Cyber-KAO

12/09/2026

Ya somos 20 en la nueva comunidad de la forja de Kao, si te gusta el blueteam o quieres comenzar a aprender, esta comunidad de discord es para ti, únete, primero en el canal del responde las 3 preguntas para conocerte y después en el canal del participa en el primer caso de uso y compartamos soluciones: https://discord.gg/zdWggwzvh

Check out the La forja de Kao community on Discord - hang out with 21 other members and enjoy free voice and text chat.

11/09/2026

🛡️ ¡Alerta de Seguridad en KAO.LOCAL!

Nuestro especialista ha detectado un hallazgo crítico en el último reporte de ADShield. El check CHK-006: Remove all members from the Schema Admins group ha dado FAIL.

🚨 Tenemos 1 miembro permanente asignado a este grupo altamente privilegiado.

💻 A la comunidad de ciberseguridad:

¿Por qué es un riesgo tener miembros permanentes en Schema Admins?

¿Cuál es la forma correcta y segura de remediar esta situación?

¡Déjanos tus respuestas en los comentarios y ayúdanos a proteger KAO.LOCAL! 👇

10/09/2026

El atacante no siempre busca pasar desapercibido; a veces solo necesita ganar tiempo borrando sus huellas.

Un clásico en respuesta a incidentes: entras al visor de eventos y el registro de Security está en blanco o con un hueco inexplicable de tres horas.

Borrar el log no borra la intrusión, solo la hace más evidente si sabes dónde mirar:

Event ID 1102 (Security): El registro de auditoría fue limpiado deliberadamente.

Event ID 104 (System): El archivo de log fue vaciado.

Telemetría de procesos: Monitorear llamadas nativas a wevtutil cl o ejecuciones administrativas de PowerShell ejecutando Clear-EventLog.

Correlación SIEM: Si el reenvío de eventos (WEF / Syslog) está bien diseñado, el evento de borrado en el endpoint es la alerta más ruidosa de tu SOC.

La regla de oro: la consola no se apaga a ciegas. Si el rastro local desaparece, la arquitectura centralizada debe delatar el movimiento.

En la trinchera no confiamos en la suerte; templamos la telemetría.

🔥 Comenta "FORJA" y te comparto el acceso al server de discord

09/09/2026

Comenta Forja y te paso el link de discord para que te unas a la comunidad

09/09/2026

Excelente miércoles para todos.

Muchos espacios de ciberseguridad se quedan en acumular certificados o discutir noticias desde la teoría. Hace falta más trinchera: hablar de lo que realmente pasa cuando se cae una política, cuando un log no cuadra o cuando hay que blindar identidades en producción sin romper la operación.

Por eso abrí La Forja de Kao.

No es un canal para inflar egos ni para compartir PDFs que nadie lee. Es un espacio de colaboración técnica enfocado en:

Blue Team real: Detección analítica, telemetría y respuesta a incidentes.

Protección de Identidad: Hardening nativo de Active Directory y arquitecturas de acceso.

Threat Hunting: Búsqueda activa de anomalías, consultas KQL y análisis de amenazas sin depender ciegamente de consolas comerciales.

Troubleshooting abierto: Traer broncas de laboratorio o producción para desmenuzarlas y resolverlas entre colegas.

La regla de oro del taller es simple: erradicar el gatekeeping. Aprender sin miedo a preguntar frente a la consola y compartir lo que ya dominas para ayudar al que viene un paso atrás.

Si estás en la trinchera defensiva o quieres forjar criterio técnico de verdad:

🔥 Comenta "FORJA" o déjame un mensaje y te paso el acceso directo a la comunidad.

Nos vemos junto al fuego.

s

08/09/2026

El 80% de los reportes de pentest terminan igual: "Riesgo Crítico: La cuenta X puede ejecutar DCSync y extraer los hashes del dominio."

