Security engineer writing practical, baseline-aligned hardening guides for Windows endpoints, servers and Active Directory.
Haz mantenible App Control for Business: confía en Intune o ConfigMgr como instalador administrado, usa ISG con cuidado y delega con directivas complementarias.
Despliega AppLocker con seguridad: servicio Application Identity, modo auditoría, reglas de editor para EXE, scripts, MSI y apps empaquetadas, y carpetas con escritura.
Gestione bien las claves de recuperación de BitLocker: custodia en AD DS o Entra ID, cobertura demostrada, lectura restringida, auditoría de accesos y rotación.
Reduce las credenciales que Windows guarda en disco y memoria: inicios de sesión en caché, WDigest, limpieza tras cerrar sesión, contraseñas de red y Credential Manager.
Detecta y corrige la deriva de configuración en Windows: OSConfig en Server 2025, autocorrección con DSC, reprocesamiento de GPO, eventos de cambio e informes.
Despliega el acceso controlado a carpetas de Defender: modo auditoría, eventos 1123 y 1124, aplicaciones permitidas, carpetas protegidas y bloqueo por anillos.
Localiza cada exclusión de Microsoft Defender en GPO, Intune y configuración local, justifícala o elimínala, acota el resto, ocúltalas y supervisa los cambios.
Convierta los registros de PowerShell en detecciones: reconstruya bloques 4104, use AMSI y eventos del motor, detecte ofuscación y PowerShell no administrado.
Endurece Microsoft Edge por directiva: SmartScreen impuesto, extensiones permitidas por lista, modo de seguridad mejorada, límites de descarga y actualizaciones rápidas.
Cómo se comporta Defender Antivirus junto a otro antivirus: modo activo, pasivo y EDR en modo de bloqueo, modo pasivo forzado en servidores y cómo verificarlo.
Configura exploit protection de Windows, sucesor de EMET: valores del sistema, mitigaciones por aplicación, modo de auditoría, XML y despliegue por GPO o Intune.
Convierta el Firewall de Windows en fuente de detección: pfirewall.log, eventos WFP 5156/5157 y de cambio de reglas 4946-4950, reenviados de forma centralizada.
Gestione el Firewall de Windows en todo el parque: cómo se combinan las reglas de GPO e Intune, por qué prevalece el bloqueo y cómo revisar el almacén activo.
Parchea Windows Server con menos interrupciones: hotpatch en Server 2025 con Azure Arc o Azure Edition, meses de línea base, requisitos y Cluster-Aware Updating.
Despliega las líneas base de Intune sin conflictos: versiones, capas en el catálogo de configuración, solapamiento con Endpoint security, MDMWinsOverGP y comprobaciones.
Use reglas de seguridad de conexión IPsec para que solo equipos del dominio autenticados lleguen a sus servidores: aislamiento, criptografía y despliegue seguro.
Cree puntos de conexión JEA con los comandos justos para cada operador: funcionalidades de rol, configuraciones de sesión, cuentas virtuales, gMSA y auditoría.
Blinda Microsoft 365 Apps: bloquea macros de Internet, desactiva XLM, analiza VBA con AMSI, mantén la Vista protegida, exige complementos firmados y frena OLE y DDE.
Usa Policy Analyzer para comparar GPO, líneas base y directiva efectiva, y LGPO.exe para probar, aplicar y exportar la directiva local en equipos aislados y laboratorios.
Cierra los riesgos tipo PrintNightmare: deshabilita la cola de impresión donde sobre, limita los controladores a administradores y usa Package Point and Print.
Evita que RDP deje credenciales reutilizables en los servidores: Remote Credential Guard, modo Restricted Admin, DisableRestrictedAdmin y delegación de credenciales.
Protege el Escritorio remoto con NLA, la capa de seguridad TLS, certificados de PKI, usuarios restringidos, firewall acotado, límites de sesión y los registros adecuados.
Retira los derechos de administrador local a los usuarios: inventario de quién los tiene, pertenencia impuesta por GPO o Intune, elevación con EPM y acceso de emergencia.
Endurezca la cadena de arranque de Windows: verifique Secure Boot, aplique las revocaciones de BlackLotus (CVE-2023-24932), adopte los certificados 2023 y bloquee UEFI.
