Introduccion

portadaPractica de laboratorio — Directiva de Seguridad Local de Windows

En esta practica de laboratorio se configurara la directiva de seguridad local de Windows, utilizada en computadoras independientes que no forman parte de un dominio Active Directory.

Se trabajara con:

🔑 Solicitudes de contrasena (longitud, complejidad, historial, caducidad)
🚫 Bloqueo de cuentas tras intentos fallidos
👁 Auditoria de eventos de inicio de sesion y acceso a objetos
👤 Derechos de usuario y opciones de seguridad
📤 Exportacion e importacion de politicas entre equipos

💻 Equipo recomendado: Una computadora con Windows instalado. Las rutas de acceso a secpol.msc varian segun la version de Windows, pero una vez abierto, la configuracion es identica para todos los pasos.

El cliente dispone de 6 computadoras independientes con Windows en una sucursal que deben configurarse segun la politica de seguridad de la organizacion. Al no estar en un dominio, las directivas deben configurarse manualmente en cada equipo.

🔐 Directiva de Contrasenas

📏
Longitud minima: al menos 8 caracteres.
📅
Vigencia maxima: las contrasenas deben cambiar cada 90 dias.
📅
Vigencia minima: un usuario puede modificar la contrasena una vez al dia (1 dia).
🔄
Historial de contrasenas: el usuario debe usar una contrasena unica en al menos 8 cambios antes de reutilizarla.
🔐
Complejidad: debe contener 3 de los 4 tipos de caracteres:
Al menos un caracter alfabetico en minusculas
Al menos un caracter alfabetico en mayusculas
Al menos un caracter numerico
Al menos un caracter de simbolo (!@#$...)

🚫 Directiva de Bloqueo de Cuentas

🚫
Umbral de bloqueo: los usuarios son bloqueados despues de 5 intentos fallidos.
⏱
Duracion del bloqueo / Restablecer contador: el usuario debe esperar 5 minutos para que el contador se restablezca.

👁 Directiva de Auditoria

✅
Cada configuracion de la Directiva de Auditoria debe estar habilitada (Correcto y Error).

🛠 Opciones de Seguridad Adicionales

⏱
Despues de 30 minutos de inactividad, la cuenta del usuario se cerrara automaticamente (Windows 8.1/8.0).
🔒
Los usuarios deben iniciar sesion antes de eliminar una computadora portatil de la estacion de acoplamiento.
💬
Al iniciar sesion se mostrara el siguiente mensaje:
Titulo: Precaucion:
Texto: Se controla su actividad. Esta computadora es solamente para uso comercial.
🔔
Los usuarios recibiran un recordatorio para cambiar la contrasena 7 dias antes de que expire.

Rutas de acceso segun version de Windows

Windows 7 / Vista

Inicio > Herramientas administrativas > Directiva de seguridad local

Windows 8 / 8.1

Buscar > secpol.msc > clic en secpol

Windows 10 / 11

Inicio > Escribir gpedit.msc > seleccionar resultado

Una vez abierta, la ventana Directiva de seguridad local muestra el arbol de configuracion. Esta practica se centra en las secciones Directivas de cuenta y Directivas locales.

secpol.mscVentana principal de la Directiva de Seguridad Local — arbol de configuracion

Los primeros requisitos se configuran en Directivas de cuenta > Directiva de contrasenas. Haz clic en la flecha para expandirla.

secpol.mscDirectiva de contrasenas — valores predeterminados antes de configurar

Haz doble clic en Exigir historial de contrasenas y define el valor en 8. Esto obliga al usuario a usar 8 contrasenas distintas antes de poder reutilizar una.
Configura Vigencia maxima de la contrasena en 90 dias.
Configura Vigencia minima de la contrasena en 1 dia.
Configura Longitud minima de la contrasena en 8 caracteres.
Habilita La contrasena debe cumplir los requisitos de complejidad.
Deja Almacenar contrasenas con cifrado reversible en Deshabilitado (siempre).

