Guías
Guías detalladas de hardening de Windows con rutas de directiva de grupo, valores de registro, PowerShell y pasos de verificación.
49 guías12 áreas
Empieza aquí
Lista de endurecimiento de Windows: plan de 30/60/90 días
Lista priorizada de endurecimiento de Windows en 90 días: primero lo fácil, luego las rutas de credenciales y movimiento lateral y, al final, los controles estructurales.
Área 01 · 4 guías
Cuentas y acceso privilegiado
Contraseñas de administrador local únicas, modelo por niveles y un Tier 0 pequeño y protegido.
- 01Desplegar Windows LAPS: contraseñas de admin local únicasSustituye las contraseñas compartidas del Administrador local por Windows LAPS: esquema, permisos, directivas, cifrado, recuperación y las comprobaciones clave.
- 02Modelo por niveles y Protected Users en Active DirectoryAplica en la práctica el modelo por niveles de Active Directory: qué va en Tier 0, restricciones de inicio de sesión por GPO, Protected Users, PAW y cómo verificarlo.
- 03Quitar los derechos de admin local a los usuarios sin caosRetira los derechos de administrador local a los usuarios: inventario de quién los tiene, pertenencia impuesta por GPO o Intune, elevación con EPM y acceso de emergencia.
- 04Endurecimiento de UAC y Administrator protection en WindowsConfigura bien UAC: Admin Approval Mode, escritorio seguro, FilterAdministratorToken, UAC remoto para cuentas locales y Administrator protection de Windows 11.
Área 02 · 4 guías
Protección de credenciales
Mantener los secretos fuera de la memoria de LSASS con Credential Guard y la protección LSA.
- 01Credential Guard y protección LSA: proteger LSASSCómo frenan Credential Guard y la protección LSA (RunAsPPL) el volcado de credenciales, cómo activarlos y verificarlos, qué rompen y qué ajustes heredados desactivar.
- 02Inicios de sesión en caché, WDigest y credenciales expuestasReduce las credenciales que Windows guarda en disco y memoria: inicios de sesión en caché, WDigest, limpieza tras cerrar sesión, contraseñas de red y Credential Manager.
- 03RDP sin exponer credenciales: RCG y Restricted AdminEvita que RDP deje credenciales reutilizables en los servidores: Remote Credential Guard, modo Restricted Admin, DisableRestrictedAdmin y delegación de credenciales.
- 04Windows Hello for Business: modelos de confianza y PINDespliega Windows Hello for Business con confianza de Kerberos en la nube o de clave, exige claves en el TPM, define la directiva de PIN y verifica el aprovisionamiento.
Área 03 · 4 guías
Reducción de la superficie de ataque
Bloquear los comportamientos de los que depende el malware: procesos hijos de Office, lecturas de LSASS, scripts dropper.
- 01Reglas de reducción de la superficie de ataque (ASR): GUIDReglas ASR de Defender: qué bloquea cada una, su GUID, cuáles imponer primero, despliegue en auditoría, eventos y exclusiones que no anulan la protección.
- 02Exploit protection: mitigaciones de sistema y por aplicaciónConfigura exploit protection de Windows, sucesor de EMET: valores del sistema, mitigaciones por aplicación, modo de auditoría, XML y despliegue por GPO o Intune.
- 03Endurecer Microsoft Office: macros, OLE y complementosBlinda Microsoft 365 Apps: bloquea macros de Internet, desactiva XLM, analiza VBA con AMSI, mantén la Vista protegida, exige complementos firmados y frena OLE y DDE.
- 04Endurecer Microsoft Edge con directiva de grupo e IntuneEndurece Microsoft Edge por directiva: SmartScreen impuesto, extensiones permitidas por lista, modo de seguridad mejorada, límites de descarga y actualizaciones rápidas.
Área 04 · 4 guías
Microsoft Defender
Convertir el antivirus integrado en un sensor endurecido: protección en la nube, contra alteraciones y de red.
- 01Endurecer Microsoft Defender Antivirus más allá del estándarConfigura Microsoft Defender Antivirus para resistir, no solo para ser compatible: nube, bloqueo a primera vista, Tamper Protection, PUA y protección de red.
- 02Auditar y minimizar las exclusiones de Microsoft DefenderLocaliza cada exclusión de Microsoft Defender en GPO, Intune y configuración local, justifícala o elimínala, acota el resto, ocúltalas y supervisa los cambios.
- 03Acceso controlado a carpetas contra el ransomwareDespliega el acceso controlado a carpetas de Defender: modo auditoría, eventos 1123 y 1124, aplicaciones permitidas, carpetas protegidas y bloqueo por anillos.
