Área 06 / 12
Protocolos heredados
Windows aún habla protocolos diseñados para las redes locales de confianza de los años 90. La resolución de nombres por difusión entrega hashes a cualquiera en el segmento, SMB y LDAP sin firmar permiten ataques de retransmisión y NTLMv1 se descifra rápido. Esta área muestra cómo medir cada uno, desactivarlo o exigir la firma sin provocar cortes.
Empezar la rutaRuta de aprendizaje
0/4 completadas- 01Retirar LLMNR, NBT-NS, SMBv1 y NTLMv1; exigir la firmaMide y desactiva los protocolos de Windows detrás de la captura de hashes y la retransmisión: LLMNR, NBT-NS, mDNS, WPAD, SMBv1, NTLMv1, y exige la firma SMB y LDAP.
- 02Endurecimiento de TLS y Schannel en WindowsDeshabilita SSL, TLS 1.0/1.1 y los cifrados débiles en Schannel, fija el orden de los conjuntos de cifrado por GPO y haz que .NET use criptografía fuerte.
- 03Endurecer el Escritorio remoto (RDP) en WindowsProtege el Escritorio remoto con NLA, la capa de seguridad TLS, certificados de PKI, usuarios restringidos, firewall acotado, límites de sesión y los registros adecuados.
- 04Endurecer la cola de impresión y Point and PrintCierra los riesgos tipo PrintNightmare: deshabilita la cola de impresión donde sobre, limita los controladores a administradores y usa Package Point and Print.