Module 05: Endpoint Security-Windows Systems

Comprender el sistema operativo Windows y los problemas de seguridad

Sistema Operativo Windows (SO) es una plataforma ampliamente utilizada para computación personal y empresarial debido a su facilidad de uso, accesibilidad y amplia gama de aplicaciones de software. Comprender la arquitectura y las preocupaciones de seguridad del SO Windows es esencial para optimizar su rendimiento y protegerse contra posibles amenazas.

Arquitectura de Windows

El SO de Windows tiene un diseño modular que consta de cuatro componentes principales: Kernel, Executive, Subsistema y Capas de aplicación. El Kernel es la parte central del sistema operativo y es responsable de la administración de recursos del sistema, como la memoria, el procesamiento y la gestión de archivos. El Executive es responsable de la gestión de los procesos del sistema, los controladores de dispositivos y la seguridad. El Subsistema es responsable de proporcionar una interfaz para aplicaciones y servicios que utilizan un sistema de archivos diferente, como Linux. Las capas de aplicación son las interfaces de programación de aplicaciones (API) que permiten que los desarrolladores de software creen aplicaciones para el SO de Windows.

Seguridad de Windows y preocupaciones

La seguridad es una preocupación importante en cualquier sistema operativo, y Windows no es una excepción. A continuación, se presentan algunas preocupaciones comunes de seguridad en el SO de Windows y cómo se pueden mitigar:

Malware y virus: Los virus y el malware pueden infectar una computadora con Windows a través de descargas en línea, correos electrónicos no deseados y sitios web maliciosos. Para mitigar este problema, se deben usar programas antivirus y antimalware actualizados regularmente.
Actualizaciones: Las actualizaciones de seguridad son cruciales para proteger contra vulnerabilidades conocidas y nuevas. Se recomienda encarecidamente que los usuarios de Windows instalen actualizaciones de seguridad tan pronto como estén disponibles.
Contraseñas débiles: Las contraseñas débiles son una vulnerabilidad común en cualquier sistema operativo. Para mitigar este problema, los usuarios deben utilizar contraseñas complejas y cambiarlas regularmente.
Conexiones de red no seguras: Las conexiones de red no seguras pueden poner en riesgo la información confidencial. Para mitigar este problema, se deben utilizar conexiones seguras como VPN.

Analizar los componentes de seguridad de Windows

La seguridad es un tema crucial en cualquier sistema operativo, y Windows no es una excepción. Por eso, es importante entender los componentes de seguridad de Windows y cómo funcionan para asegurarnos de que nuestro sistema esté protegido contra posibles amenazas.

Uno de los componentes clave de seguridad de Windows es el Monitor de Referencia de Seguridad (SRM). Este componente se encarga de controlar el acceso al sistema operativo en el modo kernel, y es responsable de validar la autenticidad de los usuarios y los procesos que intentan acceder al sistema.

Otro componente importante es el Subsistema de Autoridad de Seguridad Local (LSASS), que define las políticas de seguridad en el modo usuario. LSASS se encarga de almacenar la base de datos de políticas de seguridad y de manejar los eventos relacionados con la seguridad que se registran en el Visor de Eventos.

En el contexto de un grupo de trabajo, la base de datos que almacena los usuarios, contraseñas y grupos a los que pertenecen los usuarios se llama Security Accounts Manager (SAM). Cada máquina Windows (servidor y escritorio) tiene su propia base de datos SAM, que se encuentra en la ruta C:\Windows\System32\config.

A partir de Windows 10, la SAM está virtualizada y es manejada por el proceso %SystemRoot%\System32\Samsrv.dll.

En un entorno de dominio, la base de datos de usuarios y grupos se almacena en los controladores de dominio en un archivo llamado ntds.dit. Estos controladores de dominio mantienen una sincronización de la base de datos entre sí, y usan un canal seguro para comunicarse en todo el dominio. El protocolo de autenticación Kerberos se encarga de manejar la autenticación de los usuarios y la generación de claves de sesión cifradas.

Los paquetes de autenticación son las DLL que arrancan el proceso de LSASS y son gestionados por Kerberos en el contexto de un dominio.

