portadaHardening Windows 10 y Windows 11 Workstations

Introduccion

Las estaciones de trabajo suelen ser el objetivo de actores malintencionados que utilizan sitios web, correos electronicos o medios extraibles maliciosos en un intento de extraer informacion confidencial. El endurecimiento de las estaciones de trabajo es una parte importante de la reduccion de este riesgo.

Esta guia proporciona recomendaciones para proteger las estaciones de trabajo con las ediciones Enterprise y Education de Microsoft Windows 10 y Windows 11. Antes de implementar las recomendaciones, se deben realizar pruebas exhaustivas para garantizar que se reduzcan los posibles impactos negativos no deseados en los procesos de negocio.

Referencia de versiones: Las caracteristicas y rutas GPO se toman de Windows 10 version 22H2 y Windows 11 version 23H2. Para administradores basados en la nube (Microsoft Endpoint Manager), existen equivalentes para muchas de las opciones de GPO, o una funcion para importar configuracion GPO directamente.

Resumen de controles por prioridad

Control	Prioridad	Descripcion breve
Endurecimiento de aplicaciones	ALTA	Configurar apps (Office, PDF, browsers) en estado seguro. Deshabilitar funciones innecesarias.
Reduccion superficie ASR	ALTA	Reglas Microsoft Defender Exploit Guard para combatir malware en apps Office.
Proteccion de credenciales	ALTA	Limitar cache, deshabilitar WDigest, habilitar Credential Guard.
Elevacion privilegios UAC	ALTA	Requerir credenciales en Secure Desktop para toda elevacion.
Proteccion contra exploits	ALTA	CFG, DEP, ASLR, SEHOP, proteccion heap via Defender Exploit Protection.
Cuentas admin local (LAPS)	ALTA	Frases de contrasena unicas por equipo con Microsoft LAPS.
Arranque seguro / ELAM	ALTA	UEFI Secure Boot + antimalware de inicio temprano.
Autenticacion multifactor	ALTA	MFA basado en hardware para usuarios privilegiados (WHfB, FIDO2, TPM).
Parches OS	ALTA	Gestion centralizada via WSUS o Windows Update para empresas.
Bloqueo de cuentas	MEDIA	5 intentos fallidos, contador reset a 15 min.
Antivirus / Microsoft Defender	MEDIA	Firmas actualizadas diariamente + prevencion de intrusiones basada en host.
Auditoria de eventos	MEDIA	Captura y analisis rutinario de eventos de seguridad. Registro centralizado.
BitLocker (cifrado disco)	MEDIA	Cifrado AES completo de disco duro. Configurable via GPO.
PowerShell	MEDIA	Solo scripts firmados. Logging de modulos, scripts y transcripcion.
SMB signing	MEDIA	Firmar comunicaciones SMB para evitar secuestro de sesion.
WinRM	MEDIA	Autenticacion y cifrado adecuados para administracion remota.
Extensiones de archivo visibles	BAJA	Evitar ingenieria social con archivos .pdf.exe.
Microsoft Store	BAJA	Deshabilitar acceso a Store salvo apps aprobadas.
Windows Copilot	BAJA	Deshabilitar hasta que la organizacion tome decision basada en riesgo.

GPMC y GPEDIT — Como acceder

Consola de administracion de directivas de grupo (GPMC)

Para abrir la GPMC: Inicio → escribir "Administracion de directivas de grupo" → seleccionar la aplicacion.

Requisitos previos:

Tener instalada la caracteristica administracion de directivas de grupo en Windows Server o cliente.
Disponer de permisos de configuracion de edicion, eliminacion y modificacion de seguridad en el GPO.
Para vincular GPO se necesita permiso de modificacion en el sitio, dominio o OU. Solo Administradores de Dominio y de Empresa tienen este permiso por defecto.

GPMCGPMC — vista de dominios y GPOs

GPMCGPMC — propiedades de GPO

GPMCGPMC — estructura de OUs y dominios

GPMCGPMC — edicion de politica de grupo

Solucionar error GPEDIT.MSC no abre

Error comun: Al intentar abrir gpedit.msc desde Ejecutar, aparece un error de permisos. Esto indica que no se cuenta con los permisos necesarios para acceder al administrador de politicas locales.

