ARTEX: Hackers utilizan agentes de IA para automatizar ataques contra Active Directory, Kerberoasting y movimiento lateral
Descubre cómo ARTEX utiliza agentes de IA para automatizar ataques a Active Directory, Kerberoasting, DCSync, robo de credenciales y movimiento lateral. Aprende a detectar y mitigar estas amenazas.
La inteligencia artificial está transformando las operaciones ofensivas en ciberseguridad. Investigadores han identificado el uso de ARTEX, un framework de agentes autónomos capaz de automatizar diferentes etapas de un ataque contra entornos Windows y Active Directory, desde el reconocimiento inicial hasta el robo de credenciales y los intentos de comprometer controladores de dominio.
La evolución de la inteligencia artificial está introduciendo un nuevo escenario para los equipos de seguridad informática. Los atacantes ya no necesitan ejecutar manualmente cada comando, analizar individualmente los resultados o coordinar todas las fases de una intrusión.
Mediante herramientas basadas en agentes de IA, determinadas operaciones pueden ejecutarse de forma coordinada, reduciendo considerablemente el tiempo necesario para comprometer una infraestructura corporativa.
Uno de los casos más recientes es ARTEX, una plataforma de operaciones ofensivas desarrollada en Go que utiliza múltiples agentes especializados para automatizar actividades de reconocimiento, enumeración de Active Directory, Kerberoasting, extracción de credenciales y movimiento lateral.
La actividad fue documentada por investigadores de Google Cloud Threat Intelligence Group (GTIG) y Mandiant durante investigaciones de incidentes de seguridad.
El hallazgo resulta especialmente preocupante porque demuestra cómo herramientas inicialmente diseñadas para pruebas de penetración pueden terminar integrándose en operaciones de amenazas reales.
¿Qué es ARTEX y cómo funciona este framework de IA?
ARTEX es un framework de pruebas de penetración y control de operaciones ofensivas que utiliza una arquitectura multiagente.
Su funcionamiento se basa en dividir una operación de ataque en diferentes tareas especializadas. En lugar de depender de un operador que ejecute manualmente cada paso, el framework recibe un objetivo y coordina diferentes agentes para realizar las acciones necesarias.
La herramienta está desarrollada en Go y puede interactuar con entornos Windows, especialmente infraestructuras empresariales que utilizan Active Directory.
Entre sus capacidades destacan:
- Reconocimiento y enumeración de redes Windows.
- Identificación de usuarios, grupos y equipos.
- Enumeración de cuentas de servicio.
- Análisis de configuraciones de Active Directory Certificate Services (AD CS).
- Ejecución de técnicas de Kerberoasting.
- Recolección de hashes y credenciales.
- Ejecución de técnicas DCSync.
- Intentos de movimiento lateral.
- Automatización de comandos PowerShell.
- Coordinación de diferentes etapas de una intrusión.
Una característica importante es que ARTEX puede utilizar credenciales válidas previamente obtenidas por los atacantes para continuar con las siguientes fases de la operación.
Esto permite que una intrusión avance sin que el operador tenga que intervenir constantemente.
Arquitectura multiagente: seis agentes especializados
ARTEX utiliza seis subagentes para distribuir las distintas actividades ofensivas.
Esta arquitectura permite dividir una operación compleja en tareas más pequeñas y coordinar su ejecución.
El operador proporciona un objetivo y, en determinados escenarios, credenciales previamente comprometidas. A partir de ahí, el framework organiza las acciones necesarias.
El resultado es una automatización que puede acelerar considerablemente las operaciones posteriores al acceso inicial.
Es importante destacar que la automatización no significa que ARTEX pueda comprometer cualquier infraestructura de manera autónoma. Su efectividad depende de factores como los permisos disponibles, las configuraciones de Active Directory, las credenciales obtenidas y los controles de seguridad existentes.
Cómo ARTEX automatiza ataques contra Active Directory
Active Directory continúa siendo uno de los componentes más importantes de las infraestructuras corporativas. Centraliza la autenticación, autorización y administración de identidades dentro de los dominios Windows.
Por esta razón, comprometer Active Directory puede proporcionar a un atacante acceso privilegiado a numerosos sistemas empresariales.
Los investigadores observaron que ARTEX ejecutaba scripts PowerShell contra controladores de dominio y servidores de federación para recopilar información sobre la infraestructura.
Entre las actividades identificadas se encuentran:
- Enumeración de nombres de usuario.
