Líneas base de Windows: Microsoft SCT, CIS y STIG

El inventario de directivas de grupo de Windows contiene miles de configuraciones. Elegir cada una por tu cuenta es lento, propenso a errores y difícil de defender en una auditoría. Las líneas base de seguridad resuelven esto: conjuntos de configuraciones seleccionados y versionados, elaborados por personas que los han probado en miles de entornos. Tu trabajo consiste en elegir una, aplicarla sin romper nada y gestionar las excepciones.

Las tres líneas base principales

Las líneas base de Microsoft son deliberadamente austeras. CIS configura explícitamente más opciones, lo que ayuda a los auditores pero genera más ruido en las GPO. Los STIG son los más estrictos y presuponen un contexto gubernamental.

También puedes consultar guías nacionales como las recomendaciones de la ANSSI francesa para Active Directory y Windows, o el modelo de madurez Essential Eight australiano, que se corresponden con muchas de las mismas configuraciones.

Paso 1: consigue el Microsoft Security Compliance Toolkit

El Security Compliance Toolkit (SCT) del Centro de descargas de Microsoft contiene, para cada versión de producto:

• Paquetes de línea base: copias de seguridad de GPO (por ejemplo MSFT Windows 11 24H2 - Computer, MSFT Windows Server 2025 - Member Server, - Domain Controller), hojas de cálculo de documentación que enumeran cada configuración y su motivo, y scripts de instalación local.
• Policy Analyzer: compara conjuntos de GPO y la directiva local, y resalta conflictos y diferencias.
• LGPO.exe: importa, exporta y aplica la directiva de grupo local, para sistemas fuera de dominio y para pruebas.

Hay líneas base aparte para Microsoft 365 Apps y Microsoft Edge, que importan tanto como la del sistema operativo: la configuración de macros y complementos de Office está entre los controles más eficaces que puedes aplicar.

Paso 2: compara con lo que ya tienes

Antes de importar nada, mira a qué distancia están tus GPO actuales de la línea base. Haz una copia de seguridad de tus GPO existentes (Backup-GPO -All -Path C:\GPOBackup) y, en Policy Analyzer:

1. Add: añade tus copias de seguridad de GPO como un conjunto de reglas de directiva.
2. Add: añade las GPO de la línea base como otro conjunto.
3. View / Compare: la cuadrícula muestra cada configuración y su valor en cada conjunto, y resalta los conflictos (misma configuración, valores distintos).

Exporta la comparación a Excel. Es tu lista de brechas y suele contener sorpresas: GPO antiguas que debilitan el valor predeterminado (por ejemplo, que vuelven a habilitar los hashes LM o SMBv1), configuraciones en conflicto de distintos equipos y configuraciones que nadie sabe explicar.

También puedes comparar la directiva local efectiva de una máquina en funcionamiento con la línea base, lo que detecta la deriva causada por scripts, cambios locales o instaladores de software.

Paso 3: importa y vincula por anillos

Crea GPO nuevas a partir de las copias de seguridad de la línea base en lugar de fusionarlas con las existentes, para que la línea base siga siendo identificable y actualizable:

Import-GPO -BackupGpoName "MSFT Windows 11 24H2 - Computer" `
  -Path "C:\SCT\Windows 11 24H2 Security Baseline\GPOs" `
  -TargetName "BL - Win11 24H2 - Computer" -CreateIfNeeded

Después:

• Vincúlalas primero a una OU piloto, con hardware y usuarios representativos.
• Deja las GPO de la línea base sin modificar. Pon tus desviaciones en una GPO aparte, de mayor precedencia, con un nombre que describa lo que hace, por ejemplo BL-Exceptions - Win11 - Legacy scanner SMB.
• Vincúlalas a las OU de producción anillo a anillo, como con los anillos de actualización.

Para los dispositivos administrados con Intune, usa Endpoint security > Security baselines (Windows, Defender for Endpoint, Edge, Microsoft 365 Apps). Se aplica el mismo principio: mantén el perfil de línea base cerca del predeterminado y pon las excepciones en perfiles aparte.

Paso 4: prueba las configuraciones que suelen romper cosas

La mayoría de las configuraciones de una línea base no dan problemas. Las que con más frecuencia generan incidencias:

Las guías detalladas de este sitio cubren el paso de medición de cada una: protocolos heredados, Credential Guard, reglas ASR.

Paso 5: añade lo que las líneas base dejan en tus manos

Las líneas base son un suelo, no el edificio entero. Controles que normalmente tendrás que añadir encima:

• Windows LAPS y las restricciones de inicio de sesión de la administración por niveles (específicas de tu diseño de OU y grupos).
• Reglas ASR más allá de las pocas incluidas, y directivas de App Control.
• Reglas de firewall limitadas a tus redes de administración.
• Configuración de auditoría y Sysmon y reenvío de registros ajustados a tu SIEM.
• Configuración de LLMNR / NetBIOS / WPAD, según la versión de la línea base.

Paso 6: documenta las desviaciones y mide la deriva

Para cada configuración que no apliques, o que apliques de otra forma, registra: configuración, valor de la línea base, tu valor, motivo, riesgo, control compensatorio, responsable y fecha de revisión. Los auditores lo piden, y obliga a plantearse cada año la pregunta "¿seguimos necesitando esta excepción?".

Para medir el cumplimiento en los equipos:

• Policy Analyzer frente a la directiva local en una muestra de máquinas.
• CIS-CAT (Lite gratuito, Pro para miembros) para la puntuación frente al CIS Benchmark.
• Herramientas de código abierto como HardeningKitty, que audita una máquina frente a listas de hallazgos de CIS, Microsoft y otras e informa de cada desviación.
• OSConfig en Windows Server 2025: aplica y mantiene una línea base, con corrección de la deriva, desde PowerShell:

Install-Module -Name Microsoft.OSConfig -Scope AllUsers -Repository PSGallery -Force
Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer -Default
Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/MemberServer |
  Format-Table Name, @{n='Status';e={$_.Compliance.Status}}, @{n='Reason';e={$_.Compliance.Reason}}

Paso 7: mantente al día con las nuevas versiones

Microsoft publica una línea base nueva con cada versión de características de Windows (y con más frecuencia para Office y Edge), normalmente anunciada en el blog Microsoft Security Baselines con una lista de cambios. CIS publica nuevas versiones de sus benchmarks a su propio ritmo. Trata cada versión como un pequeño proyecto: compárala con la anterior en Policy Analyzer, lee qué cambió y por qué, haz un piloto y después despliega.

Lista de comprobación

• Línea base elegida (Microsoft, nivel 1 de CIS o STIG) para el sistema operativo, Office y Edge
• GPO actuales comparadas con Policy Analyzer; eliminadas las configuraciones que debilitan
• GPO de la línea base importadas sin modificar, excepciones en GPO aparte
• Despliegue anillo a anillo, midiendo primero las configuraciones que se sabe que rompen cosas
• Controles adicionales a la línea base (LAPS, niveles, ASR, App Control, firewall, registro) añadidos encima
• Registro de desviaciones con responsables y fechas de revisión
• Cumplimiento medido (Policy Analyzer, CIS-CAT, HardeningKitty, OSConfig)
• Nuevas versiones de la línea base revisadas en cuanto se publican

Una línea base convierte el endurecimiento de una colección de opiniones en una configuración versionada y revisable. El resto de este sitio explica los controles individuales que más importan y por qué merecen el trabajo que suponen las excepciones.