Seguridad de identidad

Identity Security es la SKU unificada de protección de identidad de SentinelOne. Cubre tres motores: ISPM (evaluación de la postura de Active Directory), ISIDP (protección en tiempo real de los controladores de dominio) e IDR (señuelos en los endpoints). La integración con Microsoft Entra ID es opcional.

Todas las rutas a continuación se refieren a la barra lateral de Singularity Operations Center (Políticas y configuración es el botón en la parte inferior de la barra lateral).

Requisitos previos

Valida antes de tocar la consola.

Elemento

Requisito

Licencias

Endpoint (Core, Control o Complete) + Seguridad de identidad, en la cuenta y en cada sitio

Agentes de Windows

≥ 25.2.3.437 en los DC, servidores y el servidor AD Connector. Estaciones de trabajo (IDR): ≥ 24.1.5.277.

Agente de identidad heredado

Los DC ya con el agente de Windows 25.2: no hay nada que hacer. Solo si el Agente de identidad heredado sigue presente: desinstálalo y luego reinicia (nunca junto con el agente de Windows)

Servidor AD Connector

Servidor miembro del dominio (no un DC), siempre encendido, 4 vCPU / 16 GB de RAM

Flujos de AD Connector → DC

53 · 88 · 389/636 · 445 · 5986 (WinRM HTTPS) · Registro de eventos RPC

Flujos salientes

HTTPS 443 / WebSocket a la consola S1 de tu región

Cuenta de servicio de AD

Usuario estándar con contraseña que no caduca, Kerberos AES 128/256, miembro de Usuarios de administración remota y Lectores del Registro de eventos

En cada DC:

winrm quickconfig -transport:https     :: WinRM HTTPS (certificado emitido para el FQDN del DC)
winrm configsddl default               :: Lectura + ejecución para la cuenta de servicio
:: Firewall: permitir TCP 5986 + "Administración remota del registro de eventos (RPC / RPC-EPMAP)"

Habilita el motor de identidad

Políticas y configuración > Endpoint/Cloud Workload Security > Política > Motores de detección

Selecciona el alcance de la cuenta (o Site para un MSSP) en el selector de alcance de la parte superior, luego habilita Identity Detection & Response.
Mantén la configuración de identidad predeterminada, con el intervalo de actualización establecido en al menos 60 min.
En Políticas y configuración > Cuentas, establece Modo de postura de seguridad de identidad a Completo.

AD Connector y dominio

Políticas y configuración > Seguridad de identidad > Active Directory > Conectar AD

Los ejemplos de esta sección usan un bosque ficticio acme.local, con el dominio secundario corp.acme.local (NetBIOS CORP).

Crear la cuenta de servicio de AD

ISPM, ISIDP e IDR solo necesitan acceso de lectura. No es necesaria una cuenta de Domain Admin y no se recomienda. Los scripts de corrección de ISPM se ejecutan por separado, manualmente, por un Domain Admin.

Requisito

Por qué

Usuario estándar dedicado (p. ej. svc-s1-identity)

Solo lectura es suficiente y garantiza la trazabilidad

Contraseña larga y aleatoria que nunca caduca

Si la contraseña cambia en AD, la conexión se cae (estado Deshabilitado)

Creada en el bosque dominio raíz

Necesario para evaluar todo el bosque con Monitor subdominios

Kerberos AES 128 y AES 256 marcado

Necesario para la evaluación

Miembro de Usuarios de administración remota

Acceso WinRM a los DC (amenazas y algunas exposiciones)

Miembro de Lectores del Registro de eventos

Lee los registros de seguridad del DC (IP de origen y usuario en las detecciones)

Lectura en adminSDHolder, KRBTGT, Administrator, Domain / Schema / Enterprise Admins, contenedor MicrosoftDNS

De lo contrario, se genera la exposición "Permisos insuficientes para la evaluación de exposición de AD"

Lectura en CN=Deleted Objects

Detecta eliminación masiva de cuentas

Ejemplo de PowerShell, para ejecutar en un DC o con RSAT, ajustando los nombres según sea necesario:

# 1. Crear la cuenta
New-ADUser -Name "svc-s1-identity" -SamAccountName "svc-s1-identity" `
  -UserPrincipalName "svc-s1-identity@acme.local" -Path "OU=Service Accounts,DC=acme,DC=local" `
  -AccountPassword (Read-Host -AsSecureString "Password") -Enabled $true `
  -PasswordNeverExpires $true -CannotChangePassword $true `
  -KerberosEncryptionType AES128,AES256