ErrorError al abrir gpedit.msc desde Ejecutar

ErrorMensaje de error de permisos GPEDIT

Solucion paso a paso:

Paso 1: Ir a C:\Windows\System32\GroupPolicy
Paso 2: Renombrar la carpeta Machine a Machine.old
Paso 3: Confirmar el cambio de nombre cuando aparezca la ventana de permisos
Paso 4: Confirmar el proceso
Paso 5: Ejecutar gpedit.msc nuevamente — ahora funcionara correctamente

File ExplorerPaso 1 — carpeta GroupPolicy con Machine y User

File ExplorerPaso 2 — renombrar Machine a Machine.old

UACPaso 3 — confirmacion de cambio de nombre

File ExplorerPaso 4 — proceso de renombrado completo

GPEDITPaso 5 — gpedit.msc abierto correctamente

📥 Endurecimiento de Aplicaciones

Office, PDF, navegadores, Java, .NET — configuracion segura

Cuando se instalan aplicaciones, a menudo no estan preconfiguradas en un estado seguro. Muchas habilitan funcionalidad innecesaria y la funcionalidad de seguridad puede estar deshabilitada. Por ejemplo, Microsoft Office permite por defecto que las macros no confiables se ejecuten automaticamente sin interaccion del usuario.

Aplicaciones criticas que deben endurecerse:

📄

Microsoft Office

Deshabilitar macros no confiables, habilitar Vista protegida, bloquear contenido activo de Internet.

📜

Lectores PDF (Adobe Reader)

Deshabilitar JavaScript, modo protegido activado, bloquear acceso a red desde PDFs.

🌐

Navegadores web

Edge, Firefox, Chrome — configurar SmartScreen, deshabilitar complementos innecesarios, sandboxing activado.

☕

Oracle Java / .NET

Actualizar a la ultima version, deshabilitar componentes no necesarios, aplicar lineas base de seguridad del proveedor.

📧

Microsoft Outlook

Bloquear tipos de archivo adjunto peligrosos, deshabilitar preview de adjuntos no confiables.

⚡

Adobe Flash

Deshabilitar o eliminar completamente. Fin de vida desde enero 2021.

🔗 Lineas base de seguridad Microsoft: Microsoft proporciona security baselines para sus productos en el blog de lineas base de seguridad. La Direccion Australiana de Senales (ASD) tambien proporciona orientacion para fortalecer Microsoft 365, Office 2021, 2019 y 2016.

🛡 Reduccion de la Superficie de Ataque (ASR)

Microsoft Defender Exploit Guard — reglas ASR para Office

La reduccion de la superficie de ataque (ASR), parte de Microsoft Defender Exploit Guard, esta disenada para combatir malware que explota la funcionalidad legitima en apps de Microsoft Office. Requiere que Microsoft Defender Antivirus sea el motor principal de analisis antivirus en tiempo real.

ASR RulesReglas ASR disponibles en Microsoft Defender Exploit Guard

Configuracion GPO para aplicar las reglas ASR:

GPOGPO — Configuracion de reglas ASR en Defender Antivirus

🔐 Proteccion de Credenciales

Cache de credenciales, WDigest, Credential Guard, LSASS

Las credenciales almacenadas en cache estan en la base de datos SAM y pueden permitir inicio de sesion aunque el dominio no este disponible. Los actores maliciosos pueden abusar de esto y recuperar credenciales de administrador de dominio en el peor caso.

Riesgo critico: Las credenciales se almacenan en el proceso LSASS — incluyendo la frase de contrasena en texto no cifrado si la autenticacion WDigest esta habilitada. Deshabilitar WDigest es obligatorio.

GPOGPO — Limitar credenciales en cache a 1 inicio de sesion anterior

Configurar GPO para:

Deshabilitar WDigest — evita almacenamiento de contrasenas en texto claro en LSASS
Habilitar integridad de memoria — proteccion adicional del kernel
Habilitar Credential Guard — protege el proceso LSASS mediante virtualizacion

GPOGPO — Deshabilitar WDigest, habilitar Credential Guard e integridad de memoria

Requisitos de Credential Guard: Requiere cumplir todos los requisitos previos de software, firmware y hardware (UEFI, TPM, Virtualization-Based Security). La configuracion de directiva MS Security Guide esta disponible como parte del kit de herramientas de cumplimiento de seguridad de Microsoft.

