Lista de endurecimiento de Windows: plan de 30/60/90 días

Windows incluye cientos de configuraciones de seguridad, y cada línea base, benchmark e informe de auditoría añade más. Lo difícil del endurecimiento no es encontrar cosas que cambiar. Es decidir qué cambiar primero, sin romper el negocio, y demostrar que cada cambio se ha aplicado de verdad.

Esta lista ordena todas las guías de este sitio en una secuencia de 90 días. El orden sigue cómo se desarrollan las intrusiones reales: un atacante consigue ejecutar código en un puesto de trabajo, roba credenciales, se mueve lateralmente y después desactiva las herramientas de seguridad y se instala de forma persistente. Los primeros 30 días eliminan las aberturas más baratas de cerrar y más explotadas. Los días 31 a 60 rompen la cadena de robo de credenciales y movimiento lateral. Los días 61 a 90 añaden los controles estructurales, como el control de aplicaciones y la seguridad del arranque, que tardan más en desplegarse pero hacen mucho más difícil hacerse con todo el parque. A partir de ahí, el trabajo se convierte en un ciclo de parches, detección y medición.

Cada elemento es una tarea que puedes marcar, con un motivo breve y un enlace a la guía que explica cómo hacerlo.

Antes de empezar

No puedes priorizar lo que no has contado, ni demostrar progreso sin un punto de partida. Dedica los primeros días al inventario y la medición.

• Inventaría los dispositivos y sus funciones. Exporta una lista de todos los dispositivos Windows con versión del sistema operativo, compilación, edición, tipo de unión (dominio, híbrida, Entra) y herramienta de administración (directiva de grupo, Intune, Configuration Manager). Etiqueta aparte los controladores de dominio, los servidores expuestos a Internet, las estaciones de administración y los dispositivos de quiosco o compartidos.
• Inventaría las cuentas privilegiadas. Enumera los miembros de Domain Admins, Enterprise Admins, los grupos Administrators locales y cualquier cuenta usada por una herramienta de administración.
• Elige los grupos piloto. Para cada cambio de los que siguen, usa primero un anillo piloto pequeño de dispositivos de TI, después un anillo más amplio de primeros usuarios y, por último, todos los demás.

Después, mide dónde estás:

• Mide tu configuración actual frente a una línea base reconocida: sin una lista de brechas discutirás opiniones en lugar de evidencias, Líneas base de seguridad: CIS y Microsoft
• Exporta las GPO existentes y compáralas con la línea base: revela configuraciones en conflicto y olvidadas antes de añadir otras nuevas, Policy Analyzer y LGPO
• Decide qué eventos de seguridad seguirás como indicadores de éxito: los inicios de sesión fallidos, el uso de NTLM y los servicios nuevos te dan cifras que presentar, Los id. de evento de seguridad de Windows que importan

Anota los resultados en una hoja de cálculo sencilla: configuración, estado actual, estado objetivo, responsable y fase. Repetirás la misma medición en los días 30, 60 y 90.

Días 0–30: cerrar lo fácil

El objetivo del primer mes es eliminar las aberturas que los atacantes explotan a gran escala y que cuesta poco cerrar. La mayoría de los elementos son cambios de una sola directiva con bajo riesgo de compatibilidad. Cuando un cambio tenga algún riesgo, empieza en modo de auditoría y pasa a la imposición antes del día 30.

Parches y exposición

• Asigna cada dispositivo a un anillo de actualización con aplazamientos y plazos: las vulnerabilidades sin parchear siguen siendo una de las principales vías de entrada, Parches de Windows y anillos de actualización
• Aplica parches a navegadores, lectores de PDF, entornos de ejecución y herramientas de acceso remoto: el software de terceros se explota tanto como el propio Windows, Parches de aplicaciones de terceros
• Activa el Firewall de Windows en todos los perfiles y bloquea el tráfico entrante de forma predeterminada: un firewall en el equipo detiene gusanos y limita el movimiento lateral, Endurecimiento del Firewall de Windows
• Exige Network Level Authentication para RDP y sácalo de Internet: RDP expuesto es uno de los puntos de entrada más habituales del ransomware, Endurecimiento de Escritorio remoto
• Desactiva la cola de impresión en los controladores de dominio y en los servidores que no imprimen: elimina errores de la clase PrintNightmare y vías de coerción, Endurecimiento de la cola de impresión y Point and Print

