Windows NT fue, según Microsoft, diseñado y desarrollado con la seguridad en mente; por lo tanto, podríamos pensar, "no tengo que preocuparme de su seguridad". Esto es falso.
Lo primero es que ningún programa nos va dar solución a la seguridad definitiva y total (y el que lo prometa miente). Todos tienen fallos y vulnerabilidades que para cuando son parcheados, el programa será tildado de obsoleto. Lo segundo es que la seguridad de un sistema depende en gran medida de nuestras políticas y de la configuración del sistema.
Esta guía trata las recomendaciones de configuración que se deben tener en cuenta si está usando Windows NT. No es objetivo de esta guía enseñarle a usar Windows NT, aunque sí se hace una pequeña introducción de los conceptos básicos para unificar términos.
Es un grupo lógico de máquinas que comparten cuentas de usuarios y seguridad de los recursos. Un dominio está integrado por una máquina NT servidor de dominio que administra las cuentas y recursos del dominio en cuestión, y/o servidores y/o estaciones de trabajo. Los usuarios de un mismo dominio tendrán un inicio de sesión único en el servidor del dominio para acceder a los recursos de cualquier parte de la red, una cuenta única para acceder a las máquinas del dominio, etc.
En las cuentas de los usuarios se establecen datos como el propietario de la misma, contraseña de acceso, localización de su directorio de inicio de sesión, grupo al que pertenece, etc. Windows NT distingue las cuentas locales y las cuentas de dominio:
Tanto si se hace login en un tipo de cuenta u otro, para acceder al menú de seguridad de la estación o el servidor (para cambiar el password, bloquear el terminal, o cierre de sesión e incluso del sistema) se debe teclear la siguientes combinación de teclas CTRL+ALT+SUPR.
Las cuentas que por defecto crea NT son la de Invitado (Guest), deshabilitada por defecto, y la de Administrador, para configuración y control de usuarios y recursos.
Las cuentas de usuarios se organizan en grupos. Cuando se añade un usuario a un grupo, el usuario tendrá los derechos y permisos asignados a ese grupo.
Windows NT distingue dentro del concepto de grupo, dos categorías: grupos locales y globales.
NT crea por defecto ciertos grupos locales, globales y de sistema con ciertos derechos ya adquiridos. Los grupos locales que existen por defecto en cualquier máquina NT son:
Si la máquina es servidora de dominio, además de los anteriores grupos locales, NT crea:
y además crea los siguientes grupos globales:
Admins. de dominio Usuarios de dominio Invitados de dominio
Los usuarios se convierten en miembros de los grupos del sistema automáticamente al acceder a la red. Los grupos de sistema en cualquier máquina NT son:
El administrador de la red debe establecer una política de passwords en la que se especifique:
La política se establece accediendo al menú del Administrador de usuarios para dominios/Directivas/Cuentas/Plan de cuentas
Para desbloquear una cuenta:
Administrador de usuarios para dominios/Usuario/Propiedades/Cuenta desactivada
También es útil establecer restricciones en el Administrador de usuarios para dominios como:
Los derechos de usuario definen qué pueden hacer los usuarios. Algunos de los derechos más comunes son:
Hay que tener en cuenta que es conveniente eliminar al grupo Todos el derecho de Acceder a este equipo desde la red.
Los permisos definen qué recursos pueden usar los usuarios o grupos de usuarios, entendiendo por recurso un fichero, directorio o una impresora. Los permisos controlan el acceso a directorios y ficheros locales y compartidos en la red y son configurados por el administrador o por el propietario de los mismos. Hay permisos estándar y permisos individuales. Los permisos estándar son una combinación de los permisos individuales.
Permisos estándar |
Permisos individuales | Permisos para nuevos ficheros |
Sin acceso | Ninguno | Ninguno |
Listar | R, X | - |
Lectura | R, X | R,X |
Añadir | W, X | - |
Añadir y Lectura | R, W, X | R, X |
Cambio | R, W, X, D | R, W, X, D |
Control total | Todo | Todo |
Permisos estándar para archivos | Permisos individuales |
Sin acceso | Ninguno |
Lectura | R, X |
Cambio | R, X, W, D |
Control Total | Todos |
Así, los directorios %SystemRoot% (normalmente C:
Winnt),
%SystemRoot%
System32 y %SystemRoot%
Temp,
tienen respectivamente derechos de Control total, Cambio y
Control total, para el grupo Todos.