📁 Acceso Controlado a Carpetas

Microsoft Defender Exploit Guard — proteccion anti-ransomware

El acceso controlado a carpetas, parte de Microsoft Defender Exploit Guard, esta disenado para combatir el ransomware. Protege carpetas especificadas de modificaciones no autorizadas. Requiere Microsoft Defender Antivirus como motor principal.

GPOGPO — Habilitar acceso controlado a carpetas (anti-ransomware)

⌨ Entrada de Credenciales

Secure Desktop — proteccion contra keyloggers

Cuando los usuarios introducen credenciales, el codigo malicioso (keyloggers) puede capturarlas. Para reducir este riesgo, los usuarios deben autenticarse mediante una ruta de acceso de confianza en Secure Desktop.

GPOGPO — Requerir entrada de credenciales en Secure Desktop

⚙ Antimalware de Inicio Temprano (ELAM)

UEFI + Trusted Boot — verificar controladores en el arranque

Early Launch Antimalware (ELAM), parte de Trusted Boot, permite verificar todos los controladores antes de que se inicialicen durante el arranque. El controlador ELAM se registra como el primer controlador no de Microsoft que se inicializa.

✅

Controladores validos

Buenos conocidos — se permite inicializacion.

❓

Controladores desconocidos

Buenos desconocidos — se permite en config recomendada.

❌

Controladores maliciosos

Malos conocidos — se bloquea inicializacion.

GPOGPO — ELAM: solo inicializar controladores validos y desconocidos

🔒 Elevacion de Privilegios — UAC

Secure Desktop para toda elevacion de privilegios

La configuracion predeterminada permite a usuarios con privilegios realizar acciones confidenciales sin proporcionar credenciales, y los usuarios estandar no estan obligados a usar Secure Desktop al elevar. Esto permite que un actor malicioso con sesion abierta realice acciones a voluntad o capture credenciales.

GPOGPO — UAC: requerir credenciales en Secure Desktop para todas las elevaciones

💥 Proteccion contra Exploits

CFG, DEP, ASLR, SEHOP, heap protection — Defender Exploit Protection

La proteccion contra vulnerabilidades de Microsoft Defender proporciona medidas de seguridad a nivel de sistema y de aplicacion. Reemplaza al kit EMET de versiones anteriores de Windows 10.

Medidas de seguridad de todo el sistema disponibles:

CFG — Control Flow Guard
DEP — Data Execution Prevention
ASLR obligatorio — Address Space Layout Randomization forzado
ASLR ascendente — aleatoriza la ubicacion de la pila del kernel
SEHOP — Structured Exception Handling Overwrite Protection
Proteccion contra danos en el monton (heap)

GPOGPO — Definir configuracion de Exploit Protection y bloquear cambios de usuario

GPOGPO — Asegurar que DEP no este deshabilitado para el Explorador de archivos

GPOGPO — Forzar uso de SEHOP (MS Security Guide)

🔑 Cuentas de Administrador Local (LAPS)

Frases de contrasena unicas por equipo — Microsoft LAPS

Cuando se usan cuentas de administrador integradas con nombres y contrasenas comunes, los actores maliciosos pueden moverse lateralmente por la red. Incluso con cuentas con nombre unico, se puede identificar por el SID S-1-5-21-domain-500.

Solucion: Usar LAPS (Local Administrator Password Solution) de Microsoft para garantizar frases de contrasena unicas para cada estacion de trabajo. Ademas, aplicar restricciones UAC a conexiones remotas que usen cuentas de administrador integradas.

GPOGPO — Proteger cuentas de administrador integradas con LAPS y restricciones UAC

🌐 Microsoft Edge

Chromium-based — SmartScreen, plantillas GPO de Edge

Microsoft Edge, basado en el proyecto Chromium, contiene funcionalidad de seguridad mejorada y debe usarse siempre que sea posible como navegador web principal. La guia de proteccion recomendada para Edge esta disponible en el blog de lineas base de seguridad de Microsoft.

