DCSync
El protocolo de replicación de DCs (DRSUAPI) permite pedir hashes de cualquier cuenta si tienes los permisos Replicating Directory Changes.
Categoría: Active Directory · Vectores avanzados 🎯 Trinchera — El protocolo de replicación de DCs (DRSUAPI)
permite pedir hashes de cualquier cuenta si tienes los permisos
Replicating Directory Changes. No necesitas estar en el DC.
🔗 Kill chain — Requisito: Replicating Directory Changes (All)
sobre la raíz del dominio (Domain Admins, Enterprise Admins, MSOL_*,
controllable vía DCSync rights mal asignados). Salida: hashes de
todo el dominio incluyendo krbtgt.
📡 Huella defensiva — Event ID 4662 con
{1131f6aa-9c07-11d1-f79f-00c04fc2dcd2} (DS-Replication-Get-Changes-All)
desde IP no DC. Detección estándar en Defender for Identity.
⚠️ Falso amigo — secretsdump -just-dc-ntlm también funciona
sobre LSASS dump si no tienes red al DC.
🛡️ Remediación — Auditar quién tiene los Replicating rights
(scripts Get-ADReplAccount); rotar krbtgt 2× cada 180 días;
Protected Users group.
← Volver al glosario completo Última actualización: 2026-06-11