secpol.mscPropiedad — Exigir historial de contrasenas — valor: 8

Tabla resumen de valores a configurar

Directiva	Valor	Descripcion
Exigir historial de contrasenas	8 contrasenas	Debe usar 8 contrasenas distintas antes de reutilizar
Vigencia maxima de la contrasena	90 dias	La contrasena expira cada 90 dias
Vigencia minima de la contrasena	1 dia	Solo puede cambiarla una vez al dia
Longitud minima de la contrasena	8 caracteres	Minimo 8 caracteres
La contrasena debe cumplir los requisitos de complejidad	Habilitada	3 de 4 tipos de caracter
Almacenar contrasenas con cifrado reversible	Deshabilitada	NUNCA activar — equivale a texto plano

secpol.mscTabla de directiva de contrasenas a rellenar con los valores correctos

secpol.mscDirectiva de contrasenas configurada con todos los valores de la politica

⚠ Cifrado reversible: La opcion "Almacenar contrasenas con cifrado reversible" debe estar desactivada en todo momento. Activarla equivale a almacenar las contrasenas en texto plano, lo que supone un riesgo de seguridad critico.

Segun la directiva, ¿cuantas veces se permite a un usuario intentar iniciar sesion antes de ser bloqueado?

5 intentos fallidos

¿Cuanto tiempo debe esperar el usuario antes de intentar volver a iniciar sesion?

5 minutos (para que el contador de intentos se restablezca)

En Directiva de seguridad local, navega a Directivas de cuenta > Directiva de bloqueo de cuentas.
Configura primero el Umbral de bloqueo de cuenta en 5 intentos. Al hacerlo, Windows propondra automaticamente valores para las otras dos opciones.
Configura Duracion del bloqueo de cuenta en 0 (el administrador debe desbloquear manualmente) o el valor deseado.
Configura Restablecer el contador de bloqueos de cuenta tras en 5 minutos.

💡 Orden de configuracion: Configura primero el Umbral de bloqueo. Si intentas configurar la duracion o el contador antes de definir el umbral, Windows mostrara un error indicando que primero debes establecer el umbral.

secpol.mscDirectiva de bloqueo de cuentas — umbral: 5 intentos, restablecer: 5 min

Directiva	Valor	Descripcion
Umbral de bloqueo de cuenta	5 intentos	Bloquea tras 5 intentos fallidos
Duracion del bloqueo de cuenta	0 min	0 = admin debe desbloquear manualmente
Restablecer contador de bloqueos tras	5 minutos	El contador se reinicia a los 5 minutos

Expande Directivas locales y haz clic en Directiva de auditoria. Cada entrada debe tener habilitados tanto Correcto como Error.

Haz doble clic en Auditar eventos de inicio de sesion de cuenta.
Haz clic en la pestana Explicar para leer que hace esta configuracion.
Haz clic en la pestana Configuracion de seguridad y marca las casillas Correcto y Error. Haz clic en Aceptar.
Repite el proceso para todas las demas entradas de Directiva de auditoria.

secpol.mscPropiedades — Auditar eventos de inicio de sesion — Correcto y Error habilitados

secpol.mscDirectiva de auditoria completamente configurada — todas las entradas habilitadas

Directiva de Auditoria	Correcto	Error
Auditar eventos de inicio de sesion de cuenta	✓	✓
Auditar la administracion de cuentas	✓	✓
Auditar el acceso del servicio de directorio	✓	✓
Auditar eventos de inicio de sesion	✓	✓
Auditar el acceso a objetos	✓	✓
Auditar el cambio de directivas	✓	✓
Auditar el uso de privilegios	✓	✓
Auditar el seguimiento de procesos	✓	✓
Auditar eventos del sistema	✓	✓

👁 Visor de eventos: Los eventos auditados se registran en el Visor de eventos de Windows (eventvwr.msc), en los registros de Seguridad. Desde ahi se pueden ver los intentos de inicio de sesion, cambios de politicas y accesos a objetos.

Asignacion de derechos de usuario

En Directivas locales > Asignacion de derechos de usuario se gestionan los permisos de que acciones puede realizar cada tipo de cuenta.

secpol.mscAsignacion de derechos de usuario — listado de derechos y cuentas asignadas

¿Hay alguna configuracion predeterminada que recomendarias cambiar? ¿Por que?

La de "Iniciar sesion como servicio" — al iniciar sesion en la cuenta de usuario, la persona deberia estar autorizada y asignada al control de ese equipo. Para la cuenta de servicio, solo una persona con instruccion de ingreso deberia poder utilizarlo.

Opciones de seguridad

En Directivas locales > Opciones de seguridad se configuran los requisitos restantes de la politica: mensaje de inicio de sesion, bloqueo de sesion y notificacion de caducidad de contrasena.

secpol.mscOpciones de seguridad — listado de configuraciones del sistema

secpol.mscTabla de opciones de seguridad a configurar segun la politica de la organizacion

Opcion de seguridad	Valor a configurar
Inicio de sesion interactivo: titulo del mensaje para los usuarios al iniciar sesion	Precaucion:
Inicio de sesion interactivo: mensaje para los usuarios al iniciar sesion	Se controla su actividad. Esta computadora es solamente para uso comercial.
Inicio de sesion interactivo: solicitar al usuario cambiar la contrasena antes de la expiracion	7 dias
Dispositivos: el usuario debe iniciar sesion para retirar el equipo portatil de la estacion de acoplamiento	Habilitado
Inicio de sesion interactivo: limite de inactividad del equipo (W8.x)	1800 seg (30 min)

Para verificar que las directivas de contrasena estan activas, intenta cambiar la contrasena con una que no cumpla la longitud o los requisitos de complejidad.

Rutas para cambiar la contrasena segun version

Windows 7 / Vista:

Panel de control > Cuentas de usuario > Cambiar su contrasena

Windows 8.1:

Panel de control > Cuentas de usuario > Realizar cambios en mi cuenta en Configuracion > Opciones de inicio de sesion > Cambiar (bajo Contrasena)

Windows 8.0:

Panel de control > Cuentas de usuario > Realizar cambios en mi cuenta en Configuracion > Cambie su contrasena

Si la configuracion es correcta, Windows mostrara un mensaje de error indicando que la nueva contrasena no cumple con los requisitos de la directiva:

WindowsError al cambiar contrasena — no cumple los requisitos de la directiva de contrasenas

💡 Resultado esperado: Windows rechaza la contrasena y muestra el mensaje de error. Esto confirma que las directivas de contrasena estan aplicadas correctamente en el sistema.

El cliente tiene 5 computadoras adicionales que deben tener la misma configuracion. En lugar de repetir los pasos manualmente en cada equipo, se exporta la politica de la primera maquina y se importa en las demas.

Exportar la directiva

En la barra de menu de Directiva de seguridad local, haz clic en Accion > Directiva de exportacion...
Elige un nombre para el archivo .inf y guardalo en la ubicacion de tu eleccion.

secpol.mscMenu Accion — Exportar directiva — genera archivo .inf con toda la configuracion

Importar en las otras computadoras

Copia el archivo .inf exportado a una unidad de memoria flash (USB).
Lleva el USB a cada una de las otras 5 computadoras.
En cada equipo, abre Directiva de seguridad local.
Haz clic en Accion > Importar directiva...
Localiza el archivo .inf en el USB y abrelo para aplicar toda la configuracion.

CMD (Admin) — Importar directiva via secedit

# Alternativa por linea de comandos con secedit
secedit /configure /db secedit.sdb /cfg "C:\politica.inf" /overwrite

📤 Ventaja del archivo .inf: El archivo exportado contiene toda la configuracion de la directiva de seguridad local: contrasenas, bloqueo de cuentas, auditoria y opciones de seguridad. Una sola exportacion cubre los 8 pasos de este laboratorio para cada equipo adicional.