores del secreto | Find-LapsADExtendedRights o revisión de roles Entra | ¿Demasiadas identidades pueden recuperar contraseñas? |
# Revisar quién puede leer contraseñas LAPS en AD
Find-LapsADExtendedRights -Identity 'OU=Workstations,DC=corp,DC=local'
# Validar recuperación de una contraseña guardada en AD
Get-LapsADPassword -Identity WS-001 -AsPlainText
Para despliegues respaldados en Entra ID, Microsoft también documenta Get-LapsAADPassword y recuperación basada en roles. Una revisión seria debe confirmar ambos lados: que la contraseña exista y que solo los roles correctos puedan verla.
También conviene correlacionar el despliegue de LAPS con Monitorización de seguridad de Active Directory: eventos que importan. Si falta el control de la contraseña de administrador local, el equipo de monitorización suele carecer también de una visibilidad clara sobre qué sistemas siguen fuera de la línea base prevista.
Remediation
💡 Quick Win: elija primero un modelo de backup compatible. Un entorno a medio camino entre gestión manual, antiguo Microsoft LAPS y Windows LAPS suele crear más confusión que seguridad.
Una secuencia de remediación pragmática suele seguir este orden:
- Elegir la autoridad de backup. Use Active Directory o Microsoft Entra ID según el tipo de unión y gestión del dispositivo.
- Preparar directorio y permisos. Para AD, amplíe esquema y revise permisos de lectura y reset. Para Entra, active LAPS en el tenant y valide roles de recuperación.
- Configurar la política cliente. Defina la cuenta gestionada, complejidad, edad, destino de backup y acciones posteriores a autenticación.
- Validar el procesamiento correcto. Use el log de Windows LAPS y los cmdlets de recuperación para confirmar que las contraseñas rotan y se almacenan.
- Eliminar deriva. Limpie scripts antiguos, contraseñas compartidas y restos del Microsoft LAPS heredado.
- Auditar permisos de recuperación. Verifique que solo los equipos adecuados puedan leer o reiniciar contraseñas.
# Ejemplo de secuencia de despliegue y validación en AD
Update-LapsADSchema
Get-LapsADPassword -Identity WS-001
Reset-LapsPassword
Para despliegues respaldados en Microsoft Entra, Microsoft también recomienda proteger la recuperación de contraseñas con Acceso Condicional sobre los roles que pueden recuperar credenciales de administrador local. Es un buen recordatorio de que desplegar LAPS no es solo una tarea de higiene de endpoints: también es un problema de control de acceso.
Valide el despliegue antes de cerrar el hallazgo
Un despliegue no está terminado porque exista una política. Lo está cuando equipos representativos rotan sus contraseñas, el backend de backup contiene secretos recientes y la ruta de recuperación ha sido validada de extremo a extremo por el rol previsto. La validación mínima debería cubrir un equipo estándar, un puesto administrativo si aplica, una clase de servidor relevante y una prueba real de recuperación.
Esa validación también debe dejar claro quién puede leer contraseñas y quién puede forzar rotaciones. De lo contrario, el entorno solo sustituye una contraseña compartida por una superficie de recuperación demasiado amplia. Por eso Windows LAPS no implementado y una delegación débil suelen revisarse juntos durante la misma auditoría.
Cómo lo detecta EtcSec
EtcSec vincula este hallazgo con LAPS_NOT_DEPLOYED y GPO_LAPS_NOT_DEPLOYED. La diferencia útil es saber si Windows LAPS falta por completo o si la organización cree tenerlo desplegado aunque ninguna política duradera llegue a los endpoints correctos.
ℹ️ Note: EtcSec comprueba automáticamente la ausencia o el despliegue incoherente de LAPS durante auditorías de Active Directory para separar "funcionalidad disponible" de "control realmente aplicado".
Referencias oficiales
- Microsoft Learn: Windows LAPS Overview
- Microsoft Learn: Windows LAPS PowerShell Cmdlets Overview
- Microsoft Learn: Use Windows Local Administrator Password Solution with Microsoft Entra ID
- Microsoft Learn: Prepare for Windows LAPS deployment and migration
Lecturas relacionadas
Para priorizar bien este tema, revíselo junto con Mala configuración de GPO: cuando Group Policy se convierte en vector de ataque, Cuentas obsoletas y con privilegios excesivos en Active Directory, Seguridad de contraseñas en Active Directory: configuraciones erróneas que sí importan, Cómo auditar la seguridad de Active Directory: guía práctica para equipos internos y Monitorización de seguridad de Active Directory: eventos que importan. Todos estos temas explican por qué la rotación de contraseñas locales solo funciona cuando alcance, permisos y auditabilidad están alineados.
Explore las páginas de identidad que apoyan este tema