Windows logon application (Winlogon)

Winlogon es el proceso responsable de la autorización en Windows. Cuando un usuario inicia sesión, Winlogon se encarga de autenticar las credenciales del usuario y cargar su perfil de usuario. Este proceso también verifica si la estación de trabajo está en un dominio o en un grupo de trabajo y, si es necesario, inicia una sesión en el controlador de dominio para autenticar al usuario. Se encuentra en la ruta %SystemRoot%\System32\Winlogon.exe

Logon user interface (LogonUI)

LogonUI es la interfaz de usuario que aparece cuando se inicia sesión en un sistema Windows. Esta interfaz de usuario es responsable de mostrar la ventana de inicio de sesión y recopilar las credenciales del usuario para su verificación. Además, LogonUI es responsable de cargar y mostrar el perfil de usuario después de una autenticación exitosa. Se encuentra en la ruta %SystemRoot%\System32\LogonUI.exe.

Credential providers (CPs)

Los proveedores de credenciales son módulos que permiten a los usuarios autenticarse utilizando diferentes métodos, como una contraseña, una huella digital o una tarjeta inteligente. Windows proporciona algunos CPs predeterminados, pero también es posible agregar CPs personalizados. Los CPs se implementan como DLL y se registran en el sistema durante la instalación. Se encuentra en la ruta %SystemRoot%\System32\authui.dll . Se encuentra en la ruta %SystemRoot%\System32\SmartcardCredentialProvider.dll

Network logon service (NetLogon)

NetLogon es un servicio que se ejecuta en un controlador de dominio de Windows. Es responsable de la autenticación de usuarios y de la creación de una sesión de seguridad en un controlador de dominio. NetLogon también establece un canal seguro entre el controlador de dominio y los sistemas clientes que se autentican en el dominio.

Kernel Security Device Driver (KSecDD)

KSecDD es un controlador de dispositivo de kernel que proporciona servicios de seguridad en Windows. Este controlador es responsable de la autenticación y el cifrado de datos en el sistema. KSecDD se encarga de procesar las solicitudes de autenticación y realizar operaciones criptográficas en nombre de los procesos del sistema operativo. También es responsable de administrar la caché de credenciales en el sistema.

Analizar las distintas funciones de seguridad de Windows

Windows es uno de los sistemas operativos más utilizados en todo el mundo, y como tal, cuenta con varias características de seguridad incorporadas para defenderse contra diversas amenazas cibernéticas. A continuación, se detallan algunas de las características de seguridad más importantes de Windows:

Protección de objetos: Windows cuenta con una protección de objetos para limitar el acceso a los objetos del sistema, como archivos, carpetas y recursos compartidos. El sistema operativo utiliza identificadores de seguridad (SID) para determinar quién tiene acceso a un objeto determinado. Los SIDs se asignan a cada usuario, grupo y equipo dentro del sistema operativo, y se utilizan para realizar comprobaciones de acceso a recursos.

Comprobaciones de acceso: Windows también cuenta con comprobaciones de acceso para controlar quién tiene acceso a los objetos del sistema. Cuando un usuario intenta acceder a un recurso, el sistema operativo comprueba si el SID del usuario está en la lista de permisos para ese recurso. Si el usuario tiene permiso para acceder al recurso, se le concede acceso.

Control de integridad: Windows cuenta con un control de integridad para evitar que los archivos del sistema sean modificados por software malintencionado. El sistema operativo utiliza firmas digitales para verificar que los archivos del sistema no han sido modificados. Si un archivo del sistema ha sido modificado, el sistema operativo lo bloquea para evitar daños al sistema.

Cuentas virtuales de servicio: Windows permite la creación de cuentas de servicio virtuales, que se utilizan para iniciar servicios de Windows. Estas cuentas son similares a las cuentas de servicio normales, pero no tienen contraseñas y se administran automáticamente por el sistema operativo. Esto reduce el riesgo de compromiso de la cuenta de servicio, ya que no hay contraseñas que puedan ser robadas o comprometidas.

Compartición de archivos segura: Windows permite la compartición de archivos entre usuarios, pero es importante asegurarse de que los archivos compartidos estén protegidos adecuadamente. El sistema operativo cuenta con opciones para compartir archivos de manera segura, como establecer permisos de acceso y utilizar cifrado de archivos.