Plantillas GPO para Edge: Una vez instaladas las plantillas administrativas de directiva de grupo de Microsoft Edge, se pueden configurar muchas opciones, incluyendo SmartScreen de Microsoft Defender, prevencion de seguimiento y aislamiento de sitios.

📱 Autenticacion Multifactor (MFA)

WHfB, FIDO2, TPM — usuarios privilegiados

Las credenciales privilegiadas son susceptibles a keyloggers y pueden ser objeto de ataques de fuerza bruta de hashes. Debe utilizarse MFA basado en hardware para usuarios privilegiados, acceso remoto y acceso a repositorios de datos criticos.

👥

Windows Hello for Business (WHfB)

PIN o reconocimiento facial/digital para desbloquear criptografia asimetrica almacenada en TPM.

🔑

Tokens de seguridad FIDO2

Llaves de seguridad hardware para autenticacion de inicios de sesion de Windows.

⚙

TPM (Trusted Platform Module)

Almacenamiento seguro de credenciales. Importante aplicar parches de TPM y retirar dispositivos sin soporte.

GPOGPO — Habilitar Windows Hello for Business con biometria o PIN

🏳 Parches del Sistema Operativo

WSUS, Windows Update para empresas — gestion centralizada

Los parches se publican para vulnerabilidades divulgadas y no divulgadas. Para vulnerabilidades ya reveladas, los exploits pueden estar disponibles en herramientas de hacking comunes. Un atacante puede desarrollar un exploit en menos de un dia a partir del analisis del parche ("ataques de 1 dia").

GPOGPO — Configuracion de Windows Update para empresas

GPOGPO — Especificar servidor WSUS interno

Opciones de gestion de parches: Microsoft Endpoint Configuration Manager, WSUS con Wake-on-LAN para parcheo fuera de horario, o Windows Update para empresas (puede reemplazar o complementar WSUS).

► Arranque Seguro y Arranque Medido

UEFI Secure Boot + TPM — verificacion de cargador de arranque

Arranque Seguro (Secure Boot): verifica en el momento del arranque que el cargador de arranque este firmado y coincida con un certificado de Microsoft almacenado en la UEFI. Si no coincide, se impide la ejecucion — la estacion de trabajo no arranca.

Arranque Medido (Measured Boot): desarrolla un registro fiable de los componentes inicializados antes del controlador ELAM. Este registro puede ser examinado por el software antimalware en busca de senales de manipulacion.

Requisito: Arranque Seguro y Arranque Medido requieren placas base con UEFI. Arranque Medido ademas requiere un TPM (Modulo de Plataforma Segura).

🔒 Politica de Bloqueo de Cuentas

Prevenir ataques de fuerza bruta — 5 intentos, reset 15 min

Permitir intentos ilimitados no previene ataques de autenticacion de fuerza bruta. Un umbral razonable de 5 intentos incorrectos con un periodo de restablecimiento de 15 minutos evitara cualquier intento de fuerza bruta sin bloquear a usuarios legitimos.

GPOGPO — Directiva de bloqueo de cuentas: umbral y periodo de restablecimiento

🕵 Conexiones Anonimas

Deshabilitar enumeracion de usuarios, recursos, SIDs via sesiones nulas

Las conexiones anonimas (usando el comando net use para conectarse al recurso compartido IPC$) pueden revelar: listas de usuarios y grupos, SIDs de cuentas, listas de recursos compartidos, versiones del OS y niveles de parches.

GPOGPO — Deshabilitar conexiones anonimas y enumeracion SAM anonima

🛡 Software Antivirus — Microsoft Defender

Firmas diarias + prevencion de intrusiones basada en host

Deben implementarse aplicaciones de seguridad de endpoint con:

Funcionalidad antivirus basada en firmas — firmas actualizadas al menos a diario
Prevencion de intrusiones basada en host (HIPS) — o funcionalidad equivalente basada en la nube

GPOGPO — Microsoft Defender Antivirus: configuracion basica de proteccion en tiempo real

GPOGPO — Defender: configuracion de actualizaciones de firmas y comportamiento

GPOGPO — Defender: opciones de escaneo y envio de muestras

GPOGPO — Defender: proteccion en la nube (MAPS) y bloqueo a primera vista

GPOGPO — Defender: configuracion adicional de proteccion avanzada

📎 Administrador de Archivos Adjuntos

Preservar informacion de zona — proteger contra phishing

El Administrador de archivos adjuntos clasifica los archivos como de riesgo alto, medio o bajo segun la zona de origen y el tipo de archivo. Si la informacion de zona no se conserva, actores maliciosos pueden engañar a usuarios para eludir estas protecciones.

