6 configuraciones de política de grupo que debes hacer bien
La Política de grupo es una tecnología de administración de configuración que forma parte de Windows Server Active Directory. Se puede utilizar para configurar ajustes en los sistemas operativos de cliente y servidor de Windows para asegurarse de tener una configuración consistente y segura en todos los dispositivos. Hay literalmente cientos de configuraciones disponibles para usar al configurar sus objetos de política de grupo (GPO), pero en esta publicación de blog, le mostraré seis configuraciones de seguridad de política de grupo críticas que debe realizar correctamente para garantizar la seguridad básica en su entorno. .
Si desea configurar la Política de grupo con la configuración recomendada de Microsoft, descargue el Kit de herramientas de cumplimiento de seguridad. Contiene líneas de base de seguridad para todas las versiones compatibles de Windows, que puede utilizar como base para sus propios objetos de Política de grupo, y hojas de cálculo que enumeran y explican todas las configuraciones recomendadas. Si tiene dispositivos que no son miembros de un dominio, utilice la política local para configurar los ajustes. El kit de herramientas contiene una aplicación específica que facilita la administración de la configuración de políticas locales en dispositivos independientes.
Control de aplicaciones (AppLocker)
No mantener el software no autorizado fuera de sus máquinas es una de las formas clave en que el malware se apodera de los sistemas. Si bien es importante eliminar los privilegios de administrador local de los usuarios finales para evitar cambios en todo el sistema, esa restricción por sí sola no es suficiente para evitar que los usuarios (o los procesos que se ejecutan en el contexto de cuentas de usuario iniciadas) ejecuten código que podría causar daños graves. .
Para solucionar este problema, Microsoft Windows 7 introdujo AppLocker, que permite a los administradores de sistemas aplicar rápidamente políticas de control de aplicaciones a los sistemas. AppLocker funciona estableciendo una lista blanca de procesos, scripts e instaladores que se pueden ejecutar. Encontrará la configuración de AppLocker en Política de grupo en Configuración de la computadora > Configuración de Windows > Configuración de seguridad > Políticas de control de aplicaciones > AppLocker.
Figura 1. Dónde encontrar la configuración de AppLocker en la Política de grupo
Para crear reglas para cada categoría enumerada en AppLocker, haga clic derecho en la categoría (por ejemplo, Reglas ejecutables) y seleccione una de las tres opciones en la mitad superior del menú. Al seleccionar Generar reglas automáticamente... se escanea un sistema de referencia y se crean reglas basadas en los ejecutables instalados en ubicaciones confiables. Si decide crear reglas manualmente, asegúrese de Crear reglas predeterminadas; de lo contrario, corre el riesgo de desactivar funciones críticas en Windows que podrían inutilizar los sistemas.
Una vez que haya configurado algunas reglas, haga clic derecho en AppLocker y seleccione Propiedades en el menú. En la pestaña Cumplimiento, haga clic en las categorías de reglas que desea habilitar y seleccione Solo auditoría en el menú. Deje que sus reglas se ejecuten en modo auditoría durante algún tiempo y verifique el registro de eventos de Windows para detectar cualquier problema. Si está seguro de que las reglas no bloquean ninguna aplicación o característica importante de Windows, cambie la configuración a Aplicar reglas.
El servicio Application Identity debe estar ejecutándose en los dispositivos antes de que AppLocker aplique políticas. En Windows 10, AppLocker también se puede configurar a través del editor de políticas de grupo local. Sin embargo, con Windows 10, Microsoft introdujo el Control de aplicaciones de Windows Defender (anteriormente Device Guard), que es una tecnología de control de aplicaciones más sólida que es difícil de eludir para los administradores locales.
actualizacion de Windows
Windows Update es un componente crítico de Windows que garantiza que el sistema operativo y otro software se mantengan actualizados. Si su organización utiliza Windows 10, considere utilizar Windows Update for Business (WUfB) para mantener los dispositivos parcheados. A diferencia de Windows Server Update Services (WSUS), WUfB no requiere ninguna infraestructura local, pero le brinda cierto control sobre cómo se aplican las funciones y las actualizaciones de calidad de Windows 10. Puede encontrar Windows Update y Windows Update para
Configuración de directiva de grupo empresarial en Configuración del equipo > Plantillas administrativas > Componentes de Windows > Actualización de Windows.
