Este documento se encuentra disponible tambi�n en formato PDF

GuÃa bÃ¡sica de seguridad de Windows NT

IntroducciÃ³n

Windows NT fue, segÃºn Microsoft, diseÃ±ado y desarrollado con la seguridad en mente; por lo tanto, podrÃamos pensar, "no tengo que preocuparme de su seguridad". Esto es falso.

Lo primero es que ningÃºn programa nos va dar soluciÃ³n a la seguridad definitiva y total (y el que lo prometa miente). Todos tienen fallos y vulnerabilidades que para cuando son parcheados, el programa serÃ¡ tildado de obsoleto. Lo segundo es que la seguridad de un sistema depende en gran medida de nuestras polÃticas y de la configuraciÃ³n del sistema.

Esta guÃa trata las recomendaciones de configuraciÃ³n que se deben tener en cuenta si estÃ¡ usando Windows NT. No es objetivo de esta guÃa enseÃ±arle a usar Windows NT, aunque sÃ se hace una pequeÃ±a introducciÃ³n de los conceptos bÃ¡sicos para unificar tÃ©rminos.

Conceptos BÃ¡sicos

Dominio

Es un grupo lÃ³gico de mÃ¡quinas que comparten cuentas de usuarios y seguridad de los recursos. Un dominio estÃ¡ integrado por una mÃ¡quina NT servidor de dominio que administra las cuentas y recursos del dominio en cuestiÃ³n, y/o servidores y/o estaciones de trabajo. Los usuarios de un mismo dominio tendrÃ¡n un inicio de sesiÃ³n Ãºnico en el servidor del dominio para acceder a los recursos de cualquier parte de la red, una cuenta Ãºnica para acceder a las mÃ¡quinas del dominio, etc.

Cuentas de usuarios

En las cuentas de los usuarios se establecen datos como el propietario de la misma, contraseÃ±a de acceso, localizaciÃ³n de su directorio de inicio de sesiÃ³n, grupo al que pertenece, etc. Windows NT distingue las cuentas locales y las cuentas de dominio:

Cuenta local de usuario:: pertenecen a una Ãºnica estaciÃ³n Windows NT. El procedimiento de login de las mismas se valida en una base de datos local de la estaciÃ³n. La herramienta administrativa de la estaciÃ³n para crearlas, modificarlas, borrarlas y establecer polÃticas de seguridad es el Administrador de usuarios o el Administrador de usuarios para dominios.
Cuenta de dominio:: pertenecen al dominio en cuestiÃ³n. El procedimiento de login requiere, ademÃ¡s del nombre de usuario y contraseÃ±a, el dominio al que se estÃ¡ haciendo login. La validaciÃ³n se hace en una base de datos existente en el servidor de dominio. La herramienta administrativa del servidor para crearlas, modificarlas, borrarlas y establecer polÃticas de seguridad del dominio es el Administrador de usuarios para dominios.

Tanto si se hace login en un tipo de cuenta u otro, para acceder al menÃº de seguridad de la estaciÃ³n o el servidor (para cambiar el password, bloquear el terminal, o cierre de sesiÃ³n e incluso del sistema) se debe teclear la siguientes combinaciÃ³n de teclas CTRL+ALT+SUPR.

Las cuentas que por defecto crea NT son la de Invitado (Guest), deshabilitada por defecto, y la de Administrador, para configuraciÃ³n y control de usuarios y recursos.

Cuentas de grupos

Las cuentas de usuarios se organizan en grupos. Cuando se aÃ±ade un usuario a un grupo, el usuario tendrÃ¡ los derechos y permisos asignados a ese grupo.

Windows NT distingue dentro del concepto de grupo, dos categorÃas: grupos locales y globales.

Grupo local:: lo forman cuentas locales de usuarios y grupos globales de otros dominios. Se usan para asignar a grupos de usuarios permisos para acceder a un recurso.
Grupo global:: lo forman Ãºnicamente cuentas de dominio. Aunque los grupos globales pueden usarse para asignar permisos a los recursos, su funcionalidad principal es agrupar las cuentas de un dominio. Para lo primero es mejor aÃ±adir los grupos globales como locales.

