Retirar LLMNR, NBT-NS, SMBv1 y NTLMv1; exigir la firma

Windows conserva una larga cola de protocolos por compatibilidad con versiones anteriores. Varios de ellos entregan a un atacante en la red local exactamente lo que necesita:

• LLMNR, NBT-NS y mDNS responden a búsquedas de nombres por difusión. Cualquiera en el segmento puede responder «soy yo» y recibir un intento de autenticación con el hash NetNTLM del usuario.
• SMB y LDAP sin firmar permiten retransmitir en tiempo real esa autenticación capturada a otro servidor, lo que a menudo da acceso de administrador sin descifrar nada.
• Las respuestas LM y NTLMv1 se pueden descifrar o degradar rápidamente.
• SMBv1 no tiene mantenimiento y fue el vector de WannaCry y NotPetya.

Cada sección siguiente muestra cómo medir primero y después deshabilitar o exigir.

LLMNR

Link-Local Multicast Name Resolution se usa cuando DNS no consigue resolver un nombre.

• GPO: Computer Configuration > Administrative Templates > Network > DNS Client > Turn off multicast name resolution = Enabled.
• Registro: HKLM\SOFTWARE\Policies\Microsoft\Windows NT\DNSClient EnableMulticast = 0 (DWORD).

Prácticamente no existe ningún uso legítimo de LLMNR en un dominio. Despliégalo en todas partes a la vez.

Servicio de nombres NetBIOS (NBT-NS)

NBT-NS se configura por adaptador de red, lo que lo hace incómodo de administrar:

• DHCP: establece la opción de proveedor de Microsoft 001 Microsoft Disable Netbios Option en 0x2 en tus ámbitos DHCP. Los clientes que usan DHCP la aplican al renovar la concesión.
• Adaptadores estáticos / servidores: establece NetbiosOptions = 2 en cada clave de interfaz de HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces\Tcpip_{GUID}. Lo habitual es un script de inicio:

Get-ChildItem "HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces" |
  ForEach-Object { Set-ItemProperty -Path $_.PSPath -Name NetbiosOptions -Value 2 }

Comprueba que nada siga dependiendo de nombres NetBIOS: aplicaciones muy antiguas, algunas impresoras y escáneres, y configuraciones basadas en WINS. Si todavía tienes servidores WINS, retirarlos forma parte de este proyecto.

mDNS y WPAD

• mDNS: las versiones actuales de Windows también responden a DNS multidifusión. Bloquear el tráfico UDP 5353 entrante con el firewall del equipo en las redes administradas es el control más fiable; muchas líneas base también establecen EnableMDNS = 0 en HKLM\SYSTEM\CurrentControlSet\Services\Dnscache\Parameters.
• WPAD (Web Proxy Auto-Discovery) permite a un cliente buscar una configuración de proxy por nombre, y un atacante puede responder a esa búsqueda. Si no usas WPAD, deshabilita la detección automática de proxy por directiva y asegúrate de que wpad está en la lista de bloqueo de consultas global del servidor DNS (lo está por defecto en los servidores DNS de Windows; comprueba que nadie lo haya quitado con dnscmd /info /globalqueryblocklist). Si usas WPAD, publica un registro DNS wpad autoritativo para que nadie más pueda reclamarlo.

SMBv1

SMBv1 no se instala por defecto desde Windows 10 1709 y Windows Server 2019, pero las actualizaciones y las imágenes antiguas lo arrastran.

Averigua quién lo sigue usando auditando primero los servidores de archivos:

Set-SmbServerConfiguration -AuditSmb1Access $true -Force
# después lee Microsoft-Windows-SMBServer/Audit, evento 3000 (un cliente se conectó con SMBv1)

Después elimínalo:

Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart   # clientes
Remove-WindowsFeature FS-SMB1                                                 # servidores
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol                 # verificar: False

Los rezagados típicos son las impresoras multifunción que escanean a un recurso compartido, los NAS antiguos y los sistemas industriales. Actualiza su firmware o aíslalos; no mantengas SMBv1 en todo tu parque por un escáner.