- Identificación de cuentas de servicio administradas.
- Revisión de grupos privilegiados.
- Enumeración de objetos de Active Directory.
- Inspección de plantillas de certificados.
- Identificación de relaciones entre dominios y bosques.
En uno de los incidentes analizados, el framework obtuvo información de más de 110.000 objetos de Active Directory y consultó el grupo Domain Admins.
Esta capacidad permite construir un mapa detallado de la infraestructura y localizar posibles rutas hacia privilegios superiores.
Kerberoasting: robo de credenciales mediante tickets Kerberos
Una de las técnicas más relevantes utilizadas por ARTEX es Kerberoasting.
Kerberoasting es una técnica de ataque contra cuentas de servicio de Active Directory que utilizan Service Principal Names (SPN).
Cuando un usuario autenticado solicita un ticket de servicio Kerberos para un SPN, el controlador de dominio genera un ticket cuyo componente de autenticación está cifrado utilizando material derivado de la contraseña de la cuenta de servicio.
Un atacante con permisos de usuario de dominio puede solicitar determinados tickets y tratar de recuperar las contraseñas mediante ataques de fuerza bruta o diccionario fuera de línea.
El proceso general es:
- Obtener acceso a una cuenta válida del dominio.
- Enumerar los SPN registrados en Active Directory.
- Identificar cuentas de servicio asociadas.
- Solicitar tickets Kerberos TGS.
- Extraer los tickets obtenidos.
- Intentar recuperar las contraseñas mediante cracking offline.
- Utilizar las credenciales recuperadas para acceder a otros recursos.
El principal riesgo está relacionado con las cuentas de servicio que utilizan contraseñas débiles, antiguas o reutilizadas.
ARTEX automatiza diferentes pasos de este proceso, reduciendo el trabajo manual necesario para identificar cuentas vulnerables.
¿Cómo proteger Active Directory contra Kerberoasting?
Las organizaciones deben aplicar las siguientes medidas:
- Utilizar Group Managed Service Accounts (gMSA) cuando sea posible.
- Evitar contraseñas estáticas en cuentas de servicio.
- Aplicar contraseñas largas y aleatorias.
- Rotar las credenciales de cuentas privilegiadas.
- Revisar periódicamente los SPN registrados.
- Supervisar solicitudes Kerberos TGS anómalas.
- Reducir los privilegios asignados a cuentas de servicio.
- Evitar el uso de cuentas Domain Admin para ejecutar servicios.
También es recomendable identificar solicitudes de tickets Kerberos en grandes volúmenes o dirigidas a numerosas cuentas de servicio en periodos de tiempo reducidos.
DCSync: ARTEX intenta extraer credenciales del dominio
Otra de las capacidades identificadas durante las investigaciones fue la ejecución de técnicas DCSync.
DCSync es una técnica que permite simular el comportamiento de un controlador de dominio legítimo durante la replicación de Active Directory.
Su objetivo es solicitar información de replicación de credenciales, incluyendo material de autenticación almacenado en el directorio.
Cuando un atacante obtiene los permisos necesarios, puede intentar extraer hashes de cuentas altamente privilegiadas.
Entre los objetivos más importantes se encuentra la cuenta krbtgt.
Esta cuenta desempeña un papel fundamental en Kerberos porque su clave permite firmar y validar determinados tickets del dominio.
Si un atacante obtiene el material criptográfico de krbtgt, puede intentar realizar un ataque Golden Ticket para crear tickets Kerberos falsificados y mantener acceso privilegiado al dominio.
La exposición de credenciales de sincronización cloud también puede ampliar el impacto hacia servicios conectados a la infraestructura local.
Medidas de protección contra DCSync
Para reducir este riesgo:
- Restringir los permisos de replicación de Active Directory.
- Revisar los privilegios DS-Replication-Get-Changes.
- Revisar DS-Replication-Get-Changes-All.
- Auditar las cuentas con permisos de replicación.
- Supervisar eventos de replicación desde equipos no autorizados.
- Proteger las cuentas de administradores de dominio.
- Implementar una estrategia de recuperación de Active Directory.
- Supervisar cambios en grupos privilegiados y cuentas críticas.
La detección debe centrarse especialmente en solicitudes de replicación procedentes de sistemas que no sean controladores de dominio autorizados.