NT crea por defecto ciertos grupos locales, globales y de sistema con ciertos derechos ya adquiridos. Los grupos locales que existen por defecto en cualquier mÃ¡quina NT son:

Usuarios:: Usuarios normales con cuenta.
Administradores:: Usuarios con derechos para administrar el sistema.
Invitados:: Usuarios sin cuentas que tienen derechos muy limitados.
Operadores de copia de seguridad:: Usuarios con derechos de copia de seguridad y restauraciÃ³n de archivos.

Si la mÃ¡quina es servidora de dominio, ademÃ¡s de los anteriores grupos locales, NT crea:

Operadores de cuentas:: Usuarios con derechos para administrar cuentas de usuarios.
Operadores de servidores:: Usuarios con derechos para administrar servidores.
Operadores de impresiÃ³n:: Usuarios con derechos para administrar impresoras

y ademÃ¡s crea los siguientes grupos globales:

Admins. de dominio Usuarios de dominio Invitados de dominio

Los usuarios se convierten en miembros de los grupos del sistema automÃ¡ticamente al acceder a la red. Los grupos de sistema en cualquier mÃ¡quina NT son:

Todos:: incluye a todos los usuarios que acceden a la red. No se puede controlar quiÃ©n pertenece a este grupo, pero sÃ los permisos y derechos de este grupo.
CREATOR OWNER: (propietario): usuario que creÃ³ el recurso o es propietario del mismo.

Es conveniente revisar quÃ© derechos tienen todos estos grupos por defecto dentro del menÃº de polÃticas de derechos de usuarios.

PolÃticas de passwords y cuentas

El administrador de la red debe establecer una polÃtica de passwords en la que se especifique:

Una duraciÃ³n mÃ¡xima de la contraseÃ±a (aconsejable unos 90 dÃas).
Una longitud mÃnima (aconsejable un mÃnimo de 8 caracteres).
Un histÃ³rico de la contraseÃ±a (unas 5 contraseÃ±as).
Un bloqueo automÃ¡tico tras sucesivos fallos de login (unos 5 fallos).

La polÃtica se establece accediendo al menÃº del Administrador de usuarios para dominios/Directivas/Cuentas/Plan de cuentas

Para desbloquear una cuenta:

Administrador de usuarios para dominios/Usuario/Propiedades/Cuenta desactivada

TambiÃ©n es Ãºtil establecer restricciones en el Administrador de usuarios para dominios como:

Horas de entrada en una mÃ¡quina del dominio.
Estaciones desde las que se puede acceder al dominio.
Tiempo de expiraciÃ³n de las cuentas.
RestricciÃ³n de acceso telefÃ³nico.

, asÃ como templates para las cuentas de nueva creaciÃ³n.

Permisos y derechos de usuario

Los derechos de usuario definen quÃ© pueden hacer los usuarios. Algunos de los derechos mÃ¡s comunes son:

El derecho de inicio de una sesiÃ³n local.
Derechos de administraciÃ³n de auditorÃa.
Derecho de apagar el equipo.
Derecho de acceder al equipo desde la red (acceder a recursos compartidos).
Derecho de hacer copias de seguridad o de restaurar ficheros desde copias de seguridad.

Para configurar los derechos de usuarios, se elige Derechos de usuario del menÃº Directivas del Administrador de usuarios para dominios y se autorizan para cada derecho los usuarios o grupos apropiados.

Hay que tener en cuenta que es conveniente eliminar al grupo Todos el derecho de Acceder a este equipo desde la red.

Los permisos definen quÃ© recursos pueden usar los usuarios o grupos de usuarios, entendiendo por recurso un fichero, directorio o una impresora. Los permisos controlan el acceso a directorios y ficheros locales y compartidos en la red y son configurados por el administrador o por el propietario de los mismos. Hay permisos estÃ¡ndar y permisos individuales. Los permisos estÃ¡ndar son una combinaciÃ³n de los permisos individuales.