Si está utilizando una versión anterior de Windows, use la Política de grupo para apuntar dispositivos a un punto de actualización de software (SUP) de WSUS o System Center Configuration Manager interno mediante Configurar actualizaciones automáticas y Especificar intranet Microsoft. actualizar la configuración de la ubicación del servicio . También hay muchas otras configuraciones, como No incluir controladores con las actualizaciones de Windows y Especificar el rango de horas activas para los reinicios automáticos, que pueden resultar útiles.
Deshabilitar el cliente y el servidor SMBv1
Algunos componentes de SMBv1 carecen de la seguridad adecuada. Si recuerdas el año 2017, las fallas en SMBv1 fueron una de las formas en que el virus NotPetya pudo propagarse tan rápidamente. Aunque Microsoft ya había publicado parches para SMBv1, muchas organizaciones no los habían aplicado.
Las versiones posteriores de Windows 10 ya tienen los componentes inseguros SMBv1 eliminados de forma predeterminada. Pero si está utilizando Windows 7, Windows 8 o una versión anterior de Windows 10, deberá asegurarse de eliminar el componente SMBv1 de su sistema o usar la Política de grupo para deshabilitarlo en todos los servidores y clientes que no lo necesiten. él.
Para deshabilitar el servidor SMBv1, cree un valor REG_DWORD llamado SMB1 en la siguiente ruta clave y establezca su valor en 0:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanServerParametersPara deshabilitar el cliente SMBv1, cree dos valores de registro. El primero es un valor REG_DWORD llamado Inicio, que debe establecerse en 4 en la siguiente ruta clave:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetservicesmrxsmb10El segundo es el valor REG_MULTI_SZ llamado DependOnService, que debe establecerse en “Bowser”,”MRxSmb20?”,”NSI” en la siguiente ruta:
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetServicesLanmanWorkstationPara configurar nuevos elementos de registro en la Política de grupo, vaya a Configuración del equipo > Preferencias > Configuración de Windows y haga clic derecho en Registro. Seleccione Nuevo > Elemento de registro en el menú y luego agregue la ruta clave y el valor requeridos. Asegúrese de que el campo Acción esté configurado en Actualizar.
Deshabilitar cuentas de invitado y cuentas de administrador local
Las cuentas integradas de invitado y administrador local están deshabilitadas de forma predeterminada en Windows 10. Pero si desea asegurarse de que siga así, configure las cuentas en la Política de grupo para que estén siempre deshabilitadas. Esto es especialmente importante para garantizar un control de acceso sólido en servidores críticos, como los controladores de dominio. Puede encontrar la configuración en Configuración del equipo > Configuración de Windows > Configuración de seguridad > Políticas locales > Opciones de seguridad. Establezca Cuentas: estado de la cuenta de invitado y Cuentas: estado de la cuenta de administrador en Desactivado.
Denegar el acceso de ejecución en discos extraíbles
Puede permitir a los usuarios leer y escribir en y desde medios extraíbles, pero impedirles ejecutar cualquier ejecutable. Si tiene configurado AppLocker, esta configuración puede ser discutible, pero muchas organizaciones no utilizan el control de aplicaciones. En cualquier caso, bloquear archivos ejecutables en medios extraíbles puede ayudar a proteger los sistemas contra códigos maliciosos.
Encontrará la configuración Discos extraíbles: Denegar acceso de ejecución en Configuración del equipo > Plantillas administrativas > Sistema > Acceso al almacenamiento extraíble.
Evitar cambios en la configuración del proxy
Independientemente de si su organización utiliza un servidor proxy, es aconsejable evitar que los usuarios cambien la configuración del proxy. En el peor de los casos, una configuración de proxy maliciosa podría desviar todo el tráfico de Internet de su red a través de un intermediario no autorizado; en el mejor de los casos, podrían impedir que los usuarios accedan a los recursos de Internet. Para impedir que los usuarios cambien la configuración del proxy para Internet Explorer y Microsoft Edge, establezca Impedir cambiar la configuración del proxy en Configuración de usuario> Plantillas administrativas > Componentes de Windows > Internet Explorer en Activado.
Conclusión
Esas son las seis configuraciones de política de grupo que debe asegurarse de configurar correctamente. Recuerde, antes de aplicar la configuración de la Política de grupo en su entorno de producción, pruébela para asegurarse de que no tenga ningún efecto adverso. Para obtener una lista completa de las configuraciones recomendadas por Microsoft, descargue las plantillas básicas en el kit de herramientas de cumplimiento de seguridad.