Administrador local y credenciales

• Despliega Windows LAPS en todos los puestos de trabajo y servidores miembro: una contraseña compartida del Administrator local convierte un compromiso en todos, Desplegar Windows LAPS
• Confirma que WDigest está desactivado y reduce los inicios de sesión en caché: evita contraseñas en texto claro en memoria y limita las credenciales de dominio en caché, Inicios de sesión en caché, WDigest y exposición de credenciales
• Desactiva LLMNR y NetBIOS sobre TCP/IP: estos mecanismos de resolución de nombres de reserva entregan hashes de contraseñas a cualquiera en la red, Desactivar LLMNR y NetBIOS, exigir la firma SMB y restringir NTLM

Defender y ataques por correo electrónico

• Activa la protección en tiempo real, la protección en la nube y la supervisión de comportamiento, junto con la protección contra alteraciones: Defender solo sirve si no se puede desactivar, Endurecimiento del Antivirus de Microsoft Defender
• Revisa todas las exclusiones de Defender y ocúltalas a los administradores locales: las exclusiones amplias son donde los atacantes dejan sus herramientas, Auditar y reducir al mínimo las exclusiones de Defender
• Habilita las reglas de reducción de la superficie de ataque en auditoría y pon en bloqueo las de protección estándar: frenan el abuso de Office, de scripts y de LSASS con pocas roturas, Reglas de reducción de la superficie de ataque
• Bloquea las macros de los archivos procedentes de Internet y desactiva las macros XLM: los documentos maliciosos siguen siendo uno de los principales vectores de acceso inicial, Endurecer Microsoft Office
• Impón SmartScreen e impide su omisión en Microsoft Edge: bloquea el phishing y las descargas de malware conocidos antes de que se ejecuten, Endurecer Microsoft Edge por directiva

Visibilidad y datos en reposo

• Aplica una directiva de auditoría avanzada e instala Sysmon con una configuración inicial: no puedes investigar lo que no registraste, Directiva de auditoría y línea base de Sysmon
• Activa el registro de bloques de script y de módulos de PowerShell: PowerShell interviene en la mayoría de las intrusiones con operador humano, Registro de PowerShell y Constrained Language Mode
• Cifra todos los portátiles con BitLocker y usa un PIN previo al arranque en los dispositivos de alto riesgo: protege los datos y las credenciales de los dispositivos perdidos, BitLocker con TPM y PIN
• Custodia las claves de recuperación de BitLocker y audita quién las lee: un dispositivo irrecuperable es una interrupción, y las claves de recuperación también son un secreto, Custodia y auditoría de las claves de recuperación de BitLocker

En el día 30, repite la comparación con la línea base y comprueba que las cifras de cumplimiento de LAPS, Defender, ASR y BitLocker se acercan al 100 % en los dispositivos incluidos.

Días 31–60: cerrar las rutas de credenciales y de movimiento lateral

Con las puertas evidentes cerradas, el segundo mes se centra en lo que hacen los atacantes tras el primer punto de apoyo: robar credenciales, reutilizarlas y pasar a máquinas más valiosas. Estos cambios requieren más pruebas porque afectan a la forma de trabajar de los administradores.