Permisos para directorios

Permisos estÃ¡ndar	Permisos individuales	Permisos para nuevos ficheros
Sin acceso	Ninguno	Ninguno
Listar	R, X	-
Lectura	R, X	R,X
AÃ±adir	W, X	-
AÃ±adir y Lectura	R, W, X	R, X
Cambio	R, W, X, D	R, W, X, D
Control total	Todo	Todo

Permisos para ficheros

Permisos estÃ¡ndar para archivos	Permisos individuales
Sin acceso	Ninguno
Lectura	R, X
Cambio	R, X, W, D
Control Total	Todos

En un sistema de ficheros NTFS, el administrador puede configurar los permisos de ficheros y directorios pulsando con el botÃ³n derecho del ratÃ³n sobre el fichero o directorio que se que desee proteger, y luego la secuencia Propiedades/Seguridad/Permisos.

AsÃ, los directorios %SystemRoot% (normalmente C: $\backslash$ Winnt),
%SystemRoot% $\backslash$ System32 y %SystemRoot% $\backslash$ Temp, tienen respectivamente derechos de Control total, Cambio y Control total, para el grupo Todos.

Para corregirlo, una vez comprobado que el Administrador tiene Control total sobre los mismos, cambiar a sÃ³lo Lectura %SystemRoot% sin propagar estos cambios a los subdirectorios, y %SystemRoot% $\backslash$ System32 a sÃ³lo Lectura propagÃ¡ndolos, con la precauciÃ³n de poner permiso de Cambio a Todos a %SystemRoot% $\backslash$ System32 $\backslash$ RAS y %SystemRoot% $\backslash$ System32 $\backslash$ spool $\backslash$ Printer.

De la misma manera, el volumen C: donde se encuentran ficheros relacionados con el arranque de la mÃ¡quina, deberÃa formatearse NTFS y los ficheros crÃticos deberÃan tener:

C: $\backslash$ boot.ini $\Rightarrow$ Control total para Administradores y Sistema.

C: $\backslash$ ntdetect.com $\Rightarrow$ Control total para Administradores y Sistema.

C: $\backslash$ autoexec.bat $\Rightarrow$ Control total para Administradores y Sistema y Lectura a Todos.

C: $\backslash$ config.sys $\Rightarrow$ Control total para Administradores y Sistema y Lectura a Todos.

Y muy importante, cuando se formatea un volumen con NTFS, el grupo Todos adquiere Control total del volumen. Cuidado con los permisos por defecto.

ComparticiÃ³n de recursos de red

Para compartir recursos de red sÃ³lo tendremos que pinchar con el botÃ³n derecho sobre un directorio o una impresora y veremos una opciÃ³n que serÃ¡ Compartir. Nos aparecerÃ¡ un menÃº desde donde podremos compartir el recurso.

Los recursos de la red se comparten de forma segura con los siguientes permisos:

Lectura:: permite listar directorios, ficheros.
Cambio:: permite crear directorios, aÃ±adir ficheros, modificar datos y permisos de Ã©stos, borrar ficheros y directorios, y permisos de Lectura.
Control total:: permite modificar permisos, toma de posesiÃ³n, y permisos de Cambio.
Sin acceso:: este permiso prevalece sobre cualquier otro y deniega el acceso al recurso.

A diferencia de lo que ocurre con los permisos NTFS, no se pueden asignar diferentes permisos a distintos ficheros de un mismo directorio compartido.

Cuando se combinan los permisos de recursos compartidos y los permisos del volumen NTFS, prevalecen los mÃ¡s restrictivos.

Seguridad del registro

El registro es una base de datos que mantiene informaciÃ³n sobre la configuraciÃ³n hardware, software y de entorno de la mÃ¡quina. Se puede ver con REGEDT32. Por defecto, Windows NT 4.0 no permite el acceso remoto al registro por defecto.

El Registro de NT es un arma muy poderosa para poder configurar correctamente determinados parÃ¡metros de nuestra mÃ¡quina. Se ha de tener un especial cuidado a la hora de trabajar directamente con el editor del registro, ya que la introducciÃ³n de valores errÃ³neos puede acarrear problemas al sistema. El entorno ideal para estos casos serÃa contar con una mÃ¡quina de pruebas, y tras comprobar que no existen problemas, proceder a la modificaciÃ³n del Registro en el resto de sistemas.