GPOGPO — Conservar y proteger la informacion de zona de los archivos adjuntos

📊 Gestion de Eventos de Auditoria

Captura y analisis rutinario — registro centralizado

Sin captura y analisis de eventos de auditoria, las intrusiones pueden pasar desapercibidas. La falta de informacion tambien dificulta las investigaciones post-incidente.

GPOGPO — Auditoria de inicio de sesion, cambios de politica y gestion de cuentas

GPOGPO — Auditoria de acceso a objetos y uso de privilegios

GPOGPO — Auditoria de sistema y seguimiento de procesos

GPOGPO — Auditoria detallada de inicio de sesion e inicio de sesion de cuenta

GPOGPO — Auditoria de gestion de grupos y cuentas de usuario

GPOGPO — Sincronizacion de hora del sistema para correlacion de eventos

Registro centralizado: Los registros de eventos deben transferirse a un servidor de registro central seguro para evitar que actores maliciosos los modifiquen o eliminen durante una intrusion.

💾 Reproduccion Automatica y Ejecucion Automatica

Deshabilitar Autoplay y Autorun — vector de ataque USB

La reproduccion automatica comienza a leer desde una unidad tan pronto como se conecta, mientras que los comandos Autorun (en autorun.inf) pueden ejecutar cualquier archivo sin interaccion del usuario.

GPOGPO — Deshabilitar reproduccion automatica y ejecucion automatica para todas las unidades

🌐 Puentes de Red

Deshabilitar bridge entre Ethernet e interfaces inalambricas

Cuando una estacion de trabajo tiene varias interfaces de red (Ethernet + WiFi), puede crearse un puente entre redes. Actores maliciosos pueden acceder directamente a la red cableada corporativa desde una red inalambrica no controlada.

GPOGPO — Deshabilitar instalacion y configuracion de puentes de red

👥 Cuenta de Invitado Integrada

Deshabilitar y renombrar — sin acceso sin credenciales

Las cuentas de invitado integradas permiten iniciar sesion en la red sin comprometer primero credenciales legitimas.

GPOGPO — Deshabilitar y renombrar la cuenta de invitado integrada

⚡ Acceso Directo a Memoria (DMA)

FireWire, Thunderbolt, SBP-2 — proteccion DMA del kernel

Las interfaces de comunicacion que usan DMA (FireWire, Thunderbolt) pueden permitir acceso directo al contenido de memoria de una estacion de trabajo con acceso fisico — lectura de claves criptograficas o inyeccion de codigo malicioso.

GPOGPO — Deshabilitar FireWire, Thunderbolt, SBP-2 y habilitar proteccion DMA del kernel

🔐 Cifrado de Unidades — BitLocker

AES cifrado completo de disco — TPM, PIN, USB key

Actores maliciosos con acceso fisico pueden cargar su propio OS para acceder al sistema de archivos local o a la base de datos SAM para obtener hashes de contrasenas. El cifrado de disco completo basado en AES protege el contenido del acceso no autorizado.

GPOGPO — BitLocker: requisito de TPM y configuracion de inicio del sistema operativo

GPOGPO — BitLocker: metodos de cifrado y cifrado de disco completo

GPOGPO — BitLocker: configuracion de recuperacion para unidades del SO

GPOGPO — BitLocker: configuracion de unidades de datos fijas

GPOGPO — BitLocker: configuracion de unidades de datos extraibles

GPOGPO — BitLocker: opciones de cifrado de pre-arranque

GPOGPO — BitLocker: configuracion adicional de proteccion

💾 Control de Dispositivos de Punto Final

USB, smartphones, camaras — almacenamiento extraible

Los actores maliciosos con acceso fisico pueden conectar medios USB no autorizados para facilitar infecciones de codigo malicioso o copia no autorizada de informacion confidencial.