Movimiento lateral: Pass-the-Hash, Pass-the-Ticket y WinRM
Después de recopilar credenciales y material de autenticación, ARTEX intentó avanzar hacia otros sistemas de la infraestructura.
Los investigadores identificaron intentos de utilizar diferentes técnicas de movimiento lateral:
Pass-the-Hash (PtH): permite autenticarse utilizando hashes NTLM obtenidos previamente, sin necesidad de conocer la contraseña en texto claro.
Pass-the-Ticket (PtT): utiliza tickets Kerberos previamente obtenidos para autenticarse en otros servicios o equipos.
Windows Remote Management (WinRM): permite ejecutar operaciones administrativas de forma remota en sistemas Windows. Cuando está expuesto o mal configurado, puede convertirse en una vía de movimiento lateral.
Kerberos Relay: puede aprovechar configuraciones de autenticación vulnerables para retransmitir solicitudes de autenticación y obtener acceso no autorizado.
En los incidentes analizados, algunos intentos de movimiento lateral no tuvieron éxito debido a restricciones de Windows y a la intervención de soluciones de seguridad de endpoints.
Esto demuestra que los controles de seguridad tradicionales todavía pueden interrumpir operaciones automatizadas cuando están correctamente configurados.
La velocidad de los ataques automatizados con IA
Uno de los aspectos más preocupantes de ARTEX es la velocidad de ejecución.
Según la investigación de Google, determinadas ráfagas de actividad duraron aproximadamente entre 2 y 25 segundos.
En uno de los casos se observaron 27 eventos en apenas 23 segundos.
Además, cuando un script excedía determinados límites de ejecución, el framework podía reducir su contenido y volver a lanzarlo en aproximadamente 10 segundos.
Esta velocidad supone un desafío para los centros de operaciones de seguridad (SOC).
Los equipos defensivos deben ser capaces de correlacionar eventos de autenticación, ejecución de PowerShell, enumeración de directorios y actividad administrativa en ventanas temporales muy pequeñas.
Una investigación que anteriormente podía requerir varias horas de análisis manual ahora puede desarrollarse en una fracción de ese tiempo.
Grupos de amenazas relacionados con ARTEX
La investigación relaciona una campaña identificada por Google como UNC7228 con actividad que presenta solapamientos con el actor STORM-0940, identificado por Microsoft.
Wiz también ha seguido actividad relacionada con esta campaña.
En determinados incidentes, los atacantes consiguieron pasar de una cuenta comprometida a un acceso profundo en la infraestructura en aproximadamente cuatro horas. En un caso, la progresión se produjo en apenas 15 minutos.
Los sectores afectados incluyen:
- Administración pública.
- Tecnología.
- Industria química.
- Manufactura.
- Telecomunicaciones.
Microsoft también ha relacionado el uso de herramientas de agentes de IA con campañas contra entornos Microsoft 365 que aprovecharon credenciales robadas de ConnectWise.
Estas asociaciones deben interpretarse con cautela: la coincidencia de herramientas o técnicas no demuestra por sí sola que todas las operaciones pertenezcan al mismo grupo.
ARTEX fue retirado de GitHub, pero siguen circulando copias
Otro aspecto relevante es la disponibilidad de la herramienta.
Según el reporte, el autor original retiró el código de GitHub en octubre de 2026 después de que se identificara su utilización abusiva.
Sin embargo, eliminar el repositorio original no significa que el framework haya desaparecido.
Se identificaron copias y forks comunitarios, entre ellos proyectos denominados ScopeWeaver, además de una versión comercial conocida como ARTEX PRO.
Esto pone de manifiesto un problema recurrente en el ecosistema de herramientas ofensivas: una vez que el código se distribuye públicamente, su eliminación de un repositorio no garantiza que deje de estar disponible.
Indicadores de compromiso (IoC) asociados a ARTEX
Los siguientes indicadores fueron recogidos del reporte publicado por Cyber Security News a partir de la investigación de amenazas.