Para corregirlo, una vez comprobado que el Administrador tiene Control
total sobre los mismos, cambiar a sólo Lectura %SystemRoot% sin propagar
estos cambios a los subdirectorios, y %SystemRoot%
System32 a
sólo Lectura propagándolos, con la precaución de poner permiso de Cambio
a Todos a %SystemRoot%
System32
RAS y
%SystemRoot%
System32
spool
Printer.
De la misma manera, el volumen C: donde se encuentran ficheros relacionados con el arranque de la máquina, debería formatearse NTFS y los ficheros críticos deberían tener:
C:
boot.ini
Control total para Administradores y Sistema.
C:
ntdetect.com
Control total para Administradores y
Sistema.
C:
autoexec.bat
Control total para Administradores y
Sistema y Lectura a Todos.
C:
config.sys
Control total para Administradores y
Sistema y Lectura a Todos.
Y muy importante, cuando se formatea un volumen con NTFS, el grupo Todos adquiere Control total del volumen. Cuidado con los permisos por defecto.
Para compartir recursos de red sólo tendremos que pinchar con el botón derecho sobre un directorio o una impresora y veremos una opción que será Compartir. Nos aparecerá un menú desde donde podremos compartir el recurso.
Los recursos de la red se comparten de forma segura con los siguientes permisos:
Cuando se combinan los permisos de recursos compartidos y los permisos del volumen NTFS, prevalecen los más restrictivos.
El registro es una base de datos que mantiene información sobre la configuración hardware, software y de entorno de la máquina. Se puede ver con REGEDT32. Por defecto, Windows NT 4.0 no permite el acceso remoto al registro por defecto.
El Registro de NT es un arma muy poderosa para poder configurar correctamente determinados parámetros de nuestra máquina. Se ha de tener un especial cuidado a la hora de trabajar directamente con el editor del registro, ya que la introducción de valores erróneos puede acarrear problemas al sistema. El entorno ideal para estos casos sería contar con una máquina de pruebas, y tras comprobar que no existen problemas, proceder a la modificación del Registro en el resto de sistemas.
Es conveniente:
Nota: A partir de ahora se utilizará HKLM como abreviatura de
HKEY_LOCAL_MACHINE.
HKLM\SYSTEM\CurrentControlSet\Control\SecurePipeServers\WinReg
Asegúrese de que sólo el grupo de Administradores tiene como permisos de seguridad Control total sobre esta clave. Puede ver los permisos que tiene una clave del registro situándose sobre ella y pulsando en el menú Seguridad, la opción Permisos.
La instalación del Service Pack 3 para Windows NT 4.0 desactiva la posibilidad de que un usuario anónimo se conecte al registro remotamente. Como un recordatorio, Windows NT 4.0 restringe el acceso remoto al registro a los usuarios de dominio usando las listas de control de acceso (los permisos) asociadas a esta clave de registro.
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Esta modificación, evitará saltarse el cuadro de diálogo de autenticación a través de los valores DefaultUsername, DefaultPassword y DefaultDomain. Esta característica es posible si se ha configurado el AutoAdminLogon para evitar tener que teclear la contraseña cada vez que se inicie la sesión (práctica a todas luces poco recomendable).
HKLM\SYSTEM\CurrentControlSet\Services\RemoteAccess
HKLM\SYSTEM\CurrentControlSet\Control\LSA
En el primer caso estaremos habilitando la auditoría de los servicios de acceso remoto. Con la segunda variable, conseguiremos auditar todos los derechos de usuarios, que nos ayudará a poder controlar si algún usuario utiliza ciertos derechos administrativos para acceder a ficheros confidenciales o que conlleven riesgos al sistema.
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
e indicar el texto de advertencia en LegalNoticeText.
Con estás dos entradas podremos habilitar que aparezca una ventana con un aviso cada vez que se inicie la sesión. Esta práctica se recomienda en entornos corporativos, y puede contener avisos legales, consejos, o normas internas, que pueden prevenir un mal uso de la red y reprimir intentos de sabotajes.