Auditoría de seguridad: Windows cuenta con una función de auditoría de seguridad que registra eventos de seguridad en el sistema operativo. Esto incluye eventos como intentos de inicio de sesión fallidos, cambios en permisos de archivos y modificaciones en configuraciones del sistema. La auditoría de seguridad puede ayudar a detectar actividades sospechosas en el sistema y a tomar medidas preventivas.

Analizar las configuraciones básicas de seguridad de Windows

Windows security baseline es un conjunto de configuraciones recomendadas por Microsoft para asegurar la seguridad de Windows. Esta línea base de seguridad se utiliza para establecer una configuración de usuario y de dispositivo que cumpla con las directrices de seguridad establecidas.

El objetivo de la línea base de seguridad de Windows es identificar los cambios de configuración necesarios y las actualizaciones de seguridad que se deben realizar en los dispositivos con Windows. Microsoft revisa regularmente las configuraciones antiguas para determinar si son adecuadas para las amenazas contemporáneas y, si es necesario, añade nuevas configuraciones de línea base para abordar vulnerabilidades y errores de configuración recién descubiertos.

Una de las herramientas que se utiliza para verificar la configuración de la línea base de seguridad de Windows es la Herramienta de cumplimiento de seguridad de Microsoft (SCT). Esta herramienta proporciona una manera fácil de verificar la configuración de seguridad de un dispositivo Windows y determinar si está en cumplimiento con la línea base de seguridad recomendada por Microsoft.

La SCT utiliza plantillas de configuración que se pueden personalizar para satisfacer las necesidades específicas de cada organización. Estas plantillas contienen configuraciones de seguridad recomendadas para un dispositivo Windows, que incluyen políticas de seguridad, permisos de usuario, configuraciones de red y configuraciones de aplicaciones.

El tiempo de actualización de la línea base de seguridad de Windows varía según la frecuencia de las revisiones de Microsoft. Generalmente, las actualizaciones se realizan varias veces al año para abordar las vulnerabilidades recién descubiertas o para actualizar las configuraciones obsoletas.

Las mejores prácticas para el uso de la línea base de seguridad de Windows incluyen:

Verificar regularmente la configuración de la línea base de seguridad de Windows de los dispositivos para asegurarse de que cumplan con los estándares de seguridad recomendados por Microsoft.
Personalizar las plantillas de configuración de la SCT para adaptarlas a las necesidades específicas de la organización.
Actualizar la línea base de seguridad de Windows con regularidad para abordar las vulnerabilidades recién descubiertas o para actualizar las configuraciones obsoletas.
Realizar pruebas de seguridad en los dispositivos para garantizar que las configuraciones de seguridad sean adecuadas para la organización.
Realizar un seguimiento de los cambios en la configuración de la línea base de seguridad de Windows para garantizar que no se realicen cambios no autorizados o que puedan debilitar la seguridad del dispositivo.

Analizar la gestión de cuentas de usuario y contraseñas de Windows

Windows es un entorno multiusuario y consta de diversas funciones para asegurar las cuentas de usuario. El objetivo de esta sección es explicar los diferentes tipos de cuentas de usuario admitidos por Windows y las diversas características de gestión de cuentas de usuario. También se discuten diversas técnicas para implementar una política de gestión de contraseñas sólida para las cuentas de usuario. Los puntos clave incluyen :