Proteger las credenciales en el equipo

• Habilita Credential Guard y la protección LSA: aíslan los hashes NTLM y los secretos de Kerberos de las herramientas de volcado de LSASS, Credential Guard y protección LSA
• Usa Remote Credential Guard o Restricted Admin para el RDP de administración: evita dejar credenciales de administración en los servidores a los que te conectas, RDP sin exponer credenciales
• Despliega Windows Hello for Business, empezando por el personal de TI: un inicio de sesión resistente al phishing elimina la contraseña reutilizable, Windows Hello for Business

Reducir los privilegios

• Separa los niveles de administración y añade los usuarios privilegiados a Protected Users: mantiene las credenciales de administrador de dominio fuera de los puestos de trabajo, Modelo por niveles y Protected Users
• Quita los derechos de administrador local a los usuarios estándar, con un proceso de emergencia: la mayoría del malware y muchos exploits necesitan derechos de administrador para causar daño real, Quitar los derechos de administrador local a los usuarios
• Mantén UAC en sus valores seguros y bloquea el uso remoto de los tokens de administrador local: impide la elevación silenciosa y el pass-the-hash con cuentas locales, Endurecimiento de UAC y Administrator protection

Endurecer los protocolos con los que se mueven los atacantes

• Exige la firma SMB y empieza a restringir NTLM, comenzando por NTLMv1: rompe el NTLM relay, una de las vías más rápidas hacia administrador de dominio, Desactivar LLMNR y NetBIOS, exigir la firma SMB y restringir NTLM
• Configura WinRM solo para Kerberos y HTTPS, y limita quién puede conectarse: la administración remota abierta es movimiento lateral, Endurecimiento de WinRM
• Desactiva TLS 1.0 y 1.1, SSL y los cifrados débiles: los protocolos antiguos debilitan todos los servicios que los negocian, Endurecimiento de TLS y Schannel
• Administra las reglas de firewall de forma centralizada y desactiva la combinación de reglas locales: impide que usuarios y malware añadan sus propias excepciones de entrada, Administrar el Firewall de Windows a escala

Centralizar las evidencias

• Ajusta la configuración de Sysmon para reducir el ruido: el volumen en bruto oculta los pocos eventos que importan, Desplegar y ajustar Sysmon
• Reenvía los registros de seguridad, de PowerShell y de Sysmon a un recopilador: los registros locales desaparecen cuando los atacantes los borran, Windows Event Forwarding a escala
• Habilita el registro del firewall y reenvía los eventos de conexiones bloqueadas: muestra los escaneos y los intentos de movimiento lateral, Registro y supervisión del Firewall de Windows
• Crea detecciones de PowerShell sospechoso a partir de los registros de bloques de script: detectan pronto los comandos codificados y las omisiones de AMSI, Detectar PowerShell malicioso

En el día 60, mide el uso de NTLM, la pertenencia a los grupos de administradores locales y el número de inicios de sesión de administración en los puestos de trabajo. Estas cifras deberían estar bajando.

Días 61–90: endurecimiento estructural

El tercer mes introduce controles que cambian lo que puede ejecutarse y en qué se puede confiar en un dispositivo. Son los que ofrecen la protección más fuerte, pero necesitan periodos de auditoría cuidadosos, así que empiézalos ya aunque la imposición termine más tarde.

Controlar lo que se ejecuta

• Diseña una estrategia de control de aplicaciones y pon App Control en modo de auditoría: la lista de permitidos detiene el malware desconocido sin depender de firmas, App Control for Business y AppLocker
• Usa un instalador administrado y directivas complementarias para que App Control sea mantenible: reduce la rotación de reglas que hace fracasar las listas de permitidos, Instalador administrado de App Control e Intelligent Security Graph
• Donde App Control no sea viable, despliega AppLocker para scripts e instaladores: bloquea las rutas escribibles por el usuario, un punto de lanzamiento habitual del malware, Despliegue de AppLocker
• Confirma que la lista de bloqueo de controladores vulnerables está impuesta: impide que los atacantes carguen controladores firmados pero explotables para neutralizar las herramientas de seguridad, Lista de bloqueo de controladores vulnerables de Microsoft
• Aplica mitigaciones de exploit protection a las aplicaciones de alto riesgo: dificultan la explotación de errores de corrupción de memoria, Exploit protection