| Tipo | Indicador | Contexto |
|---|---|---|
| Dominio | webhook.site | Exfiltración de resultados mediante solicitudes curl hacia URLs rotativas |
| Patrón de archivo | artex-probe-* | Archivos de prueba con numeración incremental |
| Web shell | cl1217.jsp | Archivo asociado a actividad de web shell |
| Web shell | f1219a.jsp | Archivo asociado a actividad de web shell |
| Web shell | z1219.jsp | Archivo asociado a actividad de web shell |
| Nombre de cuenta | ArtexProbe | Patrón de cuentas creadas durante determinadas actividades |
| Atributo | is_admin=true | Atributo observado en cuentas creadas |
| Comandos SQL | SET GLOBAL general_log_file | Posible abuso del registro general de MySQL |
| Comandos SQL | SET GLOBAL general_log = 1 | Activación del registro general de MySQL |
| Infraestructura cloud | t3.micro | Instancias utilizadas como infraestructura de salto persistente |
Importante: estos indicadores no deben considerarse una lista universal de IoC ni una prueba definitiva de compromiso. Algunos son patrones contextuales y pueden aparecer en actividades legítimas. Es necesario correlacionarlos con registros, procesos, identidades y comportamiento de red.
El reporte original no publica hashes SHA-256 o MD5 específicos para identificar de manera inequívoca los binarios de ARTEX.
Reglas de detección: cómo identificar actividad relacionada con ARTEX
La detección de este tipo de amenazas requiere correlacionar diferentes fuentes de telemetría.
No es suficiente buscar un nombre de archivo o una dirección IP. Los atacantes pueden modificar los scripts, cambiar la infraestructura de mando y control o utilizar herramientas administrativas legítimas.
1. Detectar Kerberoasting
Supervisar el evento de seguridad de Windows:
Event ID 4769 – A Kerberos service ticket was requested.
Prestar especial atención a:
- Solicitudes TGS desde estaciones de trabajo no habituales.
- Solicitudes dirigidas a múltiples SPN.
- Volúmenes anómalos de tickets.
- Cuentas que solicitan tickets para numerosos servicios.
- Cifrado RC4 cuando no esté justificado por la infraestructura.
El uso de RC4 puede ser una señal relevante, aunque no todos los ataques Kerberoasting utilizan exclusivamente ese cifrado.
2. Detectar posibles ataques DCSync
Supervisar:
- Event ID 4662: operaciones sobre objetos de Active Directory.
- Event ID 4624: autenticaciones correctas.
- Event ID 4672: asignación de privilegios especiales.
- Event ID 5136: modificación de objetos del directorio.
En el evento 4662, investigar operaciones relacionadas con los derechos de replicación, especialmente:
- DS-Replication-Get-Changes.
- DS-Replication-Get-Changes-All.
- DS-Replication-Get-Changes-In-Filtered-Set.
Es fundamental habilitar las políticas de auditoría correspondientes y configurar las SACL necesarias para que estos eventos se generen.
3. Detectar actividad sospechosa de PowerShell
Supervisar:
- Event ID 4103: registro de módulos PowerShell.
- Event ID 4104: registro de bloques de scripts.
- Event ID 4688: creación de procesos.
Buscar ejecuciones de PowerShell contra controladores de dominio que realicen enumeración masiva de usuarios, grupos, SPN, cuentas de servicio o certificados.
4. Detectar movimiento lateral
Correlacionar:
- Event ID 4624, especialmente inicios de sesión de tipo 3 y 9 cuando corresponda.
- Event ID 4648: uso de credenciales explícitas.
- Event ID 4672: privilegios especiales.
- Event ID 7045: instalación de servicios.
- Event ID 5140: acceso a recursos compartidos de red.
También es importante supervisar conexiones WinRM, SMB y autenticaciones administrativas entre estaciones de trabajo que normalmente no se comunican.
Recomendaciones de mitigación para proteger Active Directory
Las organizaciones deben asumir que los atacantes pueden utilizar credenciales válidas y herramientas administrativas legítimas.
Por ello, la defensa debe combinar controles de identidad, segmentación, protección de endpoints, monitorización y respuesta a incidentes.
1. Fortalecer las cuentas privilegiadas
- Implementar cuentas administrativas independientes de las cuentas de usuario habituales.
- Aplicar MFA resistente al phishing cuando sea compatible.
- Utilizar Windows LAPS para administrar contraseñas de administradores locales.
- Evitar cuentas Domain Admin para tareas cotidianas.
- Aplicar el principio de mínimo privilegio.
- Revisar periódicamente las cuentas inactivas y los privilegios heredados.
2. Proteger las cuentas de servicio
- Migrar a gMSA cuando sea posible.
- Eliminar contraseñas débiles o compartidas.
- Auditar todos los SPN.
- Evitar privilegios administrativos innecesarios.
- Monitorizar solicitudes Kerberos anómalas.