HKLM\SOFTWARE\Microsoft\WindowsNT\Current\Version\Winlogon
Esta modificación evitará que el sistema muestre en la ventana de autenticación el nombre del último usuario. De sobra es conocido que los nombres de usuarios son pieza codiciada por los crackers a la hora de poder proceder a distintos tipos de ataque, como el de fuerza bruta. Es por ello que además de esta modificación, recomendamos renombrar las cuentas de usuarios que vienen por defecto en Windows NT, como pueda ser la de Administrador.
HKLM\SYSTEM\CurrentControlSet\Control\SessionManager\MemoryManagement
Con este valor conseguiremos que el archivo que almacena la memoria virtual del sistema se borre automáticamente tras salir de una sesión. Esta característica evita que un posible atacante acceda a este archivo y recoja información confidencial.
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Con estas dos entradas se consigue desactivar las disqueteras y las unidades de CD-ROM respectivamente. En determinados entornos se aconseja esta práctica, para impedir la grabación de datos, o la ejecución e instalación de software. Tampoco podemos olvidar que también suelen ser entrada habitual de los virus informáticos.
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Esta modificación, evitará saltarse el cuadro de diálogo de autenticación a través de los valores DefaultUsername, DefaultPassword y DefaultDomain. Esta característica es posible si se ha configurado AutoAdminLogon para evitar tener que teclear la contraseña cada vez que se inicie la sesión.
HKLM\SOFTWARE\Microsoft\WindowsNT\CurrentVersion\Winlogon
Con este valor conseguiremos que no se pueda apagar un sistema NT sin iniciar una sesión. Esta posibilidad presenta un problema de seguridad que se agrava en el caso de los servidores cuya ubicación física no esté protegida. Si esta característica estuviera habilitada, cualquiera podría apagar el sistema desde el cuadro de diálogo de autenticación, con la consecuente pérdida de servicios y recursos para los clientes que estuvieran haciendo uso de ellos.
HKLM\System\CurrentControlSet\Services\LanmanServer\Parameters
y ponerle un valor de cero.
Esta será la entrada correcta en el caso de que estemos en un NT Server. Para las versiones NT Workstation, la variable tendrá que llamarse AutoShareWks.
HKLM\System\CurrentControlSet\Control\LSA
Iniciar una sesión nula, o sesión anónima, permite obtener
información sensible sobre la máquina y el dominio en el que se encuentra,
como pueden ser nombres de usuario, grupos, recursos
compartidos, propiedades de las passwords, etc. Por defecto NT permite
las credenciales nulas contra el recurso
nombreservidor
IPC$, que toda
máquina NT comparte para que otras máquinas usen recursos y se autentiquen
en ellas (su nombre tecnico es InterProcess Communication, IPC's). Aunque
es algo imprescindible en cualquier máquina NT, no es en absoluto
adecuado que cualquier usuario no autenticado pueda acceder a información
del dominio y/o la máquina.
Esta misma vía se puede utilizar con malas intenciones, por ejemplo, a través del comando NET USE, para recopilar información de cara a un posterior ataque. Se puede forzar la autenticación en este tipo de sesiones mediante la activación de la variable RestrictAnonymous.
Para evitar dar facilidades en este sentido se pueden configurar nuestros sistemas para que únicamente utilicen el sistema de autenticación LanManager cuando se necesite. Para ello deberemos igualar la variable LMCompatibilityLevel a 1 en:
HKLM\System\CurrentControlSet\Control\LSA
El sistema de Auditoría de Windows NT permite rastrear sucesos que ocurren en una máquina NT, tanto servidor como estación de trabajo. Las auditorías son esenciales para mantener la seguridad de los servidores y redes. Además de permitir un seguimiento de las actividades realizadas por los usuarios.
La política de auditorías se establece en cada máquina NT. Se pueden realizar tres tipos de auditorías en NT:
Rastrea los sucesos de seguridad y escribe apuntes en el registro de seguridad. Se activa en Administrador de usuarios en dominios/ Directivas/Auditoría/Plan de auditorías.
Los sucesos que se pueden auditar son:
Los sucesos que se pueden auditar son: Lectura, Escritura, Ejecución, Eliminación, Cambio de permisos y Toma de posesión.
Para auditar ficheros y directorios, éstos deben estar localizados en un volumen NTFS.
Algunos de los eventos que se pueden auditar son: Uso de la impresora, Cancelar trabajos de impresión, Control total, etc.
Se debe tener derechos de administrador para configurar propiedades de auditoría.
Una vez que se activa una auditoría se utiliