portadaHardening Equipos y Servidores Windows — portada del instructivo

Objetivo y Alcance

Objetivo: Definir configuraciones y protocolos seguros a aplicar en servidores Windows.

📹 Alcance: Este instructivo aplica para todos los servidores Windows desde el momento de su creacion y activacion hasta su desactivacion y posterior eliminacion.

Principios Generales

🔒

Cifrar las comunicaciones. Especialmente datos de usuario y contrasena transmitidos por la red.

📷

Superficie de ataque minima. Minimizar programas y servicios instalados y en ejecucion.

🛡

Medidas adicionales. Antivirus, cortafuegos a nivel de host y antimalware.

📊

Auditar elementos criticos. Revision rutinaria de logs de sistema y aplicacion. Enviar a servidor de logs.

👥

Menor privilegio. Seguir la metodologia del menor privilegio en todos los ambitos del sistema.

🔐

Politica de contrasenas. Seguimiento de cuentas, politica solida de contrasenas, eliminar cuentas innecesarias.

🏥

Aislamiento de servicios. Minimizar la instalacion de varios servicios en un mismo servidor.

👤

Minimizar usuarios locales. Uso de cuentas de dominio frente a cuentas locales.

Instalacion Basica

Entorno seguro, IPs estaticas, tres interfaces de red

Instalar el SO desde DVD sin conexion a la red hasta completar esta guia. Si no es posible, asegurar:

El servidor debe estar protegido por un cortafuegos (Firewall)
No debe ser accesible desde Internet durante la instalacion
Si hay un servidor comprometido en el mismo segmento, no realizar la instalacion hasta resolver el incidente

🏮 Tres interfaces de red:

Red de Gestion: usada para la administracion del servidor
Red de Servicios: usada para las copias de seguridad
Red de Produccion: usada por la empresa para la gestion de servicios productivos

Interfaces de red — IP estatica obligatoria

No utilizar DHCP para configurar las interfaces de red. Todas deben tener IP estatica.

Boton derecho sobre la conexion deseada → Propiedades → Protocolo de Internet Version 4 (TCP/IPv4) → Usar la siguiente direccion IP.

1.2 Actualizaciones del Sistema Operativo

Las actualizaciones de Windows solucionan problemas de productividad, seguridad y fallos de programacion. La opcion mas recomendable es gestionarlas a traves de WSUS (Windows Server Update Services).

📌 WSUS: Rol de Windows Server que proporciona un concentrador unico para las actualizaciones dentro de una organizacion. Permite aplazar, aprobar selectivamente, elegir cuando se entregan y determinar que dispositivos las reciben.

Regla: Ningun parche debe descargarse e instalarse si no es a traves de WSUS o desde la web oficial de Microsoft. Nunca desde otras paginas web.

Configurar WSUS via GPO (metodo recomendado)

Abrir la Consola de administracion de directivas de grupo:
```
gpmc.msc
```
Expandir Forest > Domains > Your_Domain, hacer clic derecho y seleccionar "Crear un GPO en este dominio y Vincularlo aqui".
GPMCgpmc.msc — crear nuevo GPO WSUS en el dominio
Asignar el nombre: WSUS: actualizaciones automaticas y ubicacion del servicio de actualizacion en la intranet
Navegar a:

›Configuracion del equipo›Directivas›Plantillas administrativas›Componentes de Windows›Windows Update
Hacer clic derecho sobre "Configurar Actualizaciones automaticas" → Editar.
GPO EditorEditor GPO — opcion Configurar Actualizaciones Automaticas
Seleccionar Habilitar y en Opciones elegir "3 - Descargar automaticamente y notificar instalacion".
GPOConfigurar Actualizaciones Automaticas — opcion 3 seleccionada
Configurar "Especificar la ubicacion del servicio Microsoft Update en la intranet": establecer la URL del servidor WSUS.
GPOEspecificar ubicacion del servidor WSUS interno

⏱ Actualizacion de politicas: El valor de actualizacion de directiva de grupo predeterminado es de 90 minutos. Los equipos comienzan a aparecer en WSUS tras reiniciarse o aplicar la politica.

1.3 Software y Servicios

Principio: presentar la "superficie de ataque" mas pequeña posible. Instalar solo el sistema base sin grupos de aplicaciones, e instalar a posteriori solo lo estrictamente necesario.

Elemento	Accion	Motivo
MDAC, MS Index Server	ELIMINAR	No necesarios en instalacion base.
FTP, SMTP, NNTP	SUSTITUIR	Reemplazar por sus homologos seguros.
Telnet	SUSTITUIR	Usar SSH en su lugar.
ASP.NET (si no se usa)	DESHABILITAR	Reduce la superficie de ataque web.
WebDAV	SUSTITUIR	Usar alternativas mas seguras.

Configuracion Segura de Cuentas

Politica de contrasenas, longitud minima, bloqueo de cuentas anonimas

2.1.1 Longitud minima de contrasena (10 caracteres)

2.1.2 Impedir contrasenas en blanco en conexiones remotas

2.3 Robustez de contrasenas

Asegurar cumplimiento de la politica para evitar:

Prediccion de contrasenas
Ataques de diccionario
Ataques de fuerza bruta

2.2 Control de Usuarios creados durante la Instalacion

Crear cuenta de administracion alternativa (usuario: soporte)

Windows ServerCrear nuevo usuario soporte en Usuarios y grupos locales

Crear el usuario soporte, establecer contrasena y agregarlo al grupo Administradores.

Usuarios y grupos por defecto — estado recomendado

Cuenta / Grupo	Estado recomendado	Descripcion
Administrador	RENOMBRAR	Tiene privilegios totales. No desactivar, pero si renombrar y deshabilitar la cuenta original.
Invitado	DESHABILITADO	Desactivado por defecto. No activar nunca.
Administradores	Control total del SO	Administran el sistema operativo.
Administradores de Hyper-V	Solo si se usa Hyper-V	Administran la infraestructura de VMs.
Operadores de copia de seguridad	Privilegios limitados	Solo para realizar backups.
Usuarios de escritorio remoto	Solo usuarios RDP autorizados	Permisos para sesion remota via RDP.

2.2.2 Deshabilitar cuenta Administrador original

Establecer a Deshabilitada.

2.2.3 Deshabilitar cuenta de Invitado

Control de Acceso a la Red

NetBIOS, SMB, ARP, RDP, IPv6, Firewall

📍 Normas generales de red: Minimizar los protocolos utilizados · Minimizar las direcciones de red a las que escucha el servidor · Minimizar los puertos en los que escucha el servidor.

3.1 Proteccion de NetBIOS y SMB

3.1.1 Deshabilitar NetBIOS

Boton derecho sobre la conexion → Propiedades → Propiedades de protocolo TCP IPv4 → Opciones avanzadas → WINS → Marcar "Deshabilitar NetBios a traves de TCP/IP".

⚠ Precaucion en Controladores de Dominio: Deshabilitar NetBIOS puede causar problemas en algunos entornos AD. Verificar que no afecte a ningun servicio critico antes de aplicarlo en produccion.

3.1.2 Activar firma de paquetes SMB como cliente

3.1.3 Activar firma de paquetes SMB como servidor

3.1.4 Impedir enumeracion anonima de recursos SAM

3.2 Proteccion del protocolo ARP

Reducir el tiempo de caducidad de entradas ARP a un valor entre 15 y 45 segundos (ej: 30):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\ArpCacheLife

Tipo: REG_DWORD | Valor: 30 (segundos) | Crear si no existe

3.6 Desactivar IPv6

IPv6 no esta extendido e introduce vectores de ataque desconocidos. Desactivarlo en todas las interfaces hasta que se requiera.

Boton derecho sobre la conexion → Propiedades → Quitar la marca de "Protocolo de Internet Version 6 (TCP/IPv6)".

Windows ServerDeshabilitar IPv6 en propiedades de la conexion de red

3.7 Impedir conversion SID a nombre de usuario (anonimos)

Establecer a Deshabilitada. Dificulta ataques de fuerza bruta contra contrasenas.

3.8 Impedir listado de cuentas SAM por anonimos

3.9 Mensaje corporativo de inicio de sesion

🔒 Texto del mensaje: "Esta intentando acceder a un servidor de informacion clasificada y restringido unicamente para los administradores de Tecnologia, si requiere acceso debe solicitarlo mediante la herramienta de gestion de casos definida para tal fin."

3.10 Activar el Firewall

3.4 Acceso Remoto a traves de RDP

3.4.1 Forzar peticion de contrasena al conectar

Impide que alguien acceda al servidor desde un equipo cliente con la contrasena memorizada.

3.4.2 Establecer nivel de cifrado RDP a Alto

Establecer nivel de cifrado a "Nivel alto".

3.4.3 Impedir guardar contrasenas en el cliente RDP

🖥 Acceder a gpedit.msc: Para aplicar las configuraciones de RDP ejecuta gpedit.msc desde el cuadro Ejecutar (Win+R).

Proteccion de la Informacion

Permisos, integridad de archivos, DEP, extensiones visibles

4.1 Eliminar unidades compartidas administrativas

Deshabilitar en maquinas en entornos criticos o inseguros (DMZ):

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters\AutoShareServer

Tipo: REG_DWORD | Valor: 0 | Crear si no existe

cmd — reiniciar servicio srvnet

net stop srvnet
net start srvnet

4.3.1 Comprobar integridad de archivos del sistema (SFC)

cmd (admin) — SFC y DISM

# Verificar y reparar archivos del sistema
sfc /scannow

# Reparacion mas profunda con DISM
DISM /Online /Cleanup-Image /RestoreHealth

Asegurar que la clave SFCScan\SFCDisable este a 0 (activo) en el registro:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon\SFCScan\SFCDisable

Valor 0 = SFC activo | Valores 2, 3 o 4 = SFC desactivado (NO recomendado)

4.3.2 Integridad de archivos no del sistema (FCIV)

cmd — FCIV checksums

# Crear base de datos de hashes (SHA1) de un archivo
fciv -add ruta_del_archivo --sha1 -xml ruta_de_la_bd_en_xml

# Anadir directorio completo (recursivo)
fciv -add C:\configs -r --sha1 -xml checksums.xml

# Verificar integridad contra la base de datos
fciv -v --xml ruta_de_la_bd_en_xml

⚠ Proteger la base de datos: Guardar el archivo XML de checksums en un medio de solo lectura o aislado de la red para evitar que un atacante lo modifique.

4.4 Activar DEP (Data Execution Prevention)

Activar "DEP para todos los programas y servicios a excepcion de los que seleccione".

4.5 Mostrar extensiones de archivos

Desmarcar "Ocultar las extensiones de archivo para los tipos de archivo conocidos". Repetir para cada usuario del sistema.

Configuracion de Servicios del Sistema

Servicios innecesarios, cache, sesiones, NTP, visor de eventos

5.1 Deshabilitar servicios innecesarios

Pulsar sobre la columna "Tipo de inicio". Los servicios automaticos aparecen primero. Doble click sobre cada servicio innecesario → cambiar "Tipo de inicio" a Manual o Deshabilitado.

5.2 No mostrar el ultimo nombre de usuario

5.3 Bloqueo de sesion por protector de pantalla

Boton derecho sobre el escritorio → Personalizar → establecer tiempo y marcar "Ensenar la ventana de inicio al volver". Por defecto Windows lo trae habilitado a 10 minutos.