3. Proteger los controladores de dominio
Los controladores de dominio deben tratarse como activos críticos.
Recomendaciones:
- Restringir el acceso interactivo.
- Evitar navegación web y correo electrónico.
- Limitar las conexiones administrativas.
- Aplicar segmentación de red.
- Mantener EDR actualizado.
- Restringir WinRM y SMB a equipos autorizados.
- Monitorizar cambios en políticas y grupos privilegiados.
4. Implementar Microsoft Defender for Identity
Microsoft Defender for Identity puede ayudar a detectar comportamientos relacionados con:
- Reconocimiento de Active Directory.
- Kerberoasting.
- DCSync.
- Movimiento lateral.
- Actividad sospechosa de cuentas privilegiadas.
Su eficacia depende de la cobertura de sensores, configuración, licenciamiento y políticas de respuesta.
5. Implementar EDR y XDR
Soluciones como Microsoft Defender for Endpoint, CrowdStrike Falcon y otros productos EDR/XDR permiten analizar comportamientos sospechosos en endpoints.
Es recomendable configurar alertas para:
- Ejecuciones anómalas de PowerShell.
- Herramientas de dumping de credenciales.
- Acceso sospechoso a LSASS.
- Creación de servicios remotos.
- Ejecución de scripts administrativos desde estaciones no autorizadas.
- Conexiones hacia dominios y servicios externos inusuales.
6. Segmentar la infraestructura
La segmentación limita la capacidad de los atacantes para desplazarse entre sistemas.
Separar, como mínimo:
- Controladores de dominio.
- Servidores de aplicaciones.
- Estaciones de trabajo.
- Equipos administrativos.
- Servidores de bases de datos.
- Infraestructura cloud.
- Sistemas de respaldo.
Las reglas de firewall deben permitir únicamente las comunicaciones necesarias.
Medidas de protección en AWS y entornos cloud
Aunque ARTEX se centra principalmente en operaciones contra entornos Windows y Active Directory, las organizaciones híbridas también deben proteger sus infraestructuras cloud.
AWS WAF no es una solución directa contra Kerberoasting, DCSync o Pass-the-Hash, ya que estos ataques se producen en la capa de identidad y autenticación, no necesariamente a través de aplicaciones web.
Sin embargo, existen controles complementarios importantes.
AWS WAF
Utilizar AWS WAF para proteger aplicaciones web expuestas a Internet mediante:
- AWS Managed Rules.
- Protección frente a ataques web comunes.
- Rate-based rules.
- Reglas personalizadas para solicitudes anómalas.
- Integración con AWS CloudFront o Application Load Balancer.
Amazon GuardDuty
Habilitar GuardDuty para detectar comportamientos sospechosos en cuentas AWS, actividad anómala y posibles indicadores de compromiso en los servicios compatibles.
AWS CloudTrail
Centralizar los eventos de API para investigar:
- Creación de usuarios y roles.
- Cambios en políticas IAM.
- Generación de claves de acceso.
- Uso inusual de credenciales.
- Modificaciones de controles de seguridad.
- Actividad administrativa desde ubicaciones o identidades inesperadas.
AWS IAM y AWS IAM Identity Center
- Aplicar mínimo privilegio.
- Exigir MFA.
- Evitar credenciales permanentes.
- Preferir credenciales temporales.
- Revisar roles y políticas.
- Implementar separación de funciones.
AWS Security Hub
Centralizar hallazgos de seguridad y establecer procesos de remediación y seguimiento.
En entornos híbridos, también es necesario revisar los conectores de sincronización de identidades entre Active Directory y los servicios cloud. Una cuenta comprometida en el entorno local puede representar un riesgo para los recursos conectados.
¿Cómo debe prepararse un SOC frente a ataques impulsados por IA?
La aparición de ARTEX demuestra que los SOC necesitan evolucionar hacia modelos de detección basados en comportamiento.
La búsqueda exclusiva de firmas, hashes y direcciones IP conocidas resulta insuficiente cuando el atacante utiliza cuentas legítimas y herramientas administrativas habituales.
Un programa de detección debería incluir:
- Correlación de eventos de autenticación.
- Monitorización de solicitudes Kerberos.
- Detección de operaciones DCSync.
- Análisis de PowerShell.
- Identificación de movimiento lateral.
- Supervisión de cambios en grupos privilegiados.
- Detección de exfiltración mediante servicios externos.
- Investigación de accesos administrativos desde equipos no habituales.
