Endurecimiento de UAC y Administrator protection en Windows

El Control de cuentas de usuario (UAC) divide el inicio de sesión de un administrador en dos tokens: un token filtrado de usuario estándar, que se usa para todo de forma predeterminada, y un token completo de administrador que solo se usa tras un aviso de elevación. Bien configurado, el malware que se ejecuta en la sesión de un administrador arranca igualmente sin derechos de administrador y tiene que engañar al usuario para que apruebe un aviso o recurrir a una omisión.

UAC también está mal configurado más a menudo de lo que se piensa. Los scripts de creación de imágenes desactivan los avisos, los proveedores piden LocalAccountTokenFilterPolicy = 1 y la cuenta Administrator integrada se ejecuta discretamente con un token completo en todas partes. Esta guía cubre la configuración que importa, lo que establece la línea base de seguridad de Microsoft y el modelo más reciente de Administrator protection en Windows 11. Da por hecho que ya estás trabajando en quitar los derechos de administrador local a los usuarios del día a día; UAC es la segunda línea para quienes los conservan.

Cómo encajan las piezas

Toda la configuración clásica está en Computer Configuration > Policies > Windows Settings > Security Settings > Local Policies > Security Options, con nombres que empiezan por User Account Control:. Escribe en HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System.

Paso 1: comprobar el estado actual

Lee el registro directamente, porque los resultados de GPO no te dicen lo que un script de imagen o el instalador de un proveedor haya establecido localmente:

Get-ItemProperty "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" |
  Select-Object EnableLUA, ConsentPromptBehaviorAdmin, ConsentPromptBehaviorUser,
                PromptOnSecureDesktop, FilterAdministratorToken, EnableInstallerDetection,
                EnableSecureUIAPaths, EnableVirtualization, LocalAccountTokenFilterPolicy

EnableLUA = 0 significa que UAC está completamente desactivado: todos los administradores se ejecutan con un token completo y las aplicaciones modernas pueden dejar de funcionar. Trátalo como un hallazgo de nivel de incidente en cualquier cliente o servidor.

Paso 2: establecer las directivas básicas de UAC

Estos son los valores de la línea base de seguridad de Microsoft para Windows 11 y Windows Server, con notas donde quizá quieras ir más allá:

Algunas notas sobre estas elecciones:

• El valor predeterminado de Windows para los administradores es Prompt for consent for non-Windows binaries (5), que eleva automáticamente y en silencio muchos binarios firmados de Windows. Esa lista de elevación automática es exactamente de la que abusan la mayoría de las técnicas de omisión de UAC. Con 2, cada elevación muestra un aviso.
• Automatically deny para los usuarios estándar elimina el aviso de credenciales que el personal de soporte usa para escribir una contraseña de administrador en el dispositivo de un usuario. Si tu proceso de soporte depende de ello, usa Prompt for credentials on the secure desktop (1) y asegúrate de que la credencial que escriben sea una contraseña LAPS, no una cuenta de administrador de dominio.
• Cambiar EnableLUA requiere reiniciar. La configuración del comportamiento del aviso surte efecto de inmediato.

En Intune, la misma configuración aparece en el catálogo de configuración en Local Policies Security Options (el CSP de directiva LocalPoliciesSecurityOptions), con nombres como User Account Control Behavior Of The Elevation Prompt For Administrators.

Paso 3: filtrar la cuenta Administrator integrada

De forma predeterminada, la cuenta Administrator integrada (RID 500) está exenta de Admin Approval Mode: siempre se ejecuta con un token completo y también está exenta del filtrado de UAC remoto. Eso la convierte en la cuenta local más valiosa para un atacante que tenga su hash.

Habilitar Admin Approval Mode for the Built-in Administrator account (FilterAdministratorToken = 1) la somete a UAC como a cualquier otro administrador, y también al UAC remoto, de modo que su hash ya no puede usarse a través de la red para obtener acceso administrativo completo. Combínalo con LAPS para que la cuenta tenga una contraseña única, y mantenla deshabilitada o reservada para el acceso de emergencia.

Paso 4: mantener el UAC remoto activo para las cuentas locales

Cuando una cuenta local del grupo Administrators se autentica por red (SMB, WMI, WinRM), el UAC remoto le asigna un token filtrado. Ese único comportamiento frena gran parte del movimiento lateral por pass-the-hash con cuentas locales.

El control es LocalAccountTokenFilterPolicy, bajo la misma clave del registro:

• Ausente o 0: token filtrado para las cuentas locales a través de la red (seguro).
• 1: token completo, UAC remoto desactivado.

La línea base de seguridad de Microsoft lo impone mediante Apply UAC restrictions to local accounts on network logons, que se encuentra en Computer Configuration > Policies > Administrative Templates > MS Security Guide una vez importada la plantilla SecGuide.admx del Security Compliance Toolkit. Establécelo en Enabled.

El UAC remoto no se aplica a las cuentas de dominio del grupo Administrators local, que reciben un token completo a través de la red. Por eso siguen siendo importantes las restricciones de inicio de sesión de red del modelo por niveles de administración. Deniega también el inicio de sesión de red al SID Local account and member of Administrators group (S-1-5-114), como se describe en la guía de LAPS, lo que bloquea a los administradores locales en red sea cual sea este valor.