GPOGPO — Deshabilitar uso de dispositivos de almacenamiento extraibles

Alternativa controlada: Si se requieren clases especificas de dispositivos, los permisos de ejecucion, lectura y escritura deben controlarse clase por clase.

GPOGPO — Permitir solo lectura (sin escritura ni ejecucion) para dispositivos extraibles

⚙ Procesamiento de Directivas de Grupo (GPO)

Solo GPO basadas en dominio — sin configuracion local de usuarios

Confiar en que los usuarios configuren GPO locales crea la posibilidad de que deshabiliten funcionalidad de seguridad. Los actores maliciosos podrian aprovechar esto para deshabilitar controles que obstaculizan sus esfuerzos.

GPOGPO — Asegurar aplicacion segura de GPO basadas en dominio, deshabilitar GPO local

📥 Instalacion de Aplicaciones

Controlar instalaciones — bloquear Windows Installer elevado

Los actores maliciosos pueden enviar por email o alojar apps maliciosas y usar ingenieria social para convencer a usuarios de instalarlas. Si las apps estan configuradas para instalarse con privilegios elevados, pueden crear cuentas de administrador o instalar apps maliciosas.

GPOGPO — Controlar instalaciones de aplicaciones y deshabilitar instalacion elevada

🌐 NetBIOS y Autenticacion de Red

Deshabilitar NetBIOS/TCP, usar Kerberos, deshabilitar LM hash

NetBIOS a traves de TCP/IP facilita una serie de metodos de intrusion y solo se usa para sistemas operativos heredados anteriores a Windows 2000. Deshabilitar en todas las interfaces de red.

Metodos de autenticacion de red: Solo usar metodos seguros, idealmente Kerberos.

GPOGPO — Configurar Kerberos y NTLMv2 (si es necesario para fines heredados)

Politica NoLMHash: El hash LM es significativamente mas debil que el hash NT y puede ser forzado facilmente. Implementar en todas las estaciones de trabajo y controladores de dominio.

GPOGPO — NoLMHash: evitar almacenamiento de hashes LM en SAM y AD

Accion requerida: Despues de establecer NoLMHash, animar a todos los usuarios a cambiar su contrasena. Hasta que lo hagan, sus hashes LM existentes seguiran siendo vulnerables.

🔒 Politica de Autenticacion y Contrasenas

Contrasenas seguras, complejidad, historial, caducidad

Las contrasenas debiles (8 caracteres sin complejidad) pueden ser forzadas en minutos con herramientas gratuitas. Para MFA, los requisitos pueden ser menos estrictos (ej: 6 caracteres sin complejidad).

GPOGPO — Directiva de contrasenas segura: longitud, complejidad, historial y caducidad

💻 PowerShell

Solo scripts firmados — logging de modulos, scripts y transcripcion

Permitir que se ejecute cualquier script de PowerShell expone al riesgo de ejecutar scripts maliciosos involuntariamente. Si PowerShell es un requisito empresarial, solo debe permitirse la ejecucion de scripts firmados.

GPOGPO — PowerShell: requirer AllSigned, habilitar logging de modulos, bloques de script y transcripcion

🖥 Servicios de Escritorio Remoto (RDP)

NLA, cifrado, control de guardar contrasenas

El acceso a escritorio remoto permite administracion remota, pero tambien permite que actores maliciosos accedan a otras estaciones de trabajo una vez comprometida una inicial. El riesgo se agrava si se comprometen credenciales de administrador de dominio.

GPOGPO — RDP: NLA obligatorio, nivel de cifrado alto, tiempo de inactividad

GPOGPO — RDP: bloqueo de sesion, desconexion automatica, seguridad de transporte

GPOGPO — RDP: deshabilitar guardar contrasenas en cliente RDP

🔑 Herramientas de Edicion del Registro

Deshabilitar regedit y archivos .reg para usuarios estandar

El codigo malicioso puede usar privilegios administrativos para modificar el registro y mantener persistencia. Los usuarios no deben poder modificar el registro con regedit o mediante archivos .reg.