5.4.1 Permitir trafico NTP en el firewall

cmd (admin) — regla NTP firewall

netsh advfirewall firewall add rule name="Sincronizacion de tiempo NTP" action=allow dir=out protocol=udp remoteport=123 remoteip=ip-del-servidor-ntp

5.4.2 Configurar sincronizacion de tiempo NTP

cmd (admin) — sincronizar NTP

w32tm /resync

5.5 Visor de eventos

Tres categorias principales de eventos:

Sistema: inicio/cierre de sesiones, apagados, reinicios, mensajes de servicios de red.
Aplicaciones: eventos de aplicaciones de terceros y servicios del SO.
Seguridad: acceso a recursos, auditorias, fallos de inicios de sesion.

Visor de eventosVisor de eventos de Windows Server — log de seguridad y sistema

Eventos de sesiones RDP (Terminal Server)

Visor de eventosTerminalServices-LocalSessionManager — usuarios conectados por RDP

Auditabilidad del Sistema

Directiva de auditoria — eventos correctos y fallidos

⚠ Impacto en rendimiento: La auditoria puede causar mayor consumo de CPU, memoria y espacio en disco. Buscar un equilibrio entre seguridad y rendimiento.

Evento a auditar	Estado minimo	ID de evento clave
Auditar eventos de inicio de sesion de cuenta	Correcto + Fallido	CCE-2251-7, CCE-1779-8
Auditar eventos de inicio de sesion	Correcto + Fallido	CCE-2242-6, CCE-2574-2
Auditar eventos del sistema	Correcto + Fallido	CCE-1837-4, CCE-1939-8

📊 Eventos clave para investigacion: ID 4624 = inicio de sesion exitoso | ID 4625 = inicio de sesion fallido (detecta fuerza bruta) | ID 4648 = inicio con credenciales explicitas.

Actualizaciones y Parches

Servidor WSUS interno — no desde Microsoft Update directamente

Configurar las actualizaciones automaticas para que sincronicen con la infraestructura interna en lugar de los servidores oficiales de Microsoft.

Ejecutar gpedit.msc y habilitar:

›Configuracion del equipo›Plantillas administrativas›Componentes de Windows›Windows update›Configurar actualizaciones automaticas
Seleccionar "2 - Notificar descarga y notificar instalacion".
Habilitar y configurar:

›Configuracion del equipo›Plantillas administrativas›Componentes de Windows›Windows update›Especificar la ubicacion del servicio Windows Update en la intranet
Establecer a http://ip-del-servidor-de-actualizaciones.

Otras Opciones de Seguridad

Procesamiento de directivas del registro, Autorun

8.1 Procesamiento de directivas del registro

Fuerza que se actualicen las politicas GPO aunque no se hayan modificado objetos, garantizando que las politicas globales reemplazan cualquier cambio local.

Marcar ademas "Procesar incluso si los objetos de directiva de grupo no han cambiado".

8.2 Desactivar la reproduccion automatica (Autorun)

La reproduccion automatica ha sido historicamente un vector de ataque muy utilizado por virus, troyanos y malware. Desactivarla completamente.

🗪 CCE-8634-8: Esta configuracion corresponde al control de seguridad CCE-8634-8 del catalogo de configuraciones de seguridad de Microsoft.

Control de Cuentas de Usuario (UAC)

A partir de Windows Server 2008 — modo de aprobacion y elevacion de privilegios

9.1 — CCE-2302-8

Modo de aprobacion para Administrador integrado

El usuario administrador creado durante la instalacion queda protegido por UAC. Activa el modo de aprobacion que requiere confirmacion explicita para tareas administrativas.

9.2 — CCE-2474-5

Pedir credenciales al elevar privilegios

Si se produce acceso no autorizado con sesion iniciada, no bastara para ejecutar tareas de administrador — se requerira conocer la contrasena explicitamente.

9.1 Modo de aprobacion de Administrador integrado

9.2 Comportamiento del indicador de elevacion

Establecer a "Pedir credenciales".