Es conveniente:

Deshabilitar el acceso remoto al registro a los usuarios no autorizados, revisando la siguiente entrada en el registro:
Nota: A partir de ahora se utilizarÃ¡ HKLM como abreviatura de
HKEY_LOCAL_MACHINE.
```
HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\WinReg
```
AsegÃºrese de que sÃ³lo el grupo de Administradores tiene como permisos de seguridad Control total sobre esta clave. Puede ver los permisos que tiene una clave del registro situÃ¡ndose sobre ella y pulsando en el menÃº Seguridad, la opciÃ³n Permisos.
La instalaciÃ³n del Service Pack 3 para Windows NT 4.0 desactiva la posibilidad de que un usuario anÃ³nimo se conecte al registro remotamente. Como un recordatorio, Windows NT 4.0 restringe el acceso remoto al registro a los usuarios de dominio usando las listas de control de acceso (los permisos) asociadas a esta clave de registro.
Deshabilitar (poner a 0) si es necesario el apagado del equipo en la opciÃ³n ShutdownWithoutLogon de:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Deshabilitar (poner a 0) la variable AutoAdminLogon:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Esta modificaciÃ³n, evitarÃ¡ saltarse el cuadro de diÃ¡logo de autenticaciÃ³n a travÃ©s de los valores DefaultUsername, DefaultPassword y DefaultDomain. Esta caracterÃstica es posible si se ha configurado el AutoAdminLogon para evitar tener que teclear la contraseÃ±a cada vez que se inicie la sesiÃ³n (prÃ¡ctica a todas luces poco recomendable).

Poner a 1 (verdadero) la variable Parameters:

HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess

Poner la variable FullPrivilegeAuditing a 1:
```
HKLM\SYSTEM\CurrentControlSet\Control\LSA
```
En el primer caso estaremos habilitando la auditorÃa de los servicios de acceso remoto. Con la segunda variable, conseguiremos auditar todos los derechos de usuarios, que nos ayudarÃ¡ a poder controlar si algÃºn usuario utiliza ciertos derechos administrativos para acceder a ficheros confidenciales o que conlleven riesgos al sistema.
Poner a 1 LegalNoticeCaption:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
e indicar el texto de advertencia en LegalNoticeText.
Con estÃ¡s dos entradas podremos habilitar que aparezca una ventana con un aviso cada vez que se inicie la sesiÃ³n. Esta prÃ¡ctica se recomienda en entornos corporativos, y puede contener avisos legales, consejos, o normas internas, que pueden prevenir un mal uso de la red y reprimir intentos de sabotajes.
Poner a verdadero DontDisplayLastUserName en:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\Current\Version\Winlogon
```
Esta modificaciÃ³n evitarÃ¡ que el sistema muestre en la ventana de autenticaciÃ³n el nombre del Ãºltimo usuario. De sobra es conocido que los nombres de usuarios son pieza codiciada por los crackers a la hora de poder proceder a distintos tipos de ataque, como el de fuerza bruta. Es por ello que ademÃ¡s de esta modificaciÃ³n, recomendamos renombrar las cuentas de usuarios que vienen por defecto en Windows NT, como pueda ser la de Administrador.
Limpiar el fichero de paginaciÃ³n (swap) al apagar el equipo, poniendo a 1 la variable ClearPageFileAtShutdown en:
```
HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\MemoryManagement
```
Con este valor conseguiremos que el archivo que almacena la memoria virtual del sistema se borre automÃ¡ticamente tras salir de una sesiÃ³n. Esta caracterÃstica evita que un posible atacante acceda a este archivo y recoja informaciÃ³n confidencial.
Poner a cero la variable AllocateFloppies, si se desea deshabilitar el acceso a las disqueteras:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Para deshabilitar el acceso al CDROM poner a 0 AllocateCDROMS:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Con estas dos entradas se consigue desactivar las disqueteras y las unidades de CD-ROM respectivamente. En determinados entornos se aconseja esta prÃ¡ctica, para impedir la grabaciÃ³n de datos, o la ejecuciÃ³n e instalaciÃ³n de software. Tampoco podemos olvidar que tambiÃ©n suelen ser entrada habitual de los virus informÃ¡ticos.
Poner a cero la variable AutoAdminLogon:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Esta modificaciÃ³n, evitarÃ¡ saltarse el cuadro de diÃ¡logo de autenticaciÃ³n a travÃ©s de los valores DefaultUsername, DefaultPassword y DefaultDomain. Esta caracterÃstica es posible si se ha configurado AutoAdminLogon para evitar tener que teclear la contraseÃ±a cada vez que se inicie la sesiÃ³n.
Poner a cero la entrada ShutdownWithoutLogon:
```
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
```
Con este valor conseguiremos que no se pueda apagar un sistema NT sin iniciar una sesiÃ³n. Esta posibilidad presenta un problema de seguridad que se agrava en el caso de los servidores cuya ubicaciÃ³n fÃsica no estÃ© protegida. Si esta caracterÃstica estuviera habilitada, cualquiera podrÃa apagar el sistema desde el cuadro de diÃ¡logo de autenticaciÃ³n, con la consecuente pÃ©rdida de servicios y recursos para los clientes que estuvieran haciendo uso de ellos.
NT por defecto comparte cada uno de las particiones que tengamos en nuestro sistema para el administrador. Para evitar este hecho, deberemos crear una variable de tipo DWORD llamada AutoShareServer con el Editor del registro, en:
```
HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters
```
y ponerle un valor de cero.
Esta serÃ¡ la entrada correcta en el caso de que estemos en un NT Server. Para las versiones NT Workstation, la variable tendrÃ¡ que llamarse AutoShareWks.
Poner la variable RestrictAnonymous a 1 en:
```
HKLM\System\CurrentControlSet\Control\LSA
```
Iniciar una sesiÃ³n nula, o sesiÃ³n anÃ³nima, permite obtener informaciÃ³n sensible sobre la mÃ¡quina y el dominio en el que se encuentra, como pueden ser nombres de usuario, grupos, recursos compartidos, propiedades de las passwords, etc. Por defecto NT permite las credenciales nulas contra el recurso $\backslash$ $\backslash$ nombreservidor $\backslash$ IPC$, que toda mÃ¡quina NT comparte para que otras mÃ¡quinas usen recursos y se autentiquen en ellas (su nombre tecnico es InterProcess Communication, IPC's). Aunque es algo imprescindible en cualquier mÃ¡quina NT, no es en absoluto adecuado que cualquier usuario no autenticado pueda acceder a informaciÃ³n del dominio y/o la mÃ¡quina.
Esta misma vÃa se puede utilizar con malas intenciones, por ejemplo, a travÃ©s del comando NET USE, para recopilar informaciÃ³n de cara a un posterior ataque. Se puede forzar la autenticaciÃ³n en este tipo de sesiones mediante la activaciÃ³n de la variable RestrictAnonymous.
Los sistemas NT permiten dos tipos de desafÃos para lograr la autenticaciÃ³n ante el servidor. El mÃ¡s seguro es el sistema propietario de NT (MD4), y tenemos en el desafÃo LanManager (DES), para clientes Windows 95/98 y NetWare, el eslabÃ³n mÃ¡s dÃ©bil. NT trabaja por defecto con ambos sistemas indistintamente, por lo que un atacante podrÃa forzar un intercambio de contraseÃ±as DES (LanManager) y a partir de ahÃ interceptar los paquetes durante el desafÃo para llegar a conseguir las contraseÃ±as.
Para evitar dar facilidades en este sentido se pueden configurar nuestros sistemas para que Ãºnicamente utilicen el sistema de autenticaciÃ³n LanManager cuando se necesite. Para ello deberemos igualar la variable LMCompatibilityLevel a 1 en:
```
HKLM\System\CurrentControlSet\Control\LSA
```
Proteger adecuadamente el registro de usuarios no autorizados.
Hacer copias periÃ³dicas del mismo con la utilidad REGBACK.EXE. Obviamente, las copias deberÃan estar guardadas en un lugar seguro, pues en ellas va toda la informaciÃ³n sensible de nuestra mÃ¡quina.

AuditorÃas

El sistema de AuditorÃa de Windows NT permite rastrear sucesos que ocurren en una mÃ¡quina NT, tanto servidor como estaciÃ³n de trabajo. Las auditorÃas son esenciales para mantener la seguridad de los servidores y redes. AdemÃ¡s de permitir un seguimiento de las actividades realizadas por los usuarios.

La polÃtica de auditorÃas se establece en cada mÃ¡quina NT. Se pueden realizar tres tipos de auditorÃas en NT:

AuditorÃa de cuentas de usuario

Rastrea los sucesos de seguridad y escribe apuntes en el registro de seguridad. Se activa en Administrador de usuarios en dominios/ Directivas/AuditorÃa/Plan de auditorÃas.

Los sucesos que se pueden auditar son:

Inicio y cierre de sesiÃ³n.
Acceso a ficheros, directorios o impresoras.
Ejercicio de los derechos de un usuario.
Seguimiento de procesos.
Inicio, reinicio y apagado del sistema.

AuditorÃa del sistema de archivos

Rastrea sucesos del sistema de archivos. Esta opciÃ³n se activa en Propiedades, tras pulsar con el botÃ³n derecho sobre el fichero o directorio que se desee auditar y luego seleccionando Seguridad/ AuditorÃas.

Los sucesos que se pueden auditar son: Lectura, Escritura, EjecuciÃ³n, EliminaciÃ³n, Cambio de permisos y Toma de posesiÃ³n.

AuditorÃa de impresoras

Primero se establece la polÃtica de auditorÃas pinchando dos veces en la impresora en cuestiÃ³n, dentro del menÃº Impresoras, y luego seleccionando Seguridad/AuditorÃas.

Algunos de los eventos que se pueden auditar son: Uso de la impresora, Cancelar trabajos de impresiÃ³n, Control total, etc.

Se debe tener derechos de administrador para configurar propiedades de auditorÃa.

Una vez que se activa una auditorÃa se utiliza el Registro de seguridad del Visor de sucesos que se encuentra dentro del menÃº de Inicio Herramientas administrativas, para ver los eventos auditados.

Se deberÃa tener cuidado y proteger los archivos de auditorÃa que estÃ¡n almacenados en el directorio %SystemRoot% $\backslash$ system32 $\backslash$ config, en los archivos:

APPEVENT.EVT:: Registro de sucesos de aplicaciones.
SECEVENT.EVT:: Registro de sucesos de seguridad.
SYSEVENT.EVT:: Registro de sucesos del sistema.

Algo muy importante a la hora de mirar los registros es que la mÃ¡quina tenga la hora correcta, ya que si tenemos que comparar sus registros con los de otras mÃ¡quinas: si ambas no estÃ¡n sincronizadas serÃ¡ muy difÃcil. Para esto deberÃa usar NTP (Network Time Protocol) que sirve para poner en hora ordenadores y mantenerlos sincronizados (http://www.rediris.es/ntp/).

Seguridad en Red

Protocolos de Red

Debemos instalar sÃ³lo los protocolos que vayamos a necesitar. En principio y salvo que tengamos necesidad de usar mÃ¡s protocolos, deberÃamos usar uno de estos dos:

NetBEUI
TCP/IP

NetBEUI es un protocolo de red no enrutable, sÃ³lamente Ãºtil para redes de pequeÃ±o tamaÃ±o. TCP/IP es el lÃder indiscutible en cualquier tipo de red. Con cualquiera de estos dos protocolos el servicio que estamos ofreciendo a la red es el llamado SMB (Bloques de Mensajes de Servidor), de Microsoft, tambiÃ©n conocido como Cliente de redes Microsoft, y que bÃ¡sicamente proveen servicios de archivos y red. Estos servicios estÃ¡n instalados por defecto normalmente.