# 2. Grupos integrados
Add-ADGroupMember -Identity "Remote Management Users" -Members "svc-s1-identity"
Add-ADGroupMember -Identity "Event Log Readers"       -Members "svc-s1-identity"

:: 3. Derechos de lectura (List Contents + Read Property), heredados
dsacls "DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP
dsacls "CN=Deleted Objects,DC=acme,DC=local" /takeownership
dsacls "CN=Deleted Objects,DC=acme,DC=local" /I:T /g ACME\svc-s1-identity:LCRP

:: 4. En CADA DC: acceso WinRM y lectura del registro de seguridad para Network Service
winrm configsddl default                       :: añade la cuenta, comprueba Lectura + ejecución
wevtutil gl security                           :: la salida debe contener (A;;0x1;;;S-1-5-20)
wevtutil sl security /ca:"<SDDL actual>(A;;0x1;;;S-1-5-20)"

Con subdominios Monitor, repite los dsacls comandos en cada dominio donde se hayan restringido los permisos predeterminados.

Elige el servidor AD Connector

Servidor miembro del dominio, no un DC. Ejemplo: srv-s1adc01.corp.acme.local.
Siempre encendido y no puesto en cuarentena de red, agente de Windows ≥ 25.2.3.437.
Debe resolverse vía DNS y llegar a cada dominio declarado en los puertos 53, 88, 389/636, 445 y 5985/5986.
Un solo bosque, incluso con múltiples dominios: un conector es suficiente. Bosques aislados sin confianza: un conector por bosque.

Comprobaciones rápidas para ejecutar desde este servidor:

Resolve-DnsName corp.acme.local
Test-NetConnection dc01.corp.acme.local -Port 636     # LDAPS
Test-NetConnection dc01.corp.acme.local -Port 5986    # WinRM HTTPS

Completa el asistente Conectar AD

AD Connector: escribe al menos 3 caracteres del nombre del host (p. ej. srv), elige el endpoint con estado verde y luego Siguiente. Un banner confirma la conexión después de unos minutos.
Servidor: completa los campos de la tabla siguiente y luego Siguiente. La consola ejecuta una prueba LDAP y el dominio se guarda solo si la prueba se realiza correctamente.
Señuelos: configura los señuelos (ver abajo) y luego Finalizar.

Campo

Qué introducir

Ejemplo

Sitio

En el alcance de la cuenta: los sitios que heredan este dominio (útil para IDR e ISIDP). "Todos" no cubre los sitios creados más tarde.

París, Lyon

Nombre de dominio

El FQDN DNS, nunca el nombre NetBIOS. Para cubrir todo el bosque, introduce el dominio raíz.

acme.local o corp.acme.local, no CORP

subdominios Monitor

Evalúa cada dominio del bosque (el mismo árbol y otros árboles). Sin esta casilla, los subdominios se descubren pero no se evalúan.

Marcado

FQDN del controlador de dominio

El FQDN de un DC del dominio, que el AD Connector pueda resolver. Se acepta un RODC. Sin dirección IP. Los demás DC se descubren automáticamente (primero el PDC).

dc01.corp.acme.local, no 10.0.0.10

Nombre de usuario del dominio

La cuenta de servicio, en formato UPN, NetBIOS o nombre simple

svc-s1-identity@acme.local, ACME\svc-s1-identity, o svc-s1-identity; no ACME.LOCAL\svc-s1-identity

Contraseña del dominio

Introduce con cuidado: una contraseña incorrecta bloquea la cuenta tras intentos repetidos

Programa de actualización (día, hora, zona horaria)

Actualización de datos de AD, para programarla fuera de las horas punta. No activa la evaluación de ISPM, que permanece fija en sábado a las 04:00 UTC.

