8. Adecuación de un servidor de dominio al Esquema Nacional de Seguridad. Protección de la autenticidad y de la integridad
Sigamos revisando las medidas de seguridad en una red Windows, de obligado cumplimiento para todas las empresas que trabajen con la administración pública española.
En los artículos anteriores (1, 2, 3, 4, 5, 6 y 7) explicamos cómo utilizar el programa de auditoría del CCN CLARA, cómo crear una política de grupo y cómo resolver los problemas del proceso de gestión de derechos de acceso, de los mecanismos de autenticación, del acceso local, de la configuración de seguridad, la configuración de los registros de actividad de Windows y el bloqueo de puesto de trabajo.
En el artículo anterior dejamos la auditoría al 73%. El décimo bloque que nos muestra el programa de auditoría es el MP.COM.3 - Protección de la autenticidad y de la integridad, y con la configuración normal de Windows cumplimos la mitad..
![image.png](https://steemitimages.com/640x0/https://res.cloudinary.com/hpiynhbhq/image/upload/v1513605242/bjq0mp6yln1mxdnrtrg4.png)
Abrimos la política de dominio que creamos en el segundo artículo, con la aplicación "Administración de directivas de grupo", dentro del dominio seleccionamos la política ENS, pulsamos con el botón derecho y Editar, lo que abrirá el Editor de administración de directivas de grupo.
Una vez allí nos vamos a Configuración del equipo / Directivas / Configuración de Windows / Configuración de Seguridad / Directivas locales / Opciones de seguridad (si la instalación está en inglés es Computer Configuration / Policies / Windows Settings / Security Settings / Local Policies / Security Options y cambiamos las siguientes políticas:
Seguridad de red: restringir NTLM: autenticación NTLM en este dominio: Denegar para cuentas de dominio en servidores de dominio. La veo peligrosa, hay que probarla antes, puede cargarse los dispositivos antiguos. En mi red tenemos algunos XP, y las fotocopiadoras Konika-Minolta utilizan protocolos antiguos para enviar los archivos escaneados a los ordenadores.
Seguridad de red: restringir NTLM: auditar la autenticación NTLM en este dominio: Habilitar todo
Seguridad de red: seguridad de sesión mínima para clientes NTLM basados en SSP (incluida RPC segura): Requerir seguridad de sesion NTLMv2, Requerir cifrado de 128 bits. También peligrosa, de momento no la pongo.
Seguridad de red: seguridad de sesión mínima para servidores NTLM basados en SSP (incluida RPC segura): Requerir seguridad de sesion NTLMv2, Requerir cifrado de 128 bits
Cliente de redes de Microsoft: firmar digitalmente las comunicaciones (siempre): Habilitada. Dará problemas con XP y con los escáneres de las fotocopiadoras.
Servidor de red Microsoft: nivel de validación de nombres de destino SPN del servidor: Requerido del cliente. Peligrosa, hay que probarla antes
Seguridad de red: restringir NTLM: auditar el tráfico NTLM entrante: Habilitar la auditoria para todas las cuentas
Seguridad de red: nivel de autenticación de LAN Manager: Enviar solo respuesta NTLMv2 y rechazar LM y NTLM. Puede dar problemas con clientes XP
Seguridad de red: restringir NTLM: tráfico NTLM entrante: Denegar todas las cuentas de dominio. Puede dar problemas con clientes XP
Seguridad de red: configurar tipos de cifrado permitidos para Kerberos:
- AES128_HMAC_SHA1
- AES256_HMAC_SHA1
- Tipos de cifrado futuros
- Puede dar problemas con clientes XP
Para asegurar bien este bloque es necesario tener una red moderna, si en la red hay algún Windows XP no podrán acceder a los archivos compartidos en los servidores.
Ejecutamos el gpupdate, volvemos a ejecutar CLARA y tenemos que en el noveno bloque (Bloqueo de puesto de trabajo) hemos pasado de cumplir el 50% al 60%. Hemos dejado muchas cosas sin poner por problemas de compatibilidad con dispositivos antiguos.
En el próximo artículo intentaremos cumplir todo lo que podamos del bloque Directivas de servicios del sistema, que ahora cumplimos al 83%
Informacion que ha servido de mucho! sacar de dudas a mas de un usuario! Gracias mi querido hermano!
Te felicito y te sigo este es uno de los mejores post que he leido completo hasta este momento en steemit, muy informativo, gracias.
muy buena informacion
este post me ayudo mucho gracias
Muchisimas gracias por compartir este post, me informo bastante!
Thank you @elisablogs for promoting this post together with https://steemit.com/budget/@jerrybanfield/introducing-steem-budget-proposals
16.99% @pushup from @elisablogs
This post has received a 2.79 % upvote from @buildawhale thanks to: @elisablogs. Send at least 1 SBD to @buildawhale with a post link in the memo field for a portion of the next vote.
To support our daily curation initiative, please vote on my owner, @themarkymark, as a Steem Witness
This post has received a 17.19 % upvote from @boomerang thanks to: @elisablogs
@boomerang distributes 100% of the SBD and up to 80% of the Curation Rewards to STEEM POWER Delegators. If you want to bid for votes or want to delegate SP please read the @boomerang whitepaper.
You got a 2.40% upvote from @upme requested by: @elisablogs.
Send at least 1.5 SBD to @upme with a post link in the memo field to receive upvote next round.
To support our activity, please vote for my master @suggeelson, as a STEEM Witness