- 04EDR en modo de bloqueo, modo pasivo y antivirus de tercerosCómo se comporta Defender Antivirus junto a otro antivirus: modo activo, pasivo y EDR en modo de bloqueo, modo pasivo forzado en servidores y cómo verificarlo.
Área 05 · 4 guías
Control de aplicaciones
Decidir qué puede ejecutarse con App Control for Business (WDAC) y AppLocker.
- 01App Control for Business (WDAC) frente a AppLockerElige entre App Control for Business (antes WDAC) y AppLocker, parte de las directivas de ejemplo, audita, lee los eventos de Code Integrity y aplica sin romper nada.
- 02Instalador administrado, ISG y directivas complementariasHaz mantenible App Control for Business: confía en Intune o ConfigMgr como instalador administrado, usa ISG con cuidado y delega con directivas complementarias.
- 03Lista de bloqueo de controladores vulnerables: frenar BYOVDActiva y verifica la lista de bloqueo de controladores vulnerables de Microsoft en clientes y servidores, mantenla al día y detecta los ataques BYOVD.
- 04AppLocker paso a paso: scripts, instaladores y appsDespliega AppLocker con seguridad: servicio Application Identity, modo auditoría, reglas de editor para EXE, scripts, MSI y apps empaquetadas, y carpetas con escritura.
Área 06 · 4 guías
Protocolos heredados
Retirar SMBv1, NTLMv1, LLMNR y NBT-NS; exigir la firma SMB y LDAP.
- 01Retirar LLMNR, NBT-NS, SMBv1 y NTLMv1; exigir la firmaMide y desactiva los protocolos de Windows detrás de la captura de hashes y la retransmisión: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, y exige la firma SMB y LDAP.
- 02Endurecimiento de TLS y Schannel en WindowsDeshabilita SSL, TLS 1.0/1.1 y los cifrados débiles en Schannel, fija el orden de los conjuntos de cifrado por GPO y haz que .NET use criptografía fuerte.
- 03Endurecer el Escritorio remoto (RDP) en WindowsProtege el Escritorio remoto con NLA, la capa de seguridad TLS, certificados de PKI, usuarios restringidos, firewall acotado, límites de sesión y los registros adecuados.
- 04Endurecer la cola de impresión y Point and PrintCierra los riesgos tipo PrintNightmare: deshabilita la cola de impresión donde sobre, limita los controladores a administradores y usa Package Point and Print.
Área 07 · 4 guías
Firewall de Windows
Entrada denegada por defecto, puertos de administración limitados a redes de gestión, sin SMB entre puestos.
- 01Firewall de Windows contra el movimiento lateralUse Firewall de Windows Defender como control de movimiento lateral: perfiles por GPO, reglas locales ignoradas, RDP/WinRM/SMB limitados a subredes de gestión.
- 02Registro y supervisión del Firewall de WindowsConvierta el Firewall de Windows en fuente de detección: pfirewall.log, eventos WFP 5156/5157 y de cambio de reglas 4946-4950, reenviados de forma centralizada.
- 03Firewall de Windows a escala con GPO e IntuneGestione el Firewall de Windows en todo el parque: cómo se combinan las reglas de GPO e Intune, por qué prevalece el bloqueo y cómo revisar el almacén activo.
- 04Aislamiento de dominio y de servidor con IPsecUse reglas de seguridad de conexión IPsec para que solo equipos del dominio autenticados lleguen a sus servidores: aislamiento, criptografía y despliegue seguro.
Área 08 · 4 guías
BitLocker y seguridad del arranque
Cifrar cada volumen, custodiar las claves de recuperación y proteger la cadena de arranque con TPM y Secure Boot.
- 01BitLocker endurecido: XTS-AES 256, TPM+PIN y custodiaConfigure BitLocker frente a amenazas reales: cifrado, solo TPM frente a TPM+PIN, custodia de claves en AD o Entra ID, Secure Boot, protección DMA y verificación.
- 02Claves de recuperación de BitLocker: custodia y rotaciónGestione bien las claves de recuperación de BitLocker: custodia en AD DS o Entra ID, cobertura demostrada, lectura restringida, auditoría de accesos y rotación.
- 03Secure Boot, UEFI y las mitigaciones de BlackLotusEndurezca la cadena de arranque de Windows: verifique Secure Boot, aplique las revocaciones de BlackLotus (CVE-2023-24932), adopte los certificados 2023 y bloquee UEFI.
