Windows: bloquear el acceso remoto a la red para cuentas de usuarios locales
No se recomienda el uso de cuentas locales (incluido el administrador local) para acceder a otra computadora a través de la red en entornos de Active Directory por varias razones. El mismo nombre de usuario y contraseña de administrador local se usan a menudo en muchas computadoras, lo que puede poner en riesgo varios dispositivos si una sola computadora se ve comprometida (amenaza de ataque Pass-the-hash). Además, el acceso a los recursos de la red con cuentas locales es difícil de personificar y monitorear de forma centralizada, porque dichos eventos no se registran en los controladores de dominio de AD.
Para mitigar el riesgo, los administradores pueden cambiar el nombre de la cuenta de administrador de Windows local predeterminada. Para cambiar regularmente la contraseña del administrador local en todas las computadoras del dominio, puede usar la herramienta MS LAPS (Solución de contraseña del administrador local). Pero estas soluciones no podrán resolver el problema de restringir el acceso a la red para todas las cuentas de usuarios locales, ya que puede haber más de una cuenta local en una computadora.
Puede restringir el acceso a la red para las cuentas locales mediante la directiva Denegar el acceso a este equipo desde la red. Pero esta política requiere enumerar explícitamente todas las cuentas a las que se les debe denegar el acceso a la red de la computadora.
En Windows 8.1 y Windows Server 2012 R2, aparecieron dos nuevos grupos de seguridad conocidos con nuevos SID. Uno incluye a todos los usuarios locales y el segundo incluye a todos los administradores locales.
| S-1-5-113 | NT AUTHORITY\Local account | All local accounts |
| S-1-5-114 | NT AUTHORITY\Local account and member of Administrators group | All local accounts with the administrator privileges |
Ahora, para restringir el acceso de las cuentas locales, puede usar sus SID comunes.
Estos grupos se agregan al token de acceso del usuario durante el inicio de sesión en la computadora con una cuenta local.
Para asegurarse de que en Windows 10/Windows Server 2016, su cuenta de administrador local tenga asignados dos nuevos grupos de seguridad (
NT AUTHORITY\Local account (SID S-1-5-113)y N
T AUTHORITY\Local account and member of Administrators group (SID S-1-5-114)), ejecute el comando:
Whoami /all
Puede usar estos grupos de seguridad locales integrados en Windows 7/8 y Windows Server 2008 R2/Windows Server 2012 después de instalar la actualización KB 2871997 (junio de 2014).
Puede verificar si estos grupos de seguridad existen en su dispositivo Windows por SID utilizando el siguiente script de PowerShell:
$objSID = New-Object System.Security.Principal.SecurityIdentifier ("S-1-5-113")
$objAccount = $objSID.Translate([System.Security.Principal.NTAccount])
$objAccount.Value
Para bloquear el acceso remoto a la red en cuentas de usuarios locales que contengan estos SID en el token, puede usar la configuración de la sección GPO Configuración de la computadora -> Configuración de Windows -> Configuración de seguridad -> Políticas locales -> Asignación de derechos de usuario.
Denegar acceso de escritorio remoto (RDP) para usuarios y administradores locales
La política Denegar inicio de sesión a través de Servicios de Escritorio remoto le permite especificar usuarios y grupos a los que se les niega explícitamente el inicio de sesión en una computadora de forma remota a través de Escritorio remoto. Puede denegar el acceso RDP a la computadora para cuentas locales y de dominio.
De forma predeterminada, el acceso RDP en Windows está permitido para los administradores y los miembros del grupo local Usuario de escritorio remoto.
Si desea restringir las conexiones RDP solo para usuarios locales (incluidos los administradores locales), abra el editor de GPO local gpedit.msc (si desea aplicar esta configuración en las computadoras en el dominio de Active Directory, use el Editor de políticas de grupo de dominio - gpmc.msc). Vaya a la sección de GPO Asignación de derechos de usuario y edite la política Denegar inicio de sesión a través de Servicios de escritorio remoto.
Agregue los grupos de seguridad locales integrados "Cuenta local y miembro del grupo de administradores" y "Cuenta local" a la política. Actualice la configuración de la directiva de grupo local con el comando:
gpupdate /force
La política de denegación tiene prioridad sobre la política Permitir inicio de sesión a través de Servicios de escritorio remoto. Si se agrega un usuario o grupo en ambas políticas, se denegará el acceso RDP para ese usuario.
Ahora, si intenta conectarse a su computadora con un usuario local a través de RDP, aparecerá un error:
To sign in remotely, you need the right to sign in through Remote Desktop Services. By default, members of the Remote Desktop Users group have this right. If the group you’re in doesn’t have this right, or if the right has been removed from the Remote Desktop Users group, you need to be granted this right manually.
Denegar el acceso a la computadora desde la red
Puede denegar el acceso a la red a una computadora con credenciales locales con la política Denegar el acceso a esta computadora desde la red.
Agregue los grupos locales “Cuenta local” y “Cuenta local y miembro del grupo Administradores” a la política Denegar acceso a este equipo desde la red . Además, siempre debe denegar el acceso anónimo y el acceso con una cuenta de invitado.
Para un entorno de dominio, le recomendamos que use la política Denegar el acceso a esta computadora desde la red para bloquear completamente el acceso a las estaciones de trabajo y los servidores miembros del dominio en las cuentas de los Administradores del dominio y Administradores de empresas grupos de seguridad. Estas cuentas solo deben usarse para acceder a los controladores de dominio. Esto reducirá los riesgos de capturar el hash de la cuenta administrativa (privilegiada) y la escalada de privilegios.
Después de aplicar la política, no podrá conectarse de forma remota a esta computadora a través de la red con ninguna cuenta local de Windows. Al intentar conectarse a una carpeta de red compartida o asignar una unidad de red desde esta computadora con una cuenta local, aparecerá un error:
Microsoft Windows Network: Logon failure: the user has not been granted the requested logon type at this computers.Al intentar establecer una conexión de Escritorio remoto con la cuenta de administrador local (. dministrator), aparece un mensaje de error.
The system administrator has restricted the types of logon (network or interactive) that you may use. For assistance, contact your system administrator or technical support.
Importante. Si aplica esta política a una computadora que es parte de un grupo de trabajo de Windows (no unida a un dominio de Active Directory), solo puede iniciar sesión en esa computadora localmente.
Denegar a los usuarios el inicio de sesión local en Windows 10
Usando la política Denegar inicio de sesión local, también puede restringir los inicios de sesión interactivos a la computadora/servidor bajo cuentas locales de Windows. Vaya a la sección Asignación de derechos de usuario de GPO, edite la directiva Denegar inicio de sesión local. Agregue el grupo de seguridad local necesario.
Tenga especial cuidado con la configuración de directiva de grupo de denegación. Si se configura incorrectamente, puede perder el acceso a las computadoras. Como último recurso, puede restablecer su configuración de GPO local de esta manera.
Ahora, si un usuario o administrador intenta iniciar sesión en la computadora con una cuenta local, aparecerá un mensaje.
The sign-in method you are trying to use isn’t allowed. For more info, contact your network administrator.
Aparecerá el mismo mensaje si ha restringido la lista de computadoras autorizadas para iniciar sesión en la configuración de la cuenta de usuario en AD.
Por lo tanto, puede denegar el acceso a la red bajo cuentas locales de Windows a computadoras y servidores miembros del dominio, y aumentar la seguridad del entorno corporativo.