Elige una configuración de Sysmon, reduce el ruido sin crear puntos ciegos, despliega actualizaciones con seguridad en miles de equipos y supervisa el propio Sysmon.
Inventaría, prioriza y parchea apps de terceros en Windows: primero navegadores y runtimes, winget como SYSTEM, directiva de App Installer y retirar lo no parcheable.
Deshabilita SSL, TLS 1.0/1.1 y los cifrados débiles en Schannel, fija el orden de los conjuntos de cifrado por GPO y haz que .NET use criptografía fuerte.
Configura bien UAC: Admin Approval Mode, escritorio seguro, FilterAdministratorToken, UAC remoto para cuentas locales y Administrator protection de Windows 11.
Habilite la seguridad basada en virtualización, la integridad de memoria (HVCI) y Kernel DMA Protection: requisitos, GPO e Intune, controladores y verificación.
Activa y verifica la lista de bloqueo de controladores vulnerables de Microsoft en clientes y servidores, mantenla al día y detecta los ataques BYOVD.
Windows Event Forwarding que aguanta: recopiladores, suscripciones iniciadas por el origen, consultas XPath, entrega, acceso al registro de seguridad y estado.
Lista priorizada de endurecimiento de Windows en 90 días: primero lo fácil, luego las rutas de credenciales y movimiento lateral y, al final, los controles estructurales.
Despliega Windows Hello for Business con confianza de Kerberos en la nube o de clave, exige claves en el TPM, define la directiva de PIN y verifica el aprovisionamiento.
Referencia práctica de los ID de eventos de Windows que conviene recopilar y alertar: inicios de sesión, errores, Kerberos, cuentas, persistencia y manipulación.
Configura las directivas de cliente de Windows Update en GPO e Intune: aplazamientos, plazos de cumplimiento, períodos de gracia, reinicios y verificación.
Blinde WinRM: inventaríe los agentes de escucha, imponga Kerberos, bloquee Basic, Digest y CredSSP, añada HTTPS, deje TrustedHosts vacío y acote el firewall.
Compara el Security Compliance Toolkit, CIS y los STIG de DISA, aplica uno con Policy Analyzer y LGPO, añade tus configuraciones y registra cada desviación.
Un proceso de parches de Windows que termina cada mes: anillos con plazos, WSUS frente a Update for Business, hotpatch, prioridad a KEV y huecos fuera de Windows.
Configura la auditoría avanzada, la captura de línea de comandos, el tamaño de los registros, Sysmon y WEF para saber quién, qué, dónde y cuándo.
PowerShell transparente y acotado: registro de bloques de script, módulos y transcripción, eliminación de la v2, CLM impuesto por App Control y JEA.
Configure BitLocker frente a amenazas reales: cifrado, solo TPM frente a TPM+PIN, custodia de claves en AD o Entra ID, Secure Boot, protección DMA y verificación.
Use Firewall de Windows Defender como control de movimiento lateral: perfiles por GPO, reglas locales ignoradas, RDP/WinRM/SMB limitados a subredes de gestión.
Mide y desactiva los protocolos de Windows detrás de la captura de hashes y la retransmisión: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, y exige la firma SMB y LDAP.
Elige entre App Control for Business (antes WDAC) y AppLocker, parte de las directivas de ejemplo, audita, lee los eventos de Code Integrity y aplica sin romper nada.
Configura Microsoft Defender Antivirus para resistir, no solo para ser compatible: nube, bloqueo a primera vista, Tamper Protection, PUA y protección de red.
Reglas ASR de Defender: qué bloquea cada una, su GUID, cuáles imponer primero, despliegue en auditoría, eventos y exclusiones que no anulan la protección.
Cómo frenan Credential Guard y la protección LSA (RunAsPPL) el volcado de credenciales, cómo activarlos y verificarlos, qué rompen y qué ajustes heredados desactivar.
Aplica en la práctica el modelo por niveles de Active Directory: qué va en Tier 0, restricciones de inicio de sesión por GPO, Protected Users, PAW y cómo verificarlo.
Sustituye las contraseñas compartidas del Administrador local por Windows LAPS: esquema, permisos, directivas, cifrado, recuperación y las comprobaciones clave.