Servidor Windows y Active Directory: cómo protegerlos del ransomware

En la mayoría de las empresas con red de Windows, un servicio decide quién puede entrar a qué: Active Directory. Usuarios, contraseñas, computadoras y permisos dependen de él. Por eso, para un atacante, controlar Active Directory es controlar casi toda la red, y desde ahí puede llevar un ransomware a todos los equipos a la vez.

En 2024, las agencias de ciberseguridad de Australia, Estados Unidos, Canadá, Nueva Zelanda y el Reino Unido publicaron una guía conjunta con 17 técnicas que los atacantes usan contra Active Directory y cómo detectarlas y mitigarlas (guía conjunta, 2024). Estas son las siete medidas que más pesan para una empresa, con lo que dicen esa guía, Microsoft y CISA.

1. Separa las cuentas de administración

Si el administrador del dominio usa la misma cuenta para leer correo y navegar, un solo clic en un correo malicioso le entrega al atacante las llaves de todo.

• CISA recomienda usar cuentas separadas para administrar y para el trabajo diario, y auditar los privilegios y los grupos de Active Directory para retirar los excesivos (CISA).
• Microsoft propone separar la administración en niveles: identidad, servidores y equipos de usuario, cada uno con sus propias cuentas y, idealmente, con estaciones de administración dedicadas (Microsoft).

En una PyME, el mínimo es simple: una cuenta para administrar el dominio que solo se use para eso, y nunca para correo ni internet.

2. Protege las credenciales

Muchos ataques no rompen nada: roban contraseñas o sus huellas y las reutilizan.

• Una contraseña distinta de administrador local en cada equipo. Windows LAPS la administra, la cambia y la respalda automáticamente; también protege la contraseña de modo de restauración de los controladores de dominio (Microsoft).
• El grupo Protected Users para las cuentas privilegiadas, que las protege contra el robo de credenciales (Microsoft). CISA lo recomienda contra los ataques que reutilizan la huella de una contraseña (CISA).
• Las cuentas de servicio. La guía conjunta pide minimizar las cuentas de usuario con servicios asociados, usar cuentas de servicio administradas por el grupo y, si no es posible, contraseñas únicas y administradas de al menos 30 caracteres. También pide exigir la preautenticación de Kerberos en todas las cuentas (guía conjunta).

3. Cuida los controladores de dominio

Los controladores de dominio son los servidores donde vive Active Directory. CISA recomienda:

• mantenerlos actualizados;
• instalar en ellos el mínimo de software;
• no leer correo ni navegar desde ellos;
• configurar su firewall para que no tengan acceso a internet (CISA).

La guía conjunta agrega limitar el acceso a los controladores de dominio solo a los usuarios privilegiados que lo necesiten y centralizar sus registros para detectar actividad maliciosa (guía conjunta).

4. Apaga los protocolos antiguos

• SMBv1, la versión antigua del protocolo de carpetas compartidas, debe estar deshabilitada; Microsoft documenta cómo detectarla y apagarla (Microsoft). Una de sus fallas aparece en el catálogo de CISA de vulnerabilidades explotadas, marcada como usada en campañas de ransomware (CISA).
• NTLM y WDigest, métodos de autenticación antiguos: CISA recomienda deshabilitarlos o limitarlos cuando sea posible (CISA). Desde Windows Server 2025 se puede bloquear NTLM en las carpetas compartidas (Microsoft).

5. No expongas el escritorio remoto

La guía de CISA es directa: no expongas a internet servicios como el escritorio remoto (CISA). Además de las contraseñas que se pueden adivinar, el escritorio remoto ha tenido fallas que se explotan sin contraseña, como la conocida BlueKeep, incluida en el catálogo de vulnerabilidades explotadas (CISA). Para entrar desde fuera, usa una VPN con verificación en dos pasos.

6. Mantén el servidor con soporte

En el informe de Verizon de 2026, la explotación de vulnerabilidades ya es la forma de entrada más común en las brechas, con 31 % (Verizon). Un servidor sin actualizaciones de seguridad deja esas fallas abiertas para siempre.

Si tu servidor tiene Windows Server 2016, el momento de planear la migración es ahora.

7. Respaldos y un plan para recuperar el dominio

• Respaldos desconectados, cifrados y probados. CISA pide mantener respaldos fuera de línea y cifrados, probar con regularidad que se pueden restaurar y conservar imágenes maestras de los sistemas críticos (CISA).
• Un plan para recuperar Active Directory. Microsoft describe cómo recuperar un bosque comprometido: determinar el alcance, recuperar en aislamiento un controlador de dominio por dominio, limpiarlo, reconectar y restablecer las cuentas privilegiadas antes de volver a desplegar el resto (Microsoft). Y recomienda practicar ese plan al menos una vez al año (Microsoft).

Lista rápida

1. Una cuenta de administrador del dominio que solo se usa para administrar.
2. Auditoría de quién tiene privilegios en Active Directory, y retiro de los que sobran.
3. Windows LAPS en todos los equipos.
4. Cuentas privilegiadas en el grupo Protected Users.
5. Controladores de dominio actualizados, sin navegar y sin acceso a internet.
6. SMBv1 apagado y NTLM limitado.
7. Escritorio remoto solo detrás de una VPN con verificación en dos pasos.
8. Windows Server con soporte vigente.
9. Respaldos fuera del servidor, que no se puedan borrar, y restauraciones de prueba.
10. Un plan escrito para recuperar el dominio, practicado al menos una vez al año.

Cómo te ayudamos

Si tu empresa tiene área de TI, tu equipo conserva el control de Active Directory y nosotros reforzamos su capacidad: protección EDR operada en servidores y equipos, actualizaciones, respaldo con copia bloqueada y vigilancia. Lo explicamos en empresas con área de TI, en servidores protegidos y en respaldo administrado. Si tu servidor también guarda tu sistema contable, lee CONTPAQi, Aspel y otros sistemas contables frente a los ataques.

Para saber cómo está tu servidor hoy, empieza por el diagnóstico sin costo.

Fuentes consultadas en octubre de 2026.

Preguntas frecuentes