Un mapa práctico del hardening de Windows para equipos, servidores y dominios. Cada control incluye la ruta de directiva de grupo, el valor de registro, el PowerShell para verificarlo y lo que puede romper.
89%
controles aplicados
Extra local admins
0
−100% / 30 d
App Control audit
412
en auditoría
Alineado con
Por qué funciona
Todas las guías siguen la misma estructura: del hallazgo al control aplicado sin abrir otra pestaña.
La ruta de directiva de grupo, el valor de registro y el atributo a configurar. Sin vaguedades.
Lee el estado actual antes de cambiarlo y demuestra el cambio después, con comandos listos para pegar.
Cada guía termina con el impacto de compatibilidad, para que el control no se revierta al primer ticket.
Modos de auditoría, ID de eventos y anillos de despliegue: el despliegue que sobrevive a las aplicaciones heredadas.
Un mapa de doce áreas y un plan de 90 días que prioriza los controles detrás de la mayoría de intrusiones.
El mapa
Cada área agrupa los controles que defienden contra el mismo tipo de ataque. Empieza por donde quieras, pero las dos primeras áreas frenan la mayoría de los compromisos de dominio reales.
Hoja de ruta
El orden importa. Cierra primero los caminos que usan los atacantes, luego corrige la estructura y mantenla.
Días 0–30
Windows LAPS, sin derechos de administrador local, reglas ASR, LLMNR y NBT-NS desactivados, macros de Internet bloqueadas.
Días 31–60
Credential Guard y protección LSA, RDP seguro, niveles de administración, firewall, registro de PowerShell.
Días 61–90
App Control, BitLocker con TPM+PIN, integridad de memoria, limpieza de TLS y detección de desviaciones.
Método
El hardening de Windows fracasa cuando rompe algo y hay que revertirlo. Casi todos los controles de este mapa tienen modo auditoría: úsalo.
Guías
Haz mantenible App Control for Business: confía en Intune o ConfigMgr como instalador administrado, usa ISG con cuidado y delega con directivas complementarias.
Despliega AppLocker con seguridad: servicio Application Identity, modo auditoría, reglas de editor para EXE, scripts, MSI y apps empaquetadas, y carpetas con escritura.
Gestione bien las claves de recuperación de BitLocker: custodia en AD DS o Entra ID, cobertura demostrada, lectura restringida, auditoría de accesos y rotación.
Reduce las credenciales que Windows guarda en disco y memoria: inicios de sesión en caché, WDigest, limpieza tras cerrar sesión, contraseñas de red y Credential Manager.
Detecta y corrige la deriva de configuración en Windows: OSConfig en Server 2025, autocorrección con DSC, reprocesamiento de GPO, eventos de cambio e informes.
Despliega el acceso controlado a carpetas de Defender: modo auditoría, eventos 1123 y 1124, aplicaciones permitidas, carpetas protegidas y bloqueo por anillos.
Empieza con el plan de 90 días o elige el área que más te preocupa.