Firma SMB

La firma impide la retransmisión y la manipulación de SMB. Establécela como obligatoria en ambos extremos:

Rutas: Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options. Equivalentes en PowerShell:

Set-SmbClientConfiguration -RequireSecuritySignature $true -Force
Set-SmbServerConfiguration -RequireSecuritySignature $true -Force

Los controladores de dominio exigen la firma en el lado servidor desde hace mucho. Windows 11 24H2 (Enterprise, Pro y Education) exige ya la firma por defecto tanto saliente como entrante, y Windows Server 2025 la exige en saliente, así que los equipos más nuevos ya rechazarán los NAS de terceros que no firman; además, la firma obligatoria bloquea el acceso de invitado a los recursos compartidos. Planifícalo en lugar de llevarte la sorpresa. Para los recursos compartidos sensibles, el cifrado de SMB 3 (Set-SmbShare -Name Finance -EncryptData $true) va más allá.

Firma LDAP y enlace de canal

Los enlaces LDAP sin firmar y LDAPS sin enlace de canal (channel binding) permiten la retransmisión NTLM hacia los controladores de dominio, uno de los destinos de retransmisión más dañinos.

1. Audita primero. En cada DC, activa el registro de diagnóstico de los eventos de la interfaz LDAP: HKLM\SYSTEM\CurrentControlSet\Services\NTDS\Diagnostics 16 LDAP Interface Events = 2. Después busca los eventos 2889 (el cliente realizó un enlace sin firmar o un enlace simple en texto claro) en el registro Directory Service. El evento 2887 ofrece un recuento resumido diario.
2. Exige la firma: Domain controller: LDAP server signing requirements = Require signing (en la Default Domain Controllers Policy) y Network security: LDAP client signing requirements = Negotiate signing o superior en los miembros.
3. Enlace de canal para LDAPS: Domain controller: LDAP server channel binding token requirements = When supported, y después Always cuando los eventos de auditoría (3039, 3040, 3041) no muestren clientes incompatibles.

NTLM: rechazar las versiones antiguas y reducir el resto

Rechazar LM y NTLMv1

Network security: LAN Manager authentication level (nivel de autenticación de LAN Manager) = Send NTLMv2 response only. Refuse LM & NTLM (Registro HKLM\SYSTEM\CurrentControlSet\Control\Lsa LmCompatibilityLevel = 5). Aplícalo a todos los equipos, incluidos los DC. Establece también Network security: Do not store LAN Manager hash value on next password change = Enabled.

Antes de activarlo en los DC, localiza a los usuarios de NTLMv1: el evento de seguridad 4624 incluye Package Name (NTLM only); filtra por NTLM V1:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 20000 |
  Where-Object { $_.Message -match 'NTLM V1' } |
  Select-Object TimeCreated, @{n='Detail';e={($_.Message -split "`n" | Select-String 'Workstation Name|Account Name|Source Network Address') -join '; '}}

Auditar y restringir NTLMv2

• Network security: Restrict NTLM: Audit NTLM authentication in this domain = Enable all (en los DC).
• Network security: Restrict NTLM: Audit Incoming NTLM Traffic = Enable auditing for all accounts (en los servidores).
• Lee Applications and Services Logs > Microsoft > Windows > NTLM > Operational (eventos 8001-8004) para ver qué clientes y servidores siguen usando NTLM y por qué (normalmente, conexión por dirección IP, SPN que faltan o dispositivos fuera del dominio).

Después redúcelo: corrige los SPN y los nombres DNS para que funcione Kerberos, añade los usuarios privilegiados a Protected Users (sin NTLM en absoluto) y usa Restrict NTLM: Incoming NTLM traffic = Deny all accounts en los servidores que no tengan clientes NTLM legítimos. Añade Extended Protection for Authentication en IIS, la inscripción web de AD CS y Exchange, que vincula NTLM al canal TLS y frustra la retransmisión hacia esos servicios.

Orden de las operaciones

Lista de comprobación

• LLMNR desactivado por GPO; NBT-NS desactivado mediante DHCP y en los adaptadores estáticos
• mDNS bloqueado, WPAD deshabilitado o publicado de forma autoritativa
• SMBv1 eliminado; la auditoría no mostró clientes restantes
• Firma SMB obligatoria en clientes y servidores
• Firma LDAP obligatoria, enlace de canal en Always
• LmCompatibilityLevel 5 en todas partes, hashes LM no almacenados
• NTLM auditado; Protected Users y EPA reducen la superficie de ataque restante

Estos cambios cierran los ataques que convierten «alguien se ha conectado a la red» en «alguien controla el dominio». Combínalos con reglas de firewall del equipo que impidan por completo que los puestos de trabajo hablen SMB entre sí.