Los servicios TCP/IP de Internet como servidores Web y FTP, se pueden instalar de modo opcional en Windows NT.

Puede verse un resumen de puertos TCP/IP junto con su descripciÃ³n en la pÃ¡gina .

Conviene tener abiertos el menor nÃºmero de servicios posibles. Al ser estos opcionales, no vienen instalados por defecto y hay que instalarlos a posteriori. Salvo que se necesiten y que se sepa lo que se estÃ¡ haciendo, conviene no instalar ninguno.

TambiÃ©n se pueden configurar las opciones de seguridad TCP/IP para permitir o bloquear la direcciÃ³n del/los puerto/s que se necesiten segÃºn los servicios que se quieran utilizar. Para hacer esto, siga la siguiente secuencia:

1.: Panel de Control/Red/Protocolos/Protocolo TCP/IP/Propiedades/ Avanzadas
2.: Marque Activar seguridad
3.: Pulse el botÃ³n Configurar
4.: Seleccione el adaptador correspondiente y marque el nÃºmero de puerto/s del servicio/s que quiera permitir.

Service Pack's

Los Service Pack (SP) no son mÃ¡s que un conjunto de parches que Microsoft saca de vez en cuando para solucionar fallos, dar nuevas funcionalidades, etc. Lo bueno de estos parches es que de una sola vez se aplican todos (a veces mÃ¡s de 100) rÃ¡pida y fÃ¡cilmente. El sistema es muy similar a los clusters de parches recomendados de Sun.

Todo NT deberÃa tener instalado al menos el penÃºltimo SP. En el momento de escribir esta guÃa, el Ãºltimo Service Pack es el 6a. Microsoft se ha comprometido a sacar un Service Pack 7 que resuelva aÃºn mÃ¡s fallos.

Los Service Pack's son independientes del tipo de NT 4.0 que haya instalado, por lo que son los mismos para Workstation, Server, Server Enterprise, etc.

Si despuÃ©s de instalar un Service Pack instala algÃºn servicio, controlador o programa que altere de forma significativa Windows NT (Microsoft Office, sistemas de bases de datos, etc.), es muy recomendable que reinstale el Service Pack para asegurarse de que la aplicaciÃ³n no ha sobreescrito ningÃºn fichero con una versiÃ³n anterior.

Y para terminar, un consejo:

Nunca instale un SP en otro idioma que no sea el de la instalaciÃ³n del sistema operativo. TendrÃ¡ que reinstalar el sistema.

Cortafuegos

Cuando se conecta un sistema Windows a Internet existe el peligro potencial de los protocolos SMB. Si hay carpetas compartidas SMB en la red que conecta a Internet, potencialmente cualquiera de los usuarios de Internet puede acceder a las carpetas o secuestrar sesiones. AdemÃ¡s, hay problemas de seguridad intrÃnsecos a los protocolos. A continuaciÃ³n se describe como desactivar estos servicios apropiadamente:

1.: Panel de Control/Red/Enlaces.
2.: Seleccione Todos los servicios en la caja de texto correspondiente a Mostrar enlaces.
3.: Expanda las opciones TCP/IP bajo las cabeceras: NetBIOS, Server y Workstation.
4.: Seleccione el adaptador a desactivar y pulsar el botÃ³n Desactivar.

Consideraciones generales

No conviene que NT estÃ© instalado en una mÃ¡quina con arranque dual, ya que esto harÃa que muchas de sus garantÃas de seguridad perdieran efectividad.

Es casi obligado que la particiÃ³n del sistema sea NTFS. No hay ningÃºn motivo por el que NT haya de instalarse en una particiÃ³n FAT.

Conviene dar a cada uno de los usuarios del sistema unas ciertas normas sobre el uso de la mÃ¡quina que podrÃa empezar con la frase de "Todo lo que no estÃ© explÃcitamente permitido, estÃ¡ prohibido" y continuar explicando todo lo que estÃ¡ permitido. Si se dejan las cosas claras desde un principio, nos ahorraremos muchos quebraderos de cabeza.

Administrador no hay mÃ¡s que uno. Aunque NT permite que haya varios administradores para tareas determinadas, es muy importante delimitar estas tareas al mÃ¡ximo si mÃ¡s de una persona administrarÃ¡ la mÃ¡quina o dominio NT. A medida que el numero de administradores tiende a infinito, la funcionalidad en la mÃ¡quina tiende a cero.

Los usuarios solo deben tener los privilegios necesarios para ser usuarios. En un exceso de celo, podemos cometer el error de limitar demasiado los privilegios de los usuarios. Esto hace que el usuario no pueda usar la mÃ¡quina normalmente y perdamos de vista el objetivo por el que hacemos todo esto. Por otro lado, si los usuarios tienen excesivos privilegios (algunos administradores irresponsables lo permiten para no tener que hacer las cosas ellos y que las hagan los usuarios) nos podemos encontrar que por desconocimiento, experimentaciÃ³n o maldad se cause daÃ±o al sistema.

IRIS CERT

GuÃ­a bÃ¡sica de seguridad de Windows NT

GuÃa bÃ¡sica de seguridad de Windows NT