Gestión de cuentas de usuario: La gestión de cuentas de usuario es una parte importante de la administración de sistemas de Windows. Permite crear, modificar y eliminar cuentas de usuario y asignar permisos y roles a cada cuenta. Se pueden gestionar las cuentas de usuario a través del Panel de Control o mediante PowerShell. En PowerShell, se pueden utilizar los comandos New-LocalUser, Set-LocalUser, Remove-LocalUser, entre otros.
Desactivar la cuenta de invitado: La cuenta de invitado es una cuenta predefinida en Windows que proporciona un nivel básico de acceso al sistema. Por razones de seguridad, se recomienda desactivar la cuenta de invitado. Para desactivarla, se puede utilizar el comando net user guest /active:no en una ventana de PowerShell con derechos de administrador.
Desactivar cuentas innecesarias: Para aumentar la seguridad del sistema, se deben desactivar las cuentas de usuario innecesarias. Por ejemplo, es posible que haya cuentas de usuario de ex empleados que ya no necesiten acceso al sistema. Para desactivar una cuenta, se puede utilizar el comando Disable-LocalUser en PowerShell.
Desactivar cuentas de administrador locales innecesarias: Las cuentas de administrador locales deben utilizarse solo cuando sea necesario. Para evitar que se utilicen cuentas de administrador locales innecesariamente, es necesario desactivarlas. Para desactivar una cuenta de administrador local, se puede utilizar el comando Disable-LocalUser -Name "NombreDeCuenta" -Description "DescripciónDeCuenta" -Confirm:$false.
Política de contraseñas: La política de contraseñas es una parte importante de la gestión de cuentas de usuario. Es necesario definir una política de contraseñas fuerte para asegurar la integridad de los datos. La política de contraseñas puede incluir requisitos de longitud, complejidad, caducidad y bloqueo después de intentos fallidos. Para definir la política de contraseñas, se puede utilizar el Editor de directivas de seguridad local o PowerShell.
Periodo de validez de las contraseñas: Es importante que las contraseñas se cambien regularmente para evitar que se puedan adivinar o descubrir mediante ataques de fuerza bruta. Es posible configurar la duración de la validez de las contraseñas en la política de contraseñas. Por ejemplo, se puede establecer que las contraseñas caduquen después de 60 días.
Longitud de las contraseñas: La longitud de las contraseñas es un factor importante para determinar su fuerza. Las contraseñas más largas son más difíciles de adivinar o descubrir mediante ataques de fuerza bruta. Es posible configurar la longitud mínima de las contraseñas en la política de contraseñas. Por ejemplo, se puede establecer una longitud mínima de 8 caracteres.
Protección de contraseñas mediante Credential Guard: Credential Guard es una tecnología de seguridad de Windows que protege las credenciales de usuario contra ataques de robo de credenciales. Utiliza hardware virtualizado para aislar las credenciales de usuario y protegerlas de los procesos malintencionados en el sistema. Para habilitar Credential Guard, se requiere hardware compatible y una edición compatible de Windows.

Debate sobre la gestión de parches de Windows

La gestión de parches de Windows es crucial para garantizar la seguridad de los sistemas informáticos. Los parches son actualizaciones de software que se utilizan para corregir vulnerabilidades y errores en el sistema operativo. La falta de gestión de parches puede dejar los sistemas vulnerables a ataques cibernéticos y malware, y puede tener graves consecuencias para las organizaciones.

La gestión de parches implica la planificación, implementación y seguimiento de actualizaciones de seguridad en los sistemas. Existen varias técnicas para la gestión de parches de Windows, que se describen a continuación:

Patch Management: La gestión de parches implica mantener los sistemas actualizados con las últimas actualizaciones de seguridad y parches de software. Las organizaciones deben mantener una lista actualizada de las actualizaciones de seguridad disponibles para sus sistemas y aplicarlas tan pronto como sea posible para protegerse contra las últimas amenazas de seguridad.
Patch Management: Enable Automatic Updates: Es recomendable habilitar las actualizaciones automáticas de Windows para garantizar que los sistemas estén actualizados de manera constante. Esto asegurará que los parches de seguridad estén instalados de manera oportuna sin requerir la intervención manual del usuario.
Patch Management: Disable Force System Restarts: Las actualizaciones de seguridad a menudo requieren un reinicio del sistema para que los cambios surtan efecto. Sin embargo, forzar un reinicio del sistema puede ser problemático en situaciones donde el usuario no está preparado para reiniciar y se pierden datos importantes. Es recomendable deshabilitar la opción de reinicio forzado de forma que el usuario pueda elegir cuándo reiniciar el sistema.
Remote Patch Management Using Third-Party Patch Management Tools: Las organizaciones pueden utilizar herramientas de gestión de parches de terceros para actualizar y mantener los sistemas de manera remota. Estas herramientas pueden automatizar el proceso de parcheo y proporcionar una gestión centralizada de parches y actualizaciones para múltiples sistemas.

