Práctica de Hardening - Windows Server

UNIVERSIDAD DE IXTLAHUACA CUI LICENCIATURA INGENIERÍA EN COMPUTACIÓN 091-E SEGURIDAD EN REDES

HARDENING WINDOWS SERVER

ALUMNA: VICTORIA CAMACHO PAOLA LILIANA DOCENTE: Ana María Citlali Diaz Hernández 10 SEMESTRE

GRUPO A

CICLO ESCOLAR: 2021A MAYO 2021

Índice Introducción .................................................................................................................... 3 Hardening de sistema operativo de red Windos Server .............................................. 3 Habilitación de DNS, DHCP y Active Directory ......................................................... 3 Crear tres usuarios........................................................................................................ 4 Virtualizar un usuario bajo sistema operativo Win10, garantizar conexión entre cliente y servidor (si hay problemas para conectar al cliente, virtualice usuario con sistema operativo Windows XP) .......................................................................... 7 1.

Política de seguridad ......................................................................................... 12

2.

Deshabilitación y eliminación de cuentas de usuario .................................... 15

3.

Desinstalación de aplicaciones innecesarias .................................................. 17

4.

Configuración de Firewall .................................................................................. 19

5.

Configure Auditing ............................................................................................. 21

6.

Disable Unecessary shares (Deshabilitar recursos compartidos innecesarios) 24

7.

Configure Encryption .......................................................................................... 25

8.

Updates and Patches......................................................................................... 31

9.

Antivirus and Network Access Point (NAP) ....................................................... 32

10.

Least Privilege (Privilegios Mínimos) ............................................................... 32

11.

Disable Automatic Services ............................................................................ 33

12.

Disable Remote Registry ................................................................................. 33

13.

Windows Error Reporting Service (Servicio de reportes de error de Windows) .................................................................................................................... 35 14.

Enable Web management Service ............................................................... 37

15.

Use Secure Socket Tunnelling protocol(SSTP) Service .................................. 41

16.

Certificate Propagation .................................................................................. 42

17.

Enable NetLogon ............................................................................................ 43

18.

Special Administration Console Helper ......................................................... 44

Conclusión ..................................................................................................................... 46

Introducción Definimos Hardening como un conjunto de actividades que son llevadas a cabo por el administrador de un sistema operativo para reforzar al máximo posible la seguridad de su equipo, por lo que la siguiente practica tiene como objetivo mostrar algunas configuraciones de Hardening para el sistema operativo Windows Server 2016, siguiendo instrucciones enfocadas a seguridad o a configuraciones básicas, como la correcta instalación de algunos servicios que permiten la conexión entre el servidor y algunos usuarios, definir roles de administración y todo aquello que proteja el acceso administrativo.

El propósito de Hardening es proporcionar la mayor seguridad al sistema operativo y así entorpecer el acceso de cualquier atacante; sin embargo, estas configuraciones solo son una capa de seguridad, por lo que es necesario considerar más medidas de seguridad.

Hardening de sistema operativo de red Windos Server Desarrollo de prácticas de Hardening, para ello la sesión anterior se solicitó la virtualización del Sistema Operativo de Red del cual se configurará lo siguiente:

Habilitación de DNS, DHCP y Active Directory

Crear tres usuarios Núm de Usuario

Nombre

1 2 3

Miriam Andrea Sergio

Contraseña

Miri.123 And.101 Serg.222

En la ventana Administrador del servidor, seleccionamos la opción Herramientas, clic en la opción Usuarios y equipos de Active Directory

En la siguiente ventana damos clic adminso.BCN>Nuevo>Unidad organizativa

derecho

sobre

la

opción

Asignamos un nombre a la unidad organizativa y clic en aceptar

Posteriormente damos clic UsuariosSO>Nuevo>Usuario

derecho

sobre

la

unidad

organizativa

En la siguiente ventana asignamos un nombre de usuario, una contraseña e indicamos que la contraseña nunca espira y clic en Finalizar.

De igual forma creamos a los otros 2 usuarios

Virtualizar un usuario bajo sistema operativo Win10, garantizar conexión entre cliente y servidor (si hay problemas para conectar al cliente, virtualice usuario con sistema operativo Windows XP) Accedemos a Inicio → Panel de Control

Clic en Conexiones de Red e Internet

Clic en Conexiones de RED

Clic derecho sobre Local Area Connection, seleccionamos la opción de propiedades para asignar una dirección IP estática

Asignamos una dirección IP que corresponda al rango de IPs definidos durante la configuración de DHCP, como Servidor DNS preferido colocamos la dirección IP de Windows Server; finalmente clic en OK.

