LAPS

Local Administrator Password Solution establece automáticamente una contraseña aleatoria y única para la cuenta de administrador local integrada de cada equipo unido al dominio, la rota según una programación y la almacena como atributo protegido en el objeto de equipo de Active Directory (o en Microsoft Entra ID). Windows LAPS, integrado en Windows desde las actualizaciones de abril de 2023, sustituye al antiguo "LAPS heredado" independiente y añade cifrado de la contraseña, historial de contraseñas, administración de la contraseña DSRM en los controladores de dominio y rotación automática tras su uso.

Es importante porque una contraseña de administrador local compartida es una de las formas más rápidas de moverse lateralmente: se compromete una estación de trabajo y se reutiliza el mismo hash en todas partes mediante pass-the-hash. LAPS rompe esa reutilización. A partir de ahí, la seguridad de LAPS depende de quién puede leer el atributo de la contraseña, así que audite el permiso "All extended rights" y los permisos de lectura en las OU de equipos, habilite el cifrado para que solo un grupo autorizado pueda descifrar la contraseña y registre las consultas de contraseñas para detectar accesos inusuales.

Consulte Implementación de Windows LAPS.