Guía de Instalación y Login de BloodHound CE

BloodHound es una de las herramientas más reveladoras y potentes en el arsenal de cualquier profesional de la ciberseguridad. Ya seas parte de un equipo de pentesting (red team) o de defensa (blue team), entender las relaciones ocultas y las rutas de ataque en un entorno de Active Directory o Azure es crucial. Sin embargo, el primer obstáculo para muchos es la instalación y el primer inicio de sesión, especialmente con la nueva Community Edition (CE) que se basa en Docker. Esta guía te llevará de la mano a través de todo el proceso en Kali Linux, resolviendo los errores más comunes y dejándote listo para empezar a cazar.

¿Qué es Exactamente BloodHound y Por Qué Deberías Usarlo?

En esencia, BloodHound utiliza la teoría de grafos para visualizar las relaciones de permisos y privilegios dentro de un entorno de Active Directory (AD), Entra ID (anteriormente Azure AD) y Azure IaaS. En lugar de ver una lista interminable de usuarios y grupos, BloodHound te presenta un mapa interactivo que revela cómo una cuenta con pocos privilegios podría, a través de una cadena de relaciones complejas, llegar a comprometer a un administrador de dominio. Esto es lo que se conoce como una "ruta de ataque".

Para los atacantes, es una hoja de ruta para escalar privilegios. Para los defensores, es una herramienta de diagnóstico invaluable que muestra dónde se encuentran las debilidades más críticas y cómo priorizar su corrección. Permite responder preguntas como: "¿Qué usuarios pueden convertirse en Administradores de Dominio?" o "¿Qué equipos tiene bajo su control este usuario específico?".

BloodHound Enterprise vs. Community Edition (CE)

Antes de sumergirnos en la instalación, es importante saber que existen dos versiones de BloodHound. La que instalaremos es la Community Edition (CE), que es gratuita y de código abierto. La versión Enterprise es una solución SaaS (Software as a Service) de pago con características adicionales orientadas a la gestión continua del riesgo para equipos de defensa.

Guía de Instalación de BloodHound CE en Kali Linux

Ahora sí, vamos al grano. Seguiremos el método oficial y recomendado que utiliza Docker y Docker Compose. Esto asegura un entorno aislado y consistente, evitando problemas de dependencias en tu sistema operativo anfitrión.

Paso 1: Preparar el Sistema y Docker

Lo primero es asegurarse de que tu sistema Kali Linux esté actualizado y de que Docker y Docker Compose estén instalados. Abre una terminal y ejecuta los siguientes comandos:

sudo apt update sudo apt install -y docker.io sudo apt install -y docker-compose

¡Atención! Un error muy común: Algunos sistemas más nuevos o configuraciones diferentes utilizan docker compose (sin el guion). Sin embargo, la documentación y los scripts de BloodHound a menudo usan docker-compose (con guion). El comando de instalación anterior instala la versión con guion, que es la que usaremos en esta guía. Si te encuentras con errores como docker: 'compose' is not a docker command, es probable que se deba a esta discrepancia.

Paso 2: Descargar la Configuración de BloodHound CE

No necesitas clonar un repositorio gigante. BloodHound CE facilita la descarga del archivo de configuración de Docker Compose directamente. Crearemos un directorio dedicado para mantener todo organizado.

sudo mkdir /opt/bloodhoundce sudo wget -q -O /opt/bloodhoundce/docker-compose.yml https://ghst.ly/getbhce

Este comando crea una carpeta en /opt/bloodhoundce y descarga el archivo docker-compose.yml dentro de ella. Este archivo es la receta que le dice a Docker cómo construir y ejecutar los diferentes servicios que componen BloodHound (la base de datos, el backend y la interfaz de usuario).

Paso 3: Iniciar BloodHound CE

Con todo en su lugar, es hora de levantar los servicios. Desde cualquier directorio (gracias a que especificamos la ruta del archivo con la bandera -f), ejecuta:

sudo docker-compose -f /opt/bloodhoundce/docker-compose.yml up

La primera vez que ejecutes este comando, Docker descargará las imágenes necesarias, lo que puede tardar varios minutos dependiendo de tu conexión a internet. Verás un montón de texto en tu terminal mientras los diferentes contenedores se inician y se configuran. ¡No te asustes! Esto es normal. Una vez que el proceso se calme y veas mensajes de registro estables, BloodHound estará en funcionamiento.