Domingo · 02:00 · Europe/Paris

Protocolos y opciones

Opción	Elección	Requisitos previos y consecuencias
Método LDAP	LDAPS (636), recomendado	Cifra el tráfico entre el conector y los DC. Requiere un certificado de servidor válido en los DC (AD CS o un certificado "Kerberos / Domain Controller Authentication") y el puerto 636 abierto. Comprueba: `ldp.exe`, conexión SSL a `dc01.corp.acme.local:636`.
Método LDAP	LDAP (389)	Canal sin cifrar, reservado para DC sin certificado o para la resolución de problemas. El error "La conexión LDAPS falló" te pide que lo reintentes por LDAP. Puertos fijos, no configurables.
Método WinRM	HTTPS (5986), recomendado	Requiere un listener HTTPS en cada DC, con un certificado cuyo Subject es el FQDN del DC (el certificado LDAPS funciona), y el puerto 5986 abierto: `winrm quickconfig -transport:https`.
Método WinRM	HTTP (5985)	Si los DC no tienen certificado. La autenticación sigue siendo Kerberos, pero `AllowUnencrypted=true` es necesario tanto en el cliente como en el servicio. Sin WinRM en todos los DC, Threat Detection falla y algunas exposiciones se vuelven Omitidas.
Referencia LDAP	Marcado si el bosque tiene subdominios	Sigue las referencias a subdominios: las políticas de ISIDP e IDR también se aplican entonces a los dominios secundarios, que se vuelven visibles en la Configuración de protocolos. La cuenta debe poder consultar estos subdominios. Si se habilita después, ejecuta Actualizar datos de AD.
Sincronización de AD	Marcado	Sincroniza atributos de usuarios y grupos. Necesario para Threat Detection, CCP, el escaneo de cuentas comprometidas y el inventario de activos. La primera sincronización puede tardar un poco.
Threat Detection	Marcado (requiere Sincronización de AD)	Amenazas de ISPM en tiempo real: spray de contraseñas, bloqueos y restablecimientos masivos, etc. Se basa en una conexión LDAP persistente al PDC y en WinRM. Desactivarlo elimina los objetos sincronizados.
Acceso mediante confianza	Solo para otro bosque de confianza	Para evaluar un dominio en otro bosque usando la cuenta del bosque principal. Dos campos adicionales: Nombre de dominio de confianza y Controlador de dominio de confianza (FQDN, sin IP). No se puede editar después: elimina y vuelve a crear.

Ejemplo de acceso mediante confianza: el filiale.local bosque confía en acme.local. Introduce Nombre de dominio = filiale.local, Nombre de usuario = svc-s1-identity@acme.local, Acceso mediante confianza = marcado, Nombre de dominio de confianza = acme.local, Controlador de dominio de confianza = dc01.acme.local. El conector debe resolver y alcanzar los filiale.local DC.

Señuelos (usados por IDR)

Campo

Consejo

Ejemplo

País para el generador de nombres

País coherente con tus usuarios

Francia

Prefijo de servicio (SPN)

El prefijo de tus cuentas de servicio reales, si las hay

svc

Formato del nombre

El mismo formato que tus nombres de usuario reales. Variables: %FN% (nombre), %LN% (apellido), %FNI% y %LNI% (iniciales), %#n% (n dígitos aleatorios).

%FNI%.%LN% → j.dupont

Formato del nombre de host

Modelado según la nomenclatura de tus estaciones de trabajo y DC

Personalizado: PC- + dígitos

Formato de dirección IP

Rango o CIDR de más de 250 direcciones, nunca usado en producción (de lo contrario, falsos positivos)

10.250.0.0/24

Ya no se pueden editar los señuelos mientras una política activa de protección de identidad cubre el dominio.

Después de la validación

El estado del dominio cambia a Habilitado. Vuelve a Deshabilitado si el conector se cae o cambia la contraseña de la cuenta.
La consola ejecuta el aprendizaje de AD, la sincronización y luego la evaluación de ISPM (unos 30 min). Los dominios añadidos a la vez se procesan uno tras otro.
Se crean políticas predeterminadas, inactivo.
Cada dominio solo puede declararse una vez por organización. Tras eliminar uno, espera 120 s antes de volver a crearlo. Después de añadir un DC, haz clic en Actualizar datos de AD, de lo contrario aparecen falsos positivos de DCSync.

Error al guardar

Acción

La autenticación falló

Comprueba la cuenta y la contraseña (y cualquier bloqueo)

La conexión LDAPS falló

Comprueba el certificado del DC y el puerto 636, o vuelve a LDAP

La cuenta de usuario no tiene los permisos…

Revisa los derechos en "Crear la cuenta de servicio de AD" arriba

El controlador de dominio está caído / no disponible / ocupado

Comprueba DNS y los flujos desde el AD Connector y luego reintenta

ISPM: postura de AD

Políticas y configuración > Seguridad de identidad > Configuración de postura de identidad

No hay nada más que hacer: la evaluación comienza en cuanto se guarda el dominio (unos 30 min), y luego se ejecuta cada sábado a las 04:00 UTC.

Para un análisis inmediato: Analizar ahora.
Para revisar los resultados: Errores de configuración > Identidad. Atiende primero las exposiciones Críticas y Altas (haz clic en la mala configuración y luego Acciones > Mitigar > Descargar script).