Paso 5: evaluar Administrator protection

Administrator protection es un modelo más reciente para Windows 11, disponible de forma general en 24H2 y 25H2 con la actualización de agosto de 2026 KB5120998 y desactivado de forma predeterminada. En lugar de mantener un token filtrado y uno completo para el mismo usuario en la misma sesión, Windows crea para cada administrador una cuenta oculta, administrada por el sistema y con perfil separado, y emite el token elevado desde esa cuenta, justo a tiempo, después de que el usuario se autentique con Windows Hello. El proceso elevado obtiene su propio perfil y su propio subárbol del registro, y el token se descarta cuando el proceso termina. Muchas omisiones clásicas de UAC se basan en que el token filtrado y el elevado comparten perfil, entorno y lista de elevación automática, y esas suposiciones dejan de cumplirse.

Donde la directiva está disponible, se configura en Security Options con User Account Control: Configure type of Admin Approval Mode, establecido en Admin Approval Mode with Administrator protection, y User Account Control: Behavior of the elevation prompt for administrators running with Administrator protection. En Intune, usa las configuraciones UserAccountControl_TypeOfAdminApprovalMode y UserAccountControl_BehaviorOfTheElevationPromptForAdministratorProtection del CSP LocalPoliciesSecurityOptions. El cambio requiere reiniciar.

Antes de planificar un despliegue:

• Es compatible con Windows 11 Home, Pro, Enterprise y Education, pero no con Windows Server, los Cloud PC de Windows 365 ni los hosts de sesión de Azure Virtual Desktop, y Microsoft desaconseja usarlo en dispositivos que requieren Hyper-V.
• Prueba con cuidado la compatibilidad de las aplicaciones. Los instaladores y herramientas que esperan que el proceso elevado escriba en el mismo perfil de usuario, las mismas unidades asignadas o el mismo registro por usuario que el usuario sin elevar pueden comportarse de otra manera.
• También cambia los inicios de sesión remotos: de forma predeterminada, mientras está activado, los usuarios de dominio del grupo Administrators local reciben un token sin elevar a través de la red. Dos directivas (Allow remote logon with elevated privileges for domain users... y ...for specified domain users and groups...) restablecen los inicios de sesión remotos elevados, así que prueba tus herramientas de administración remota. El modelo por niveles, el UAC remoto y LAPS siguen siendo necesarios.

Un buen enfoque es activarlo primero en los dispositivos del personal de TI, donde los administradores elevan con frecuencia y pueden informar de fallos, y extenderlo después a los usuarios que todavía conserven derechos de administrador local.

Qué se rompe

• Instaladores y actualizadores heredados que dan por hecho que se ejecutan elevados. Con la detección de instaladores activada, muestran un aviso; con los usuarios estándar en denegación automática, fallan. Despliégalos desde tu herramienta de administración en contexto de sistema.
• Herramientas de administración remota que se conectan como cuenta local por SMB o WMI. El UAC remoto las bloquea. Usa una cuenta de dominio del nivel adecuado o una herramienta basada en agente.
• Herramientas de accesibilidad y de asistencia remota que usan UIAccess y residen fuera de Program Files. La configuración de rutas seguras de UIAccess las bloquea hasta que se instalen en una ubicación segura.
• Scripts que usan la cuenta Administrator integrada esperando un token completo. Con FilterAdministratorToken activado, deben ejecutarse elevados de forma explícita.

Verificarlo

1. Estado del registro. Vuelve a ejecutar la consulta del paso 1 en una muestra de dispositivos y recógela en todo el parque con un script de cumplimiento. Marca cualquier EnableLUA = 0 o LocalAccountTokenFilterPolicy = 1.
2. Tipo de token. Habilita Audit Process Creation y revisa el evento de seguridad 4688. El campo Token Elevation Type muestra %%1936 (token completo, UAC desactivado o exención de RID 500), %%1937 (elevado) o %%1938 (limitado). Un flujo constante de %%1936 desde sesiones interactivas de cuentas de administrador significa que UAC no está haciendo su trabajo (los usuarios estándar no tienen token dividido, así que sus procesos también suelen mostrar %%1936).
3. Prueba de UAC remoto. Desde otra máquina, intenta acceder a \\target\C$ con una cuenta de administrador local. Debe rechazarse.
4. Supervisión de manipulaciones. Genera alertas ante cambios en EnableLUA, ConsentPromptBehaviorAdmin y LocalAccountTokenFilterPolicy (evento 13 de Sysmon, o tu EDR). El malware los modifica para facilitar la siguiente fase.

Lista de comprobación

• EnableLUA vale 1 en todas partes, sin excepciones
• Aviso de administrador configurado en consentimiento o credenciales en el escritorio seguro, no en la opción predeterminada de elevación automática
• Aviso de usuario estándar en denegación automática, o credenciales solo con LAPS
• FilterAdministratorToken habilitado para la cuenta Administrator integrada
• LocalAccountTokenFilterPolicy ausente o a 0, impuesto mediante la plantilla MS Security Guide
• Administrator protection en piloto en los dispositivos de TI donde sea compatible
• Tipo de elevación del evento 4688 y cambios del registro de UAC supervisados

UAC es la última línea en un dispositivo donde alguien sigue teniendo derechos de administrador. Funciona mejor como parte de la serie completa Cuentas y acceso privilegiado y junto a Credential Guard y la protección LSA, que protegen las credenciales que un atacante con elevación buscaría a continuación.