Guía de Hardening para Windows Server 2022

Esta guía detalla las mejores prácticas y configuraciones de seguridad para fortalecer servidores Windows en entornos empresariales.

1. Configuraciones Básicas de Seguridad

Políticas de Contraseñas

# Configurar políticas de contraseñas
net accounts /minpwlen:14
net accounts /maxpwage:30
net accounts /uniquepw:24

Deshabilitar Servicios Innecesarios

# Deshabilitar servicios no esenciales
Set-Service -Name "Browser" -StartupType Disabled
Set-Service -Name "RemoteRegistry" -StartupType Disabled
Set-Service -Name "LanmanServer" -StartupType Disabled

2. Configuración del Firewall

Reglas Básicas

# Habilitar Firewall en todos los perfiles
Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True

# Bloquear todo el tráfico entrante por defecto
Set-NetFirewallProfile -DefaultInboundAction Block -DefaultOutboundAction Allow

3. Configuración de Auditoría

Políticas de Auditoría

# Habilitar auditoría avanzada
auditpol /set /category:"System" /success:enable /failure:enable
auditpol /set /category:"Logon/Logoff" /success:enable /failure:enable
auditpol /set /category:"Object Access" /success:enable /failure:enable

4. Configuraciones de Registry

Deshabilitar Servicios Inseguros

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest]
"UseLogonCredential"=dword:00000000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableCAD"=dword:00000000

5. AppLocker y Software Restriction

Políticas Básicas

# Configurar AppLocker
New-AppLockerPolicy -XmlPolicy C:\Windows\Security\AppLocker\DefaultRules.xml
Set-AppLockerPolicy -XmlPolicy C:\Windows\Security\AppLocker\DefaultRules.xml

6. Monitorización

Configurar Sysmon

<Sysmon schemaversion="4.70">
  <HashAlgorithms>md5,sha256</HashAlgorithms>
  <EventFiltering>
    <!-- Reglas de monitorización -->
    <ProcessCreate onmatch="include"/>
    <FileCreateTime onmatch="include"/>
    <NetworkConnect onmatch="include"/>
  </EventFiltering>
</Sysmon>

7. Lista de Verificación

• Actualizaciones del sistema instaladas
• Firewall configurado
• Auditoría habilitada
• AppLocker implementado
• Sysmon instalado
• Servicios innecesarios deshabilitados
• Políticas de contraseñas configuradas

Recursos Adicionales

• CIS Benchmarks
• Microsoft Security Baselines
• NSA Hardening Guides

Herramientas Recomendadas

• Security Compliance Toolkit
• Windows Security Baselines
• Microsoft Security Compliance Manager
• Nessus