Glosario

Definiciones claras de las funciones de seguridad de Windows y las técnicas de ataque que aparecen en las guías.

A

Acceso controlado a carpetas: Característica del Antivirus de Microsoft Defender que impide a las aplicaciones no confiables modificar archivos en carpetas protegidas y limita el daño del ransomware.
AMSI (Antimalware Scan Interface): Interfaz de Windows que permite a los motores de scripts y a las aplicaciones enviar contenido al antimalware instalado para analizarlo antes de ejecutarlo.
App Control para empresas (WDAC): Lista de aplicaciones permitidas de Windows aplicada por el kernel, antes Windows Defender Application Control: solo se ejecuta el código autorizado por la directiva.
AppLocker: Característica de control de aplicaciones de Windows que permite o deniega ejecutables, scripts, instaladores, DLL y aplicaciones empaquetadas por usuario o grupo.
Arranque seguro (Secure Boot): Función de UEFI que solo deja al firmware cargar componentes de arranque firmados con claves de confianza, lo que protege el arranque de Windows de los bootkits.

Credential Guard: Característica de Windows que usa la seguridad basada en virtualización para aislar de LSASS los hashes NTLM y los secretos Kerberos y frenar el volcado de credenciales.

Envenenamiento de LLMNR y NBT-NS: Ataque en el que un equipo de la red local responde a las búsquedas de nombres por difusión para capturar la autenticación NetNTLM de los clientes Windows.

Firma SMB: Firma criptográfica de los paquetes SMB que impide su manipulación y bloquea el NTLM relay hacia servidores SMB, tanto en el lado cliente como en el servidor.

Grupo Protected Users: Grupo integrado de Active Directory cuyos miembros reciben protecciones fijas: sin NTLM, sin delegación, sin credenciales en caché y con TGT de Kerberos cortos.

Integridad de memoria (HVCI): Integridad de código protegida por hipervisor: función de VBS que valida el código en modo kernel en un entorno aislado para que no se ejecuten controladores sin firmar.

Just Enough Administration (JEA): Característica de comunicación remota de PowerShell que da a los usuarios solo comandos administrativos concretos en un servidor, mediante cuentas virtuales temporales.

Lista de bloqueo de controladores vulnerables: Lista de Microsoft de controladores de kernel firmados pero explotables que Windows se niega a cargar, lo que bloquea los ataques «bring your own vulnerable driver».

Microsoft Defender SmartScreen: Servicio de reputación de Windows y Microsoft Edge que advierte sobre sitios de phishing, descargas maliciosas y aplicaciones desconocidas, o los bloquea.
Modelo de niveles (tiering) de Active Directory: Modelo administrativo que separa Tier 0 (identidad), Tier 1 (servidores) y Tier 2 (estaciones) para no exponer credenciales privilegiadas en sistemas menos seguros.
Modo de lenguaje restringido (Constrained Language Mode): Modo de lenguaje de PowerShell que bloquea el acceso arbitrario a .NET, COM y la API Win32, aplicado automáticamente por las directivas de App Control o AppLocker.
Módulo de plataforma segura (TPM): Chip de seguridad de hardware que genera y protege claves, registra mediciones del arranque y sirve de anclaje a BitLocker, Windows Hello y la atestación.

NTLM relay: Ataque que reenvía en tiempo real la autenticación NTLM de una víctima a otro servidor y se autentica como ella sin conocer su contraseña.

Point and Print: Característica de impresión de Windows que permite a los usuarios conectarse a una impresora compartida y descargar automáticamente su controlador desde el servidor.
Protección contra alteraciones (Tamper protection): Opción de Microsoft Defender que impide cambios locales en ajustes clave del antivirus, incluso por administradores, para que un atacante no pueda desactivarlo.
Protección contra vulnerabilidades (Exploit protection): Mitigaciones de memoria y de procesos integradas en Windows, como DEP, ASLR y CFG, aplicadas a todo el sistema o por aplicación y administradas por directiva.
Protección de DMA de kernel (Kernel DMA Protection): Característica de Windows que usa la IOMMU para impedir el acceso directo a memoria de dispositivos Thunderbolt y PCIe externos hasta que se consideren confiables.
Protección LSA (RunAsPPL): Ejecuta LSASS como proceso protegido ligero (PPL) para que ni siquiera los administradores puedan leer su memoria ni inyectarle código sin firmar.

Reenvío de eventos de Windows (WEF): Característica integrada de Windows que envía entradas seleccionadas del registro de eventos de muchos equipos a un recopilador central mediante WinRM, sin agente.
Reglas de reducción de la superficie de ataque (ASR): Reglas de comportamiento del Antivirus de Microsoft Defender que bloquean técnicas de malware habituales, como procesos lanzados por Office o lecturas de LSASS.
Remote Credential Guard: Modo de RDP que redirige las solicitudes Kerberos al cliente, de modo que las credenciales del usuario nunca se envían al equipo remoto ni se almacenan en él.

Sysmon: System Monitor de Sysinternals: controlador y servicio gratuitos que registran en detalle procesos, red, archivos, Registro y DNS en el registro de eventos de Windows.

WDigest: Paquete de autenticación heredado de Windows que, si está habilitado, deja contraseñas sin cifrar en la memoria de LSASS, al alcance de las herramientas de volcado.
Windows Hello para empresas: Método de inicio de sesión sin contraseña que la sustituye por una clave vinculada al dispositivo y protegida por el TPM, desbloqueada con un PIN o un gesto biométrico.
Windows LAPS: Windows Local Administrator Password Solution: da a cada dispositivo una contraseña de administrador local única y rotativa, guardada en AD o Entra ID.