ISIDP: protección de DC

Políticas y configuración > Seguridad de identidad > Políticas de identidad (Política del proveedor de identidad / política de Acceso condicional pestañas)

En el paso anterior se crearon dos políticas predeterminadas, inactivas y de solo lectura. Duplicarlas:

política de Acceso condicional: duplicar Default_policy_account_ca, añade un Basado en ataques regla que cubre todos los ataques con el Auditoría acción, luego actívala.
Política del proveedor de identidad: duplicar Default_policy_account_idp y comprueba lo siguiente:
- Todos los dominios están seleccionados y Aplicar a servidores Windows está marcada.
- La validación PAC permanece habilitada, a menos que exista una solución PAM o JIT. Modo de aprendizaje: habilitado, 4 días.
- Protocolos Kerberos, LDAP, SAMR y LSARPC marcados. Complemento: Fijar versión en N-1.
- Recomendado: Configuración de credenciales comprometidas habilitado (bases de datos filtradas, sin mitigación al principio).
- La política de CA del paso 1 está seleccionada.
Acciones > Activar política. Para aplicar de inmediato: barra lateral Sentinels > Endpoints, selecciona los controladores de dominio, luego Acciones > Acciones del agente > Aplicar cambios de la política de identidad.

Después de unos días sin falsos positivos, cambia las reglas de ataque de Auditoría a Bloquear.

IDR: señuelos en endpoints

Políticas y configuración > Seguridad de identidad > Políticas de identidad > Política de protección de identidad

Haz clic en Nueva política de protección de identidad, con la respuesta de AD PowerShell configurada en Alerta.
Añade 4 reglas: Administradores con privilegios, Cuentas de servicio, Controladores de dominio, Administradores delegados. Selecciona los objetos reales y luego marca Añadir señuelos y Ocultar objetos reales.
Crear, luego Acciones > Activar política.

Prueba desde una estación de trabajo unida al dominio: net group "Domain Admins" /domain debería devolver una cuenta señuelo. Con un agente 25.2.3 o superior, la detección aparece como un indicador en Búsqueda de eventos (consulta: indicator.name = 'IdentityDeceptivePing'). Otras alertas están en Alertas.

Microsoft Entra ID (opcional)

Solo si el cliente usa Entra ID: Políticas y configuración > Cuentas en la nube > Microsoft Azure

Conectar un inquilino de Entra ID

Requerido: un inquilino Administrador global cuenta y el ID de inquilino. Opcional: el ID de objeto de un grupo de "usuarios de riesgo".

Conectar cuenta: tipo Inquilino, comprueba Habilitar la seguridad de identidad.
Nombre de la conexión, ID de inquilino y Sincronizar cuentas de usuario de Microsoft Entra ID habilitado.
En Azure: Propiedades del inquilino > Administración de acceso para recursos de Azure = Sí, luego cierra sesión y vuelve a iniciar sesión.
Descarga la plantilla de Terraform y ejecútala en Azure Cloud Shell:

terraform init && terraform apply -auto-approve

Pega application_id y client_secret, luego Seleccionar todo y la incorporación automática, y Finalizar.

El secreto caduca después de un año: planifica su renovación.

Los resultados aparecen en Errores de configuración > Identidad.

Verifica que se genere una alerta

Desde una estación de trabajo unida al dominio, con una cuenta de dominio, preferiblemente en un entorno piloto.

Para ver los resultados de inmediato: en la política del proveedor de identidad, deshabilita temporalmente el modo de aprendizaje (durante el aprendizaje, solo se generan alertas de nivel Alto). Luego aplica la política a los controladores de dominio.
Ejecuta los comandos:

net group "Domain Admins" /domain      :: ISIDP (SAMR) + IDR (señuelo en la respuesta)
dsquery * -filter "(admincount=1)"      :: ISIDP (LDAP), requiere las herramientas RSAT de AD

Comprueba la Alertas barra lateral (período Última hora), Motor de detección filtro:
- ADSecure-DC, -SAMR o -LDAP para ISIDP (enumeración de cuentas privilegiadas).
- ADSecure-EP para IDR. Con un agente 25.2.3 o superior, busca el indicador en Búsqueda de eventos en su lugar.
Vuelve a habilitar el modo de aprendizaje una vez validada la prueba.

Comprobación final

El conector de AD muestra un estado activo en Políticas y configuración > Seguridad de identidad > Active Directory.
Las configuraciones incorrectas de ISPM aparecen en la Errores de configuración barra lateral, pestaña Identidad.
La política de Acceso condicional y la política del proveedor de identidad están activas.
La política de protección de identidad está activa.
El Paneles > Identidad muestra datos, y las alertas son visibles en Alertas > Identidad.
Los activos de AD y Entra son visibles en Inventario > Identidad.

AnteriorMódulos complementarios

SiguienteRequisitos de red

Última actualización hace 17 días

¿Te fue útil?