(Desliza para leer el cómic 👉)

¿La solución rápida que muchos aplican?
Entrar a la consola de usuarios, buscar la cuenta señalada, quitar permisos al azar o borrarla.

Tres semanas después, un servicio crítico de autenticación se cae o, peor aún, en la siguiente auditoría vuelve a aparecer otra cuenta con los mismos privilegios.

El problema nunca fue la cuenta. El problema es la deuda técnica de delegaciones heredadas en Active Directory:

🔹 Permisos implícitos: OUs sin romper herencia estructurada donde cualquier operador de soporte tiene ResetPassword sobre cuentas con privilegios.
🔹 Replicación no documentada: Cuentas de servicio configuradas hace cinco años para sincronizaciones obsoletas que conservaron DS-Replication-Get-Changes-All.
🔹 Fantasmas de AdminSDHolder: Permisos huérfanos que el sistema sigue reaplicando en segundo plano aunque creas haberlos quitado manualmente.

La remediación de raíz no requiere comprar otra plataforma de seis cifras; requiere entender qué dice la ACL nativa y aplicar un modelo de tiers estricto.

Armé un Checklist Técnico + Script nativo en PowerShell para mapear en minutos:

Cuentas no controladoras con derechos de replicación activos.

Permisos de escritura directa (GenericAll, WriteDacl) sobre el Tier 0.

Rutas de escalamiento ocultas por herencia en OUs críticas.

Si quieres auditar tu entorno o probarlo en tu laboratorio:
👇 Comenta YUNQUE en este post y te comparto el Gist directo por mensaje privado.

—
Cyber-Kao | Ciberseguridad para todos.

07/09/2026

Quieres unirte mándame mensaje directo y te paso el link de mi server de discord , a los primeros en unirse les regalaré un script para hacer una assesment de Acls en Ad …

Mira, sigue y descubre más contenido popular.

07/09/2026

El 80% de los reportes de pentest terminan en un Domain Admin por la misma razón: delegaciones que nadie recuerda haber configurado.

(Desliza para leer el cómic completo 👉)

La historia se repite en casi cualquier auditoría: la empresa invierte una fortuna en el EDR más sofisticado del cuadrante, pero el auditor obtiene control total del dominio en menos de dos horas sin disparar una sola alerta crítica.

¿Cómo? A través de ACLs permisivas y delegaciones ocultas en Active Directory.

Con los años, los entornos corporativos acumulan "capas geológicas" de permisos:
🔹 El script de RH de hace cinco años que requería permisos de escritura.
🔹 El usuario de Helpdesk con derechos de ResetPassword sobre grupos anidados privilegiados.
🔹 Permisos de WriteDacl o GenericAll otorgados a un proveedor y que jamás se revocaron.

Si un atacante abusa de estas relaciones de control nativas (como extraer credenciales vía DCSync), el agente de 50,000 USD se queda ciego. El problema no es la falta de herramientas; es la falta de criterio arquitectónico.

Si defiendes identidades, antes de pensar en adquirir otra solución mágica, debes auditar estos tres vectores residuales:

1. AdminSDHolder: Cuentas con permisos residuales que ya no deberían existir.
2. OUs Críticas: Relaciones de control y modificación sobre contenedores de administradores.
3. Derechos DCSync: Permisos de replicación asignados a cuentas que no son Controladores de Dominio.

Para resolver esto en producción no necesitas depender de software de terceros. Armé una Guía Técnica de Auditoría de ACLs y Delegaciones Críticas en AD (Checklist de revisión rápida + consultas nativas en PowerShell para mapear estas relaciones antes de que te las señale un auditor externo).

💬 Comenta YUNQUE en este post y te la comparto directamente por mensaje privado.

—
Cyber-Kao | Ciberseguridad para todos.

05/09/2026

Ya estamos en clase de BLUETEAM .. analizando cómo podemos acceder desde fuera a una empresa … para después comenzar a mitigarlo….