Ahora realizamos Ping al Servidor con la dirección IP 192.168.3.172

O con el nombre del dominio adminso.BCN

Para conectarnos al Dominio ingresamos a Inicio → My Computer → Properties

Seleccionamos la opción cambiar (Change)

Colocamos el nombre del Dominio adminso.BCN, clic en OK

En la siguiente ventana Ingresamos el nombre de Usuario Administrador y la contraseña adminso.1 que corresponden al usuario del servidor, clic en Ok

Nos aparece el mensaje bienvenido al dominio adminso.BCN, clic en OK

Clic en OK, para reiniciar el equipo y realizar los cambios

Aparece la siguiente ventana, en la cual ingresamos el usuario Miriam, la contraseña Miri.123 e indicábamos que nos conectaremos a ADMINSO, clic en OK

En la parte superior de la opción Inicio, visualizamos el nombre de usuario Miriam

Finalmente realizamos un Ping al Servidor con la IP 192.168..3.172

•

Configuración de Hardening en S.O. de red

1. Política de seguridad Instala el asistente de configuración de seguridad, a través de agregar y quitar componentes de Windows que detectan puertos, servicios, y configura el registro y la configuración de auditoría de acuerdo con la función del servidor.

• Deshabilita los servicios innecesarios según la función del servidor • Elimina las reglas de firewall no utilizadas y limite las reglas de firewall existentes.

• Define políticas de auditoría restringidas.

Clic en el menú herramientas y seleccionamos Administración de directivas de grupo para poder asignar una política en los equipos conectados al dominio

Donde se encuentra nuestro equipo debemos asignar las políticas de seguridad y hacemos clic derecho Crear un GPO a este dominio y vincularlo aquí…

colocarle un nombre a nuestra política de grupo en mi caso Restricciones, clic en Aceptar

Para editar la política, clic derecho sobre restricciones y seleccionamos la opción Editar

Directiva de Accesos Directos Seleccionamos Configuración de Usuario → Directivas → plantillas administrativas; y se nos mostrara un panel al lado izquierdo para poder habilitar o deshabilitar sobre algún objeto de Windows para el usuario de dominio Seleccionamos la carpeta red, se mostrara un panel de lado izquierdo.

Doble clic en conexiones de red y en el panel izquierdo seleccionamos prohibir la configuración TCP/IP avanzada

seleccionaremos la opción habilitada y clic en el botón aceptar

Ahora tenemos nuestra política de grupo lista para ser ejecutada por el dominio y los usuarios que se encuentren dentro de la unidad organizativa Debemos correr el siguiente script con el fin de actualiza la política de seguridad en el servidor gpupdate/forcé

Accedemos al sistema operativo cliente con el usuario Andrea, en Conexiones de RED, clic derecho sobre Local Area Connection, seleccionamos la opción de propiedades para asignar una dirección IP y se muestra un mensaje indicando que no contamos con los suficientes privilegios para cambiar las propiedades,

2. Deshabilitación y eliminación de cuentas de usuario Eliminación de Cuenta Clic en la pestaña Herramientas → Usuario y equipos de Active Directory

Clic derecho sobre el usuario y seleccionamos la opción Eliminar

Deshabilitar Cuenta clic derecho sobre el usuario y seleccionamos Deshabilitar Cuenta

Muestra la siguiente ventana, indicando que el usuario Miriam ha sido deshabilitado, clic en Aceptar.

Intentamos acceder al equipo cliente con el usuario Miriam, al dar clic en OK muestra una nueva ventana indicando que el usuario esta deshabilitado y no puede acceder.

3. Desinstalación de aplicaciones innecesarias Seleccionamos la pestaña Administración, clic en Quitar roles y funciones

Seleccionamos el servidor al que le desinstalaremos las aplicaciones, clic en Siguiente

Para desinstalar o quitar un rol debemos quitar la palomita que esta marcada, clic en siguiente.

De igual forma podemos quitar características deshabilitando la casilla, clic en siguiente.

En caso de que lo requiera se reiniciara el equipo, después elegiremos

quitar para que realice los cambios necesarios, seleccionamos si en la ventana de Asistente para quitar roles y características, por último, nos mostrará los resultados.

4. Configuración de Firewall El servidor Windows 2008 viene con un firewall integrado llamado Windows Firewall con configuraciones de Seguridad avanzado.