Cómo Iniciar Sesión en BloodHound CE por Primera Vez

Aquí llega la parte que confunde a muchos. ¿Cuál es el usuario y la contraseña? Sigue estos pasos para acceder.

1. Accede a la Interfaz Web: Abre tu navegador y navega a http://localhost:8080/ui/login.

2. Usuario por Defecto: El nombre de usuario o correo electrónico inicial es siempre el mismo: admin.

3. Obtener la Contraseña Inicial: La contraseña no es fija. Por seguridad, se genera una contraseña aleatoria la primera vez que se inicia el contenedor. Para encontrarla, necesitas revisar los registros del contenedor de BloodHound. Abre una nueva terminal (deja la que está ejecutando docker-compose up en funcionamiento) y ejecuta el siguiente comando:

sudo docker logs bloodhoundce_bloodhound_1 2>&1 | grep "Initial Password Set To:"

Es posible que el nombre del contenedor varíe ligeramente. Si el comando anterior no devuelve nada, prueba con esta alternativa que utiliza un guion en lugar de un guion bajo:

sudo docker logs bloodhoundce-bloodhound-1 2>&1 | grep "Initial Password Set To:"

La salida de este comando te mostrará una línea con tu contraseña inicial. Cópiala y pégala en el campo de contraseña en el navegador. ¡Y listo! Ya estás dentro del panel de BloodHound CE. Se te pedirá que cambies esta contraseña por una nueva y segura inmediatamente después de iniciar sesión.

Primeros Pasos: Recolectar e Ingestar Datos

BloodHound es un lienzo en blanco hasta que le proporcionas datos para analizar. Estos datos se recopilan utilizando herramientas llamadas "collectors" o "ingestors". El más común para Active Directory es SharpHound.

1. Descargar los Collectors: Dentro de la interfaz de BloodHound, navega al menú de configuración (el icono del engranaje) y busca una opción para descargar los collectors. Esto te dará un archivo ZIP con las últimas versiones de SharpHound (para AD) y AzureHound (para Azure).

2. Descomprimir y Usar: Mueve el archivo descargado a tu máquina de ataque y descomprímelo. SharpHound es un ejecutable de .NET que se ejecuta en una máquina unida al dominio para recopilar la información. Una ejecución típica podría ser:

SharpHound.exe -c All

Esto generará varios archivos JSON en la misma carpeta.

3. Subir los Datos a BloodHound: Vuelve a la interfaz web de BloodHound. En el menú de administración, encontrarás una sección llamada "File Ingest" o "Subir Archivos". Simplemente arrastra y suelta los archivos JSON que generó SharpHound en esta área. BloodHound procesará los datos y, en unos momentos, verás cómo el grafo comienza a poblarse con nodos y aristas que representan tu dominio.

Preguntas Frecuentes (FAQ)

¿Cuál es el usuario y contraseña por defecto de BloodHound CE?

El usuario es admin. La contraseña inicial es aleatoria y debes obtenerla revisando los logs del contenedor de Docker con el comando sudo docker logs [nombre_del_contenedor] 2>&1 | grep "Initial Password".

¿Para qué sirve BloodHound?

Sirve para mapear y visualizar relaciones de privilegios en Active Directory y entornos Azure, permitiendo a los equipos de seguridad identificar y remediar rutas de ataque complejas que de otro modo serían invisibles.

¿BloodHound CE es gratis?

Sí, la Community Edition (CE) es completamente gratuita y de código abierto. Está mantenida por SpecterOps y la comunidad de ciberseguridad.

¿Qué hago si el comando curl | docker compose me da un error?

Este error, a menudo unknown shorthand flag: 'f' in -f o docker: 'compose' is not a docker command, suele deberse a la diferencia entre docker-compose (con guion) y docker compose (sin guion). La guía anterior utiliza el método de instalación con docker-compose, que es más robusto y menos propenso a estos problemas.

¿Necesito estar en una máquina Windows para usar SharpHound?

Sí, SharpHound es un ejecutable de .NET y está diseñado para ejecutarse desde una máquina Windows que esté unida al dominio que deseas analizar. Sin embargo, existen alternativas como el ingestor de Python de BloodHound que puede ejecutarse desde Linux.

Con estos pasos, no solo has instalado y accedido a BloodHound CE, sino que también tienes el conocimiento fundamental para comenzar a recolectar datos y descubrir las rutas de ataque en tu entorno. La verdadera diversión comienza ahora, al explorar el grafo, ejecutar consultas y ver las relaciones de poder que antes permanecían ocultas.