- Detección de cuentas creadas y utilizadas en intervalos anómalos.
- Respuesta automatizada ante comportamientos de alto riesgo.
También es recomendable desarrollar ejercicios de Purple Team para comprobar si los controles detectan las técnicas utilizadas por este tipo de frameworks.
ARTEX demuestra una nueva etapa en la automatización de los ciberataques
ARTEX representa un ejemplo significativo de cómo la inteligencia artificial puede acelerar las operaciones ofensivas contra infraestructuras empresariales.
Su capacidad para coordinar agentes, enumerar Active Directory, automatizar Kerberoasting, intentar extraer credenciales mediante DCSync y ejecutar técnicas de movimiento lateral demuestra que las amenazas no necesitan desarrollar nuevas técnicas para aumentar su impacto.
En muchos casos, basta con automatizar y encadenar técnicas conocidas con mayor velocidad y coordinación.
Para las organizaciones, el desafío ya no consiste únicamente en detectar malware o bloquear herramientas maliciosas. También es necesario identificar comportamientos anómalos ejecutados mediante credenciales legítimas, PowerShell y protocolos administrativos habituales.
La protección de Active Directory, la gestión segura de identidades, la segmentación de red y la monitorización continua deben convertirse en prioridades.
La inteligencia artificial está acelerando el ciclo de ataque. La respuesta defensiva debe evolucionar al mismo ritmo.
Preguntas frecuentes (FAQ)
¿Qué es ARTEX en ciberseguridad?
ARTEX es un framework ofensivo desarrollado en Go que utiliza múltiples agentes para automatizar operaciones de reconocimiento, enumeración, robo de credenciales y movimiento lateral en infraestructuras empresariales.
¿ARTEX utiliza inteligencia artificial para hackear Active Directory?
Sí. Su arquitectura multiagente permite coordinar tareas ofensivas y automatizar operaciones contra Active Directory, incluyendo enumeración, Kerberoasting y acciones posteriores al compromiso de credenciales.
¿Qué es Kerberoasting y cómo se relaciona con ARTEX?
Kerberoasting es una técnica que permite solicitar tickets Kerberos asociados a cuentas de servicio y realizar ataques de cracking offline para intentar recuperar sus contraseñas. ARTEX automatiza parte de este proceso.
¿Qué es un ataque DCSync?
DCSync es una técnica que abusa de los permisos de replicación de Active Directory para obtener información de autenticación, incluyendo hashes de cuentas privilegiadas.
¿Cómo detectar ARTEX en una red empresarial?
Es necesario correlacionar eventos Kerberos 4769, operaciones de replicación 4662, ejecución de PowerShell 4104, autenticaciones 4624 y actividad de movimiento lateral.
¿Cómo proteger Active Directory contra ataques automatizados con IA?
Las principales medidas incluyen gMSA, MFA, mínimo privilegio, segmentación de red, protección de controladores de dominio, EDR, auditoría de Kerberos y monitorización de operaciones DCSync.
¿AWS WAF puede bloquear ARTEX?
AWS WAF protege aplicaciones web, pero no está diseñado para detener directamente técnicas como Kerberoasting, DCSync o Pass-the-Hash. Para estos riesgos deben utilizarse controles de identidad, monitorización y protección de endpoints y redes.
Fuentes y referencias
- Google Cloud Threat Intelligence Group / Mandiant: https://cloud.google.com/blog/topics/threat-intelligence/artex-and-friends-enter-agentic-offensive-frameworks
- Cyber Security News: https://cybersecuritynews.com/hackers-use-artex-ai-agents/
- Microsoft Learn – Kerberos authentication: https://learn.microsoft.com/en-us/windows-server/security/kerberos/kerberos-authentication-overview
- Microsoft Learn – Group Managed Service Accounts: https://learn.microsoft.com/en-us/windows-server/identity/ad-ds/manage/group-managed-service-accounts/group-managed-service-accounts-overview
- Microsoft Learn – Windows security auditing: https://learn.microsoft.com/en-us/windows/security/threat-protection/auditing/basic-audit-policy-recommendations
- AWS WAF: https://docs.aws.amazon.com/waf/
- Amazon GuardDuty: https://docs.aws.amazon.com/guardduty/
Aviso: Los indicadores de compromiso y las técnicas descritas deben validarse en un entorno controlado antes de generar reglas de bloqueo o respuestas automáticas.