GPOGPO — Deshabilitar acceso al Editor del Registro para usuarios

🔗 Sesiones SMB — Firma de Comunicaciones

Firmar y cifrar sesiones SMB — evitar secuestro de sesion

Actores maliciosos con acceso a comunicaciones de red pueden usar herramientas de secuestro de sesion SMB para interrumpir, terminar o robar sesiones, modificar paquetes o hacerse pasar por el servidor o cliente.

GPOGPO — SMB signing obligatorio para clientes y servidores (MS Security Guide)

🔒 Bloqueo de Sesion

Maximo 15 min de inactividad — minimizar informacion en pantalla de bloqueo

Los actores maliciosos con acceso fisico a una estacion desatendida y desbloqueada pueden acceder a informacion confidencial o realizar acciones que no se les atribuiran.

GPOGPO — Bloqueo de sesion: tiempo maximo de inactividad y protector de pantalla

GPOGPO — Pantalla de bloqueo: minimizar informacion mostrada

🔥 Cortafuegos Basados en Software

Firewall de Windows — filtrar trafico entrante Y saliente por aplicacion

Los firewalls de red solo controlan puertos o protocolos entre segmentos y no evitan la propagacion de codigo malicioso que usa HTTP, HTTPS, SMTP o DNS. Los firewalls basados en software son mas efectivos porque controlan que aplicaciones pueden comunicarse.

Firewall de Windows: Puede usarse para controlar el trafico entrante y saliente para aplicaciones especificas — es mas granular que los firewalls de red perimetrales.

💻 Administracion Remota de Windows (WinRM)

Autenticacion y cifrado — configuracion segura de WS-Management

WinRM es la implementacion de Microsoft del protocolo WS-Management. Sin autenticacion y cifrado adecuados, el trafico puede ser iniciado por actores maliciosos.

GPOGPO — WinRM: requerir autenticacion y cifrado, deshabilitar metodos inseguros

GPOGPO — Deshabilitar acceso a Windows Remote Shell

📋 Controles Adicionales de Baja Prioridad

Extensiones, Microsoft Store, ubicacion, RSOP, criptografia, UEFI

Visualizacion de extensiones de archivo

Un archivo vulnerability_assessment.pdf.exe aparece como vulnerability_assessment.pdf si las extensiones estan ocultas, facilitando ingenieria social.

GPOGPO — Deshabilitar ocultacion de extensiones de tipos de archivo conocidos

Propiedades de seguridad de archivos y carpetas

Por defecto todos los usuarios pueden ver las propiedades de seguridad de archivos, lo que puede revelar cuentas con acceso a informacion confidencial.

GPOGPO — Deshabilitar acceso a la pestana de Seguridad en propiedades de archivos

Reconocimiento de la ubicacion (servicios de localizacion)

Los servicios de ubicacion pueden revelar la ubicacion geografica del usuario a actores maliciosos.

GPOGPO — Deshabilitar servicios de ubicacion en el sistema operativo

Tienda de Microsoft (Microsoft Store)

Los usuarios con acceso a Microsoft Store pueden instalar apps potencialmente maliciosas o con conflictos con apps aprobadas.

GPOGPO — Deshabilitar acceso a Microsoft Store

Conjunto resultante de informes de politicas (RSOP)

Los informes RSOP permiten a los usuarios ver la configuracion GPO aplicada, que actores maliciosos podrian usar para identificar errores de configuracion.

GPOGPO — Deshabilitar generacion de informes RSOP para usuarios

Rutas de configuracion GPO — referencia rapida

GPO ReferenceRutas GPO — referencia 1: configuracion de equipo

GPO ReferenceRutas GPO — referencia 2: plantillas administrativas

GPO ReferenceRutas GPO — referencia 3: rutas cortas

GPO ReferenceRutas GPO — referencia 4: configuracion adicional

GPO ReferenceRutas GPO — referencia 5: opciones de seguridad

GPO ReferenceRutas GPO — referencia 6: derechos de usuario

Criptografia del sistema

Por defecto, los usuarios pueden acceder a claves criptograficas sin introducir contrasena para desbloquear el almacen de certificados. Se deben usar algoritmos de cifrado fuertes y proteccion de claves solida.