Para configurar el firewall de Windows accedemos a Inicio → Panel de control → Sistema y Seguridad

Seleccionamos Firewall de Windows

En la siguiente ventana se puede observar que esta activo el Firewall del Dominio, para configurar algunos aspectos seleccionamos la opción Activar o desactivar Firewall de Windows

Seleccionamos la opción: Notificarme cuando Firewall de Windows bloquee una nueva aplicación y clic en Aceptar

Si queremos definir reglas de entrada y salida para proporcionar seguridad de red a los equipos conectados al servidor; en Administrador del servidor, seleccionamos Herramientas → Firewall de Windows con seguridad avanzada

5. Configure Auditing En la ventana Administrador del Servidor seleccionamos la pestaña Herramientas → Administración de directivas de grupo

Desplegamos la opción Bosque:adminso.BCN → Dominios → adminso.BCN → Domain Controllers; clic derecho sobre la opción Domain Controllers, seleccionamos Crear un GPO en este dominio y vincularlo aquí

Asignamos el nombre de Auditoria y clic en Aceptar

Seleccionamos el nuevo GPO, clic derecho y seleccionamos la opción Editar

Desplegamos la opción Directivas → Configuración de Windows → Configuración de Seguridad → Directivas Locales → Directiva de Auditoria De lado derecho se observan las auditorias que podemos realizar

Al seleccionar dos veces la opción: Auditar el acceso a objetos, aparece una nueva ventana que proporciona una explicación sobre la auditoria

En la pestaña Configuración de directiva de Seguridad, activamos la opción Definir esta configuración de directiva; en el apartado Auditar estos intentos, podemos seleccionar auditar los intentos correctos o de error y clic en Aceptar.

Un intento correcto puede ser cuando un usuario tiene permisos para eliminar archivos dentro de una carpeta.

Un intento de error puede ser cuando un usuario quiere eliminar o modificar algún documento, pero no cuanta con los permisos para hacerlo

Del lado derecho de la imagen se puede observar que la primera auditoria esta configurada solo para los intentos erróneos

6. Disable Unecessary shares (Deshabilitar recursos compartidos

innecesarios) Accedemos a CMD, ingresamos la instrucción net share, después se visualizará la lista de recursos compartidos.

Para cada uno de los shares administrativos que se eliminaran, ingresamos la instrucción net share <recurso> /delete Por ejemplo: eliminamos el IPC$ con la instrucción que se observa en la imagen

7. Configure Encryption Windows Server proporciona una función de cifrado de disco completo incorporada llamado cifrado de unidad BitLocker (BitLocker) que protege el sistema operativo y los datos almacenado en el disco.

Primero activamos las características de Bitlocker, clic en Administrar → Agregar roles y características

Seleccionamos el servidor de destino, clic en siguiente

Nos dirigimos al apartado de características y seleccionamos Cifrado de unidad BitLocker, clic en siguiente

Confirmamos el reinicio automático en caso de ser necesario y clic en Instalar.

Después de cargar la instalación, el equipo se reinicia de forma automática, aparecerá la siguiente ventana y solo damos clic en Cerrar.

Ahora es necesario activar 2 políticas de seguridad, seleccionamos Windows +R, en la ventana ingresamos gpedit.msc, clic en Aceptar.

En la siguiente ventana accedemos a Configuración del Equipo → Plantillas Administrativas → Componentes de Windows → Cifrado de unidad BitLocker → Unidades del sistema operativo

Damos doble clic sobre la opción Requerir autenticación adicional al iniciar, en la siguiente ventana Seleccionamos la opción Habilitada, clic en Aplicar y Aceptar

La siguiente política para habilitar es Requerir autenticación adicional al iniciar (Windows Server 2008 y Windows Vista)

Ahora seleccionamos el menú de inicio de Windows y buscamos Administrar BitLocker

Seleccionamos Activar BitLocker, aparece una nueva ventana en la cual elegimos como desbloquear la unidad en el inicio, seleccionamos la opción escribir contraseña

La contraseña a ingresar es adminso.11, clic en siguiente.

Después se nos pregunta cómo es que deseamos realizar la copia de seguridad de la clave de recuperación, seleccionamos la opción imprimir la clave de recuperación, además esta opción nos permite guardar la clave en el mismo disco C.

Guardamos el archivo generado, clic en siguiente

En las siguientes ventanas dejamos las opciones por defecto y seleccionamos siguiente

Damos clic en continuar para ejecutar la comprobación del sistema de BitLocker, después aparecerá un mensaje indicando que el cifrado empezará una vez que se reinicie el equipo.

Seleccionamos el mensaje que nos apareció, mostrando una ventana para reiniciar el equipo ahora, después de reiniciar se nos solicita la contraseña para desbloquear la unidad C. Si la contraseña es correcta el equipo inicia de forma normal.