Proteger la plataforma

• Habilita la seguridad basada en virtualización y la integridad de memoria, y comprueba la protección DMA de kernel: protegen el kernel frente al código sin firmar y los ataques DMA, Seguridad basada en virtualización, HVCI y protección DMA de kernel
• Verifica Secure Boot, aplica las mitigaciones de BlackLotus y planifica la actualización de certificados: los bootkits se ejecutan antes que cualquier otra protección, Endurecimiento de Secure Boot y UEFI
• Activa el acceso controlado a carpetas en auditoría y después en bloqueo: limita el daño del ransomware a los datos de usuario, Acceso controlado a carpetas contra el ransomware
• Configura EDR en modo de bloqueo y revisa los dispositivos que ejecutan Defender en modo pasivo: atrapa lo que otro antivirus deja pasar, EDR en modo de bloqueo y modo pasivo

Acotar la administración

• Sustituye el acceso de administración rutinario por puntos de conexión de Just Enough Administration: los usuarios ejecutan tareas concretas sin tener derechos de administrador, Just Enough Administration paso a paso
• Exige autenticación IPsec para acceder a los servidores sensibles: solo los miembros del dominio, y solo los adecuados, pueden conectarse, Aislamiento de dominio y de servidores con IPsec
• Pasa los dispositivos administrados desde la nube a las líneas base de seguridad de Intune y resuelve los conflictos con las GPO: una única fuente de verdad clara por configuración, Líneas base de seguridad de Intune y catálogo de configuración

En el día 90, repite la comparación completa con la línea base y contrástala con tu medición inicial. La diferencia, presentada por área, es el informe para la dirección.

De forma continua: parchear, detectar, volver a medir

El endurecimiento se degrada. Llegan dispositivos nuevos con los valores predeterminados, las excepciones se acumulan y la configuración deriva tras cada resolución de incidencias. Integra estas tareas en la operación habitual:

• Revisa cada trimestre las directivas de actualización, los plazos y el comportamiento de reinicio: el cumplimiento se resiente cuando los plazos son laxos, Directivas de Windows Update for Business
• Usa hotpatch y la actualización compatible con clústeres para los servidores que no pueden reiniciarse a menudo: permite que los servidores críticos se actualicen a tiempo, Hotpatch y parches de Windows Server
• Detecta y corrige automáticamente la deriva de configuración: las configuraciones que no se imponen no se mantienen, Detectar y corregir la deriva de configuración
• Repite la comparación con la línea base tras cada versión principal de Windows: las versiones nuevas añaden configuraciones y cambian valores predeterminados, Líneas base de seguridad: CIS y Microsoft
• Revisa cada mes la tendencia de los eventos de seguridad clave: el aumento del uso de NTLM o de los inicios de sesión fallidos muestra dónde fallan los controles, Los id. de evento de seguridad de Windows que importan

Revisa las exclusiones (Defender, ASR, App Control, firewall) con la misma periodicidad. Cada excepción debe tener un responsable y una fecha de caducidad.

Cómo usar esta lista

Trata las fases como un orden de prioridad, no como un calendario estricto. Si ya tienes LAPS y BitLocker en todas partes, avanza; si administras un parque más antiguo, la primera fase puede llevar más tiempo. Lo importante es que los controles baratos y de alto impacto vayan antes que los caros, y que la protección de credenciales vaya antes que el trabajo estructural complejo.

Para cada elemento, sigue el mismo patrón: lee la guía enlazada, prueba en un grupo piloto, habilita el modo de auditoría donde exista, revisa los resultados y después impón y verifica. Anota la verificación, como un id. de evento, un informe de cumplimiento o una consulta de PowerShell, junto al elemento para poder volver a comprobarlo más adelante.

Por último, comparte la medición con quienes aprueban el trabajo. Una tabla con la puntuación frente a la línea base y las cifras clave en los días 0, 30, 60 y 90 convence más que cualquier lista de configuraciones.

Lecturas relacionadas: Cuentas y acceso privilegiado, Protección de credenciales, Reducción de la superficie de ataque, Microsoft Defender, Control de aplicaciones, Protocolos heredados, Firewall de Windows, BitLocker y seguridad del arranque, Seguridad de PowerShell, Auditoría y registro, Parches y actualizaciones y Líneas base de seguridad.