PsTools

PsTools es una suite de herramientas desarrollada por Microsoft que se utiliza para la gestión y administración de equipos remotos en redes locales. Esta suite está compuesta por varias utilidades, que se utilizan en forma de comandos. A continuación, se describen cada una de las utilidades que componen la suite de PsTools:

PsExec: Es una herramienta que permite ejecutar procesos en cualquier contexto de usuario. Es útil para ejecutar aplicaciones que requieren permisos de administrador en equipos remotos. Por ejemplo, si un administrador necesita ejecutar una aplicación en un equipo remoto que no tiene permisos de administrador, puede utilizar PsExec para ejecutar la aplicación con los permisos necesarios.
PsFile: Esta herramienta muestra los archivos abiertos de forma remota en un sistema. Es útil para comprobar qué archivos están siendo utilizados por los usuarios y para cerrar aquellos que no se necesitan. Por ejemplo, si un usuario ha dejado un archivo abierto en un equipo remoto y no lo está utilizando, un administrador puede cerrar ese archivo utilizando PsFile.
PsGetSid: Esta herramienta muestra el identificador de seguridad (SID) de Windows de un equipo o un usuario. Es útil para identificar los SID de los usuarios y para comprobar si un usuario tiene los permisos necesarios para acceder a un recurso compartido. Por ejemplo, si un administrador necesita comprobar los permisos de un usuario en un recurso compartido, puede utilizar PsGetSid para obtener el SID del usuario y comprobar los permisos.
PsInfo: Esta herramienta muestra información acerca de un sistema de Windows. Proporciona información detallada sobre el sistema operativo, hardware, software instalado, configuración de red y usuarios. Es útil para obtener información detallada sobre un equipo remoto. Por ejemplo, un administrador puede utilizar PsInfo para obtener información sobre el hardware y software instalado en un equipo remoto.
PsKill: Esta herramienta permite eliminar o finalizar los procesos por nombre o identificador PID. Es útil para cerrar aplicaciones que no responden o para finalizar procesos maliciosos en equipos remotos. Por ejemplo, si un administrador necesita cerrar una aplicación que no está respondiendo en un equipo remoto, puede utilizar PsKill para finalizar el proceso.
PsList: Esta herramienta muestra información detallada acerca de procesos en ejecución. Proporciona información sobre el uso de CPU, memoria, usuarios que ejecutan los procesos, entre otros detalles. Es útil para monitorear el rendimiento de un equipo remoto. Por ejemplo, un administrador puede utilizar PsList para obtener información detallada sobre los procesos en ejecución en un equipo remoto.
PsLoggedOn: Esta herramienta muestra todos los usuarios que han iniciado sesión de forma local, así como todos los usuarios de recursos compartidos remotos. Es útil para comprobar quiénes están utilizando un equipo remoto y qué recursos compartidos están siendo utilizados. Por ejemplo, un administrador puede utilizar PsLoggedOn para obtener información sobre los usuarios que están utilizando un recurso compartido remoto.
PsLogList: Esta herramienta vuelca los registros de eventos de Windows. Proporciona información detallada sobre los eventos del sistema y aplicaciones. Es útil para analizar problemas de seguridad o errores del sistema. Por ejemplo, un administrador puede utilizar PsLogList para obtener información detallada sobre los eventos del sistema y aplicaciones que pueden ayudar a diagnosticar y resolver problemas.

WMIM

WMIM Explorer es una herramienta diseñada para monitorear y administrar los instrumentos de administración de Windows. Esta herramienta es de gran ayuda para informáticos y especialistas en redes, ya que permite explorar la información de los objetos WMI de forma fácil y rápida. A continuación, se describen algunas de las características de esta herramienta:

Explorador de objetos WMI: WMIM Explorer permite explorar la información de los objetos WMI de forma jerárquica, lo que facilita la visualización y administración de los mismos. Además, ofrece la posibilidad de filtrar y buscar objetos específicos para una mejor organización y administración.
Creación de consultas WQL: WQL (Windows Management Instrumentation Query Language) es un lenguaje de consulta utilizado para acceder a la información de los objetos WMI. WMIM Explorer permite crear consultas WQL de forma sencilla, lo que facilita la obtención de información específica de los objetos WMI.
Vista de propiedades de los objetos WMI: WMIM Explorer ofrece una vista detallada de las propiedades de los objetos WMI, lo que permite conocer la información de los mismos de forma rápida y sencilla.
Exportación de resultados: Esta herramienta permite exportar los resultados de las consultas realizadas en formato CSV, HTML o TXT, lo que facilita el análisis y la organización de la información.