8. Updates and Patches Para visualizar las actualizaciones que requiere el Sistema Operativo, seleccionamos la opción de inicio de Windows → Configuración → Actualizaciones y Seguridad

Seleccionamos Windows update, de lado derecho se muestran las actualizaciones que requiere el sistema operativo, si queremos aplicarlas seleccionamos el botón de Instalar Ahora

9. Antivirus and Network Access Point (NAP) El software antivirus es uno de los pasos básicos y cruciales para fortalecer un servidor. El Servidor de Windows viene con una protección de acceso a la red (NAP) que ayuda a la defensa contra virus de extenderse a la red.

Utiliza un conjunto de políticas que limpia las máquinas afectadas y, cuando están en buen estado, permite el acceso a partes de la red de producción. NAP consiste en tecnología cliente-servidor que escanea e identifica máquinas que no tienen las últimas firmas de virus, servicio de paquetes o parches de seguridad.

10. Least Privilege (Privilegios Mínimos) La mayoría de las amenazas a la seguridad a menudo son causadas por altos privilegios de las cuentas.

Clic en inicio → herramientas administrativas de Windows → firewall de windows con seguridad avanzada

Después nos mostrara una ventana donde podremos modificar los privilegios.

11. Disable Automatic Services Aquí están todos los servicios deshabilitados que se configuraron para inicio automático. Al deshabilitar estos servicios puede limitar el área de superficie de ataque que puede prevenir o limitar la explotación del servidor.

ejecutamos Windows + R, después ingresamos services.msc

Se mostrará una ventana con todos los servicios locales en donde le daremos clic derecho donde elegiremos propiedades entonces podemos modificar el tipo de inicio del servicio.

12.

Disable Remote Registry

Este servicio permite el acceso al registro a usuarios remotos autenticados. Aunque esto esté bloqueado por el firewall y las ACL, este servicio debe desactivarse si no tiene ninguna razón para permitir acceso al registro.

Para deshabilitar el registro remoto, vaya a: Inicio → Panel de control → Sistema y seguridad →Sistema

Seleccionamos la opción de Configuración de Acceso Remoto

En la siguiente ventana podemos permitir o denegar las conexiones remotas al servidor, finalmente clic en Aceptar.

13.

Windows Error Reporting Service (Servicio de reportes de error de Windows) Informe de errores de Windows (WER) es un conjunto de tecnologías de Windows que captura fallas de software, datos y respaldar la presentación de informes por parte del usuario final sobre la información de accidentes. A través de los servicios de Winqual, el software y los proveedores de hardware pueden acceder a los informes para analizar y responder a estos problemas.

Las tecnologías WER se implementan en Windows XP, Windows Server 2003 y versiones posteriores.

Accedemos a pestaña Herramientas → Servicios

En la ventana Servicios seleccionamos con doble clic la opción Servicio Informe de errores de Windows

En la pestaña general, podemos leer la descripción de lo que hace el servicio, así como definir el tipo de inicio, en este caso elegimos la opción Automático; en la pestaña Iniciar Sesión dejamos por defecto la Cuenta del sistema local

En la pestaña recuperación, indicamos que si un error se presenta o los programas dejan de funcionar, la primera acción a realizar es Reiniciar el servicio, si se presenta un segundo error de igual forma reiniciara el servicio y para los siguientes errores no se realiza ninguna acción.

En la pestaña dependencias podemos observar que el Servicio de Informe de errores de Windows no depende de algún otro componente para funcional.

Para finalizar seleccionamos los botones de Aplicar y Aceptar.

14.

Enable Web management Service

Permite la gestión remota del servidor web, los sitios y las aplicaciones de esta máquina. El objetivo principal de las empresas que actualmente utilizan servicios web es obtener un sentido comercial de esta tecnología e impulsar sus estrategias en base a eso. Esto solo se puede hacer cuando tiene el control adecuado sobre los Servicios Web ofrecidos a sus clientes.

En la ventana Administrador del servidor, seleccionamos la pestaña Administrar → Agregar roles y características

Seleccionaremos el servidor en el cual vamos a realizar los cambios, clic en siguiente.

Elegiremos los roles del servidor, en este caso activaremos servidor web(IIS), nos mostrará una ventana donde estarán las características requeridas, elegiremos agregar características y clic en siguiente

En la nueva ventana seleccionaremos siguiente.

no

seleccionaremos

más

características,

Seleccionamos Servicios de rol, y activamos la opción Servicio de Administración, clic en siguiente

Para confirmar la instalación seleccionaremos la pestaña reinicie automáticamente en caso de ser necesario y daremos clic en instalar.