- 04VBS, integridad de memoria (HVCI) y Kernel DMA ProtectionHabilite la seguridad basada en virtualización, la integridad de memoria (HVCI) y Kernel DMA Protection: requisitos, GPO e Intune, controladores y verificación.
Área 09 · 4 guías
Seguridad de PowerShell
Registrar lo que ejecuta PowerShell, eliminar la v2 y restringir el lenguaje donde no hace falta.
- 01Seguridad de PowerShell: registro, v2, CLM y JEAPowerShell transparente y acotado: registro de bloques de script, módulos y transcripción, eliminación de la v2, CLM impuesto por App Control y JEA.
- 02Just Enough Administration (JEA) paso a pasoCree puntos de conexión JEA con los comandos justos para cada operador: funcionalidades de rol, configuraciones de sesión, cuentas virtuales, gMSA y auditoría.
- 03Detectar PowerShell malicioso con el registro de scriptsConvierta los registros de PowerShell en detecciones: reconstruya bloques 4104, use AMSI y eventos del motor, detecte ofuscación y PowerShell no administrado.
- 04Endurecer WinRM y la comunicación remota de PowerShellBlinde WinRM: inventaríe los agentes de escucha, imponga Kerberos, bloquee Basic, Digest y CredSSP, añada HTTPS, deje TrustedHosts vacío y acote el firewall.
Área 10 · 4 guías
Auditoría y registro
Directiva de auditoría avanzada, captura de línea de comandos, Sysmon y reenvío de registros que sobreviven a un incidente.
- 01Directiva de auditoría de Windows y Sysmon: línea baseConfigura la auditoría avanzada, la captura de línea de comandos, el tamaño de los registros, Sysmon y WEF para saber quién, qué, dónde y cuándo.
- 02Desplegar y ajustar Sysmon a escalaElige una configuración de Sysmon, reduce el ruido sin crear puntos ciegos, despliega actualizaciones con seguridad en miles de equipos y supervisa el propio Sysmon.
- 03Windows Event Forwarding a escalaWindows Event Forwarding que aguanta: recopiladores, suscripciones iniciadas por el origen, consultas XPath, entrega, acceso al registro de seguridad y estado.
- 04Los ID de eventos de seguridad de Windows que importanReferencia práctica de los ID de eventos de Windows que conviene recopilar y alertar: inicios de sesión, errores, Kerberos, cuentas, persistencia y manipulación.
Área 11 · 4 guías
Parches y actualizaciones
Despliegue por anillos con plazos obligatorios, más los controladores, el firmware y las apps fuera de Windows Update.
- 01Parches en Windows: anillos, plazos y KEV primeroUn proceso de parches de Windows que termina cada mes: anillos con plazos, WSUS frente a Update for Business, hotpatch, prioridad a KEV y huecos fuera de Windows.
- 02Windows Update: aplazamientos, plazos y reiniciosConfigura las directivas de cliente de Windows Update en GPO e Intune: aplazamientos, plazos de cumplimiento, períodos de gracia, reinicios y verificación.
- 03Parches de aplicaciones de terceros en Windows con wingetInventaría, prioriza y parchea apps de terceros en Windows: primero navegadores y runtimes, winget como SYSTEM, directiva de App Installer y retirar lo no parcheable.
- 04Hotpatch y Cluster-Aware Updating en Windows ServerParchea Windows Server con menos interrupciones: hotpatch en Server 2025 con Azure Arc o Azure Edition, meses de línea base, requisitos y Cluster-Aware Updating.
Área 12 · 4 guías
Líneas base de seguridad
Partir de las líneas base de Microsoft y CIS, medir la deriva y documentar cada desviación.
- 01Líneas base de Windows: Microsoft SCT, CIS y STIGCompara el Security Compliance Toolkit, CIS y los STIG de DISA, aplica uno con Policy Analyzer y LGPO, añade tus configuraciones y registra cada desviación.
- 02Policy Analyzer y LGPO: comparar y aplicar líneas baseUsa Policy Analyzer para comparar GPO, líneas base y directiva efectiva, y LGPO.exe para probar, aplicar y exportar la directiva local en equipos aislados y laboratorios.
- 03Líneas base de Intune, catálogo y conflictos con GPODespliega las líneas base de Intune sin conflictos: versiones, capas en el catálogo de configuración, solapamiento con Endpoint security, MDMWinsOverGP y comprobaciones.
- 04Deriva de configuración: OSConfig, DSC e informesDetecta y corrige la deriva de configuración en Windows: OSConfig en Server 2025, autocorrección con DSC, reprocesamiento de GPO, eventos de cambio e informes.