Técnicas de refuerzo de la seguridad del sistema operativo Windows

Windows es un sistema operativo ampliamente utilizado en todo el mundo, por lo que es fundamental asegurar la configuración de sus parámetros de seguridad y garantizar que las políticas creadas reduzcan la exposición del sistema a los ataques. En este sentido, existen varias técnicas, herramientas y mejores prácticas que se pueden aplicar para reforzar la seguridad del sistema operativo Windows.

Setup BIOS Password: Configurar una contraseña de BIOS es una técnica de seguridad efectiva que puede ayudar a proteger el sistema operativo de accesos no autorizados. Esta medida de seguridad se aplica en el firmware de la placa base y es útil para prevenir el acceso no autorizado a la configuración de la BIOS.
Prevent Windows from Storing LAN Manager Hash: El hash de LAN Manager (LM) es una técnica de autenticación utilizada en sistemas Windows antiguos que es vulnerable a ataques de fuerza bruta. Es recomendable deshabilitar el almacenamiento del hash LM para evitar este tipo de ataques.
Restrict Software Installations: Para reducir la exposición del sistema a software malintencionado, se recomienda restringir las instalaciones de software en el sistema operativo Windows. Esto se puede hacer a través de la configuración de permisos y roles de usuario.
Disable Unwanted Services: Los servicios no necesarios en el sistema operativo Windows pueden ser un riesgo de seguridad. Por lo tanto, se recomienda deshabilitar los servicios no utilizados o necesarios para reducir el riesgo de ataques de software malintencionado.
Install Antivirus Software: La instalación de software antivirus es una de las medidas de seguridad más comunes y efectivas que se pueden aplicar para proteger el sistema operativo Windows de malware. El software antivirus ayuda a detectar y eliminar software malintencionado antes de que cause daños al sistema.
Enable Windows Defender Firewall: El firewall de Windows Defender es una herramienta de seguridad útil que ayuda a proteger el sistema operativo de ataques de red. Es importante habilitar el firewall de Windows Defender y configurarlo correctamente para aumentar la seguridad del sistema operativo.
Monitor Windows Registry: El registro de Windows es una base de datos importante que contiene información crítica del sistema operativo. La monitorización del registro de Windows puede ayudar a identificar cambios inesperados o no autorizados en la configuración del sistema operativo, lo que puede ser una señal de actividad malintencionada.

Debatir la gestión del acceso de los usuarios

Gestionar el acceso de los usuarios es crucial para mantener la seguridad del sistema operativo. A continuación, se describen algunas técnicas y mejores prácticas para restringir el acceso de los usuarios:

Restricting Access to Files and Folders: Es importante limitar el acceso a archivos y carpetas confidenciales. Se pueden utilizar permisos de archivo y carpeta para restringir el acceso solo a los usuarios autorizados. Al personalizar los permisos de carpeta, se pueden controlar qué usuarios o grupos pueden leer, escribir, modificar o eliminar los archivos en una carpeta determinada.
Prevent Unauthorized Changes in System: Para evitar que los usuarios realicen cambios no autorizados en el sistema, se puede restringir el acceso a ciertas áreas del sistema, como el registro de Windows o la configuración de la política de seguridad. Además, se puede deshabilitar la ejecución de ciertas aplicaciones o programas que no son necesarios para el usuario.
Disable Anonymous Security Identifiers Enumeration: La enumeración de identificadores de seguridad anónimos puede permitir a los atacantes obtener información sobre los usuarios y grupos de seguridad en un sistema. Es importante desactivar esta función para evitar la exposición de información confidencial.
Moderating Access to Control Panel: El Panel de Control de Windows contiene una serie de opciones de configuración y herramientas que pueden ser peligrosas si se les da acceso a usuarios no autorizados. Se debe restringir el acceso al Panel de Control y solo permitir el acceso a los usuarios autorizados.
Control Access to Command Prompt: La línea de comandos de Windows puede utilizarse para realizar cambios en el sistema o para ejecutar aplicaciones maliciosas. Es importante limitar el acceso a la línea de comandos solo a los usuarios que necesitan usarla.
Administrative Access Management Using Just Enough Administration (JEA): JEA es una tecnología que permite a los administradores delegar tareas de administración a usuarios no administrativos sin tener que otorgarles permisos de administrador completos. Esto reduce el riesgo de daños accidentales o maliciosos causados por los usuarios con permisos de administrador.