Al terminar solo seleccionaremos cerrar

15.

Use Secure Socket Tunnelling protocol(SSTP) Service

Brinda soporte para el Protocolo de túnel de sockets seguros (SSTP) para conectarse a computadoras que usan VPN. Si este servicio está deshabilitado, los usuarios no podrán utilizar SSTP para acceder de forma remota.

SSTP permite que el tráfico pase a través de cortafuegos que bloquean el tráfico PPTP y L2TP/ IPsec. Eso encapsula el tráfico PPP a través del canal SSL del protocolo HTTPS (puerto 443). Permite a los clientes detrás de firewalls y enrutadores NAT conectarse al servidor VPN sin la preocupación de problemas de bloqueo de puertos.

Seleccionamos Windows +R, escribimos services.msc

En la siguiente ventana de servicios, seleccionamos con doble clic Servicio de protocolo de túnel de sockets seguros

En la pestaña general, podemos leer la descripción de lo que hace el servicio, así como definir el tipo de inicio, en este caso elegimos la opción Automático, después en Estado del servicio seleccionamos Iniciar.

Por otro lado, en la pestaña Dependencias podemos observar que el servicio depende del Administrador de conexiones de acceso remoto.

Para finalizar seleccionamos los botones de Aplicar y Aceptar.

16.

Certificate Propagation

Manejo de certificados de tarjetas inteligentes. Microsoft ha incluido muchos servicios de tarjetas inteligentes en Vista, pero probablemente no mucha gente los usa. No los confunda con las tarjetas de memoria, son cosas completamente diferentes. Las tarjetas inteligentes se utilizan a veces para iniciar sesión en Vista en lugar de contraseña.

Para la propagación de certificados pulsamos la ventana de Windows + R después escribimos services.msc

Seleccionamos Propagación de certificados con doble clic, en tipo de inicio indicamos automático, en Estado del servicio seleccionamos Iniciar, finalmente clic en Aplicar y Aceptar.

17.

Enable NetLogon

Mantiene un canal entre la computadora y el controlador de dominio. El servicio NetLogon verifica las solicitudes de inicio de sesión y registra, autentica y localiza controladores de dominio. Además, para mantener la compatibilidad con versiones anteriores, NetLogon gestiona la replicación de la base de datos de cuentas de usuario para realizar copias de seguridad de los controladores de dominio ejecutando Windows NT 4.0 y versiones anteriores.

Para la activación de NetLogon pulsamos la ventana de Windows + R después escribimos services.msc

En la siguiente ventana seleccionamos Net Logon con doble clic, Tipo de inicio: Automático; en el apartado Estado del servicio seleccionamos iniciar, finalmente clic en Aplicar y Aceptar.

18.

Special Administration Console Helper

Permite a los administradores acceder de forma remota a un símbolo del sistema.

La consola de administración especial (SAC) puede conectarse a una máquina, donde se está ejecutando este servicio. SAC puede realizar a control remoto tareas de administración en caso de que Windows deje de funcionar debido a un error de detención de mensaje.

El SAC es un entorno de línea de comandos de servicios de gestión de emergencia auxiliar con las siguientes funciones principales: • Texto explicativo redireccionamiento.

del

mensaje

de

error

de

detención

de

• Reinicie el sistema.

• Obtener información de identificación de la computadora.

Para la activación de Ayudante especial de la consola de administración pulsamos la ventana de Windows y la tecla R después escribimos services.msc

Seleccionamos Ayudante especial de la consola de administración → propiedades → Automático En el apartado Estado del servicio seleccionamos iniciar, finalmente clic en Aplicar y Aceptar

Conclusión Durante el desarrollo de la practica aprendí a configurar algunos parámetros básicos de seguridad, la ventaja de ello fue que al momento de realizar la configuración se presentaba un apartado de descripción y se explicaba en especifico el funcionamiento de dicho servicio en caso de ser habilitado; además con esta practica se comprende que actividades desempeña un administrador de seguridad, así como agregar roles y características al sistema operativo, permitir que usuarios accedan a los servicios, encriptar el disco dura, entre otras cosas.

Por otro lado, la única desventaja que se presento fue que solo pude usar un sistema operativo cliente el cual fue XP, debido a que la computadora necesitaba más memoria RAM para poder virtualizar un sistema operativo Windows 10; sin embargo, se logro la comunicación entre el sistema cliente y servidor, así como comprobar el acceso al dominio, la deshabilitación del usuario y comprobar los permisos de acceso.