GPOGPO — Criptografia del sistema: algoritmos fuertes y proteccion de claves seguras

Politicas de derechos de usuario

GPOGPO — Directivas de derechos de usuario: parte 1

GPOGPO — Directivas de derechos de usuario: parte 2

GPOGPO — Directivas de derechos de usuario: parte 3

Politicas de seguridad completas

GPOGPO — Politicas de seguridad: opciones clave parte 1

GPOGPO — Politicas de seguridad: opciones clave parte 2

GPOGPO — Politicas de seguridad: opciones clave parte 3

Contrasenas UEFI

Accion fisica: Los actores maliciosos con acceso a la UEFI pueden modificar dispositivos de arranque, deshabilitar funciones de seguridad de CPU o habilitar interfaces inseguras como FireWire y Thunderbolt. Usar contrasenas UEFI seguras en todas las estaciones de trabajo.

Copias de seguridad y restauracion

GPOGPO — Limitar backup y restauracion a administradores

Modo seguro

GPOGPO — Evitar que usuarios con credenciales estandar usen opciones de Modo Seguro

Comunicaciones de canal seguro

GPOGPO — Firmar y cifrar todas las comunicaciones de canal seguro con controladores de dominio

Informacion del sistema — informes

GPOGPO — Dirigir informes de errores al servidor corporativo, no a Microsoft

Llamada a Procedimiento Remoto (RPC)

GPOGPO — Requerir autenticacion de clientes RPC en servidores RPC

Asistencia Remota

GPOGPO — Deshabilitar asistencia remota (Remote Assistance)

Impresoras y cola de impresion

GPOGPO — Proteccion de impresoras: controlar instalacion de controladores

GPOGPO — Cola de impresion: configuracion de seguridad adicional

Gestion de energia — deshabilitar hibernacion

Los estados de suspension e hibernacion pueden conservar informacion confidencial (claves de cifrado) en memoria o en el archivo hiberfil.sys.

GPOGPO — Deshabilitar estados de suspension e hibernacion: parte 1

GPOGPO — Deshabilitar estados de suspension e hibernacion: parte 2

CD/DVD — Acceso al quemador

GPOGPO — Deshabilitar acceso a funcionalidad de grabacion de CD nativa

Simbolo del sistema (CMD)

GPOGPO — Deshabilitar acceso al simbolo del sistema y procesamiento de scripts

Comparticion de archivos e impresoras

GPOGPO — Deshabilitar uso compartido local de archivos e impresoras

Cuentas de Microsoft — no vincular a cuentas locales

GPOGPO — Deshabilitar vinculacion de cuentas Microsoft a cuentas locales o de dominio

Configuracion MSS

GPOGPO — Configuracion MSS relevante para versiones modernas de Windows

Listas heredadas y de ejecucion unica (RunOnce)

GPOGPO — Deshabilitar listas heredadas y RunOnce del registro

Procesamiento de directivas GPO — forzar actualizacion

GPOGPO — Procesar GPO aunque no hayan cambiado los objetos

Conexiones de canal seguro

GPOGPO — Cifrar y firmar comunicaciones de canal seguro

Busqueda de Windows y Cortana

GPOGPO — Deshabilitar busqueda web automatica en Windows Search y Cortana

Protocolo WPAD

WPAD: El protocolo Web Proxy Auto Discovery tiene vulnerabilidades graves. Si no se usa, desactivarlo modificando el archivo hosts en %SystemDrive%\Windows\System32\Drivers\etc\hosts añadiendo: 255.255.255.255 wpad

🤖 Windows Copilot

Deshabilitar hasta decision basada en riesgo — Bing Chat Enterprise

Windows Copilot (Windows 11) usa Bing Chat o Bing Chat Enterprise. Si se usa Bing Chat (sin "Enterprise"), podria dar lugar a la divulgacion accidental de informacion confidencial al buscar terminos en la web.

GPOGPO — Deshabilitar Windows Copilot

Recomendacion: Deshabilitar Windows Copilot hasta que la organizacion tome una decision basada en el riesgo sobre su uso. Si se habilita, usar solo con Bing Chat Enterprise como proveedor en entornos empresariales.