Además, es importante aplicar mejores prácticas de seguridad al compartir archivos y carpetas en una red. Al compartir una carpeta, es recomendable habilitar la opción «Compartir esta carpeta» y otorgar permisos «Control total» al grupo «Todos». En cuanto a la seguridad de la carpeta, se deben personalizar los permisos según las necesidades de los usuarios autorizados.

En cuanto a los protocolos SMB y NTFS, SMB es un protocolo de uso compartido de recursos compatible con muchos sistemas operativos Windows. Las firmas SMB autentican a los usuarios y a los servidores que hospedan los datos. NTFS, por otro lado, es un sistema de archivos de nueva tecnología implantado por Microsoft que sirve para organizar datos en discos duros y otras unidades de almacenamiento. Es importante revisar los permisos de las carpetas compartidas en ambos protocolos para garantizar la seguridad del sistema operativo.

Analizar las mejores prácticas de seguridad del directorio activo de Windows

El directorio activo de Windows es uno de los componentes críticos de la infraestructura de TI de una organización. Por lo tanto, es importante seguir las mejores prácticas de seguridad para garantizar la integridad y confidencialidad de la información almacenada en el directorio activo. A continuación, se describen algunas de las mejores prácticas de seguridad para el directorio activo de Windows:

Limpieza del grupo de administradores de dominio: Es importante asegurarse de que solo los usuarios autorizados tengan acceso a los privilegios de administrador de dominio. Los usuarios que no necesitan acceso a estas funciones deben ser eliminados del grupo de administradores de dominio.
Implementación de LAPS: El uso de contraseñas seguras es un aspecto crítico de la seguridad del directorio activo. La solución de contraseña de administrador local (LAPS) de Microsoft proporciona una manera segura y automatizada de administrar las contraseñas de administrador local en una red de Windows.
Deshabilitación de los protocolos NTLM y NTLMv2: Los protocolos NTLM y NTLMv2 pueden ser vulnerables a ataques de fuerza bruta. Por lo tanto, es recomendable deshabilitar estos protocolos y usar el protocolo de autenticación Kerberos más seguro.
Monitoreo de eventos del directorio activo: Es importante monitorear los eventos del directorio activo para detectar cualquier actividad sospechosa o intentos de compromiso. Los eventos del directorio activo pueden ser monitoreados utilizando herramientas como Microsoft’s Advanced Threat Analytics (ATA).
Uso de Cmdlets de PS para asegurar el directorio activo: Microsoft proporciona una variedad de Cmdlets de PowerShell para administrar y asegurar el directorio activo. Estas herramientas pueden ser utilizadas para realizar tareas como la eliminación de usuarios inactivos o la restricción de permisos de acceso a los recursos del directorio activo.
Otras mejores prácticas de seguridad para el directorio activo incluyen la administración segura de contraseñas de administrador, la eliminación de sistemas operativos no soportados de la red, la monitorización de tareas programadas en sistemas sensibles como los controladores de dominio, el aseguramiento de contraseñas de administración fuera de banda (DSRM), el uso de SMB v2/v3+, la eliminación de confianzas innecesarias, el filtrado de SID, la restricción de la autenticación NTLM, la auditoría del uso de NTLM, el bloqueo del acceso a Internet para controladores de dominio, servidores y sistemas de administración, y la deshabilitación de NetBIOS y resolución de nombre multicast (LLMNR).

Siguiendo estas mejores prácticas de seguridad, se puede aumentar significativamente la seguridad del directorio activo de Windows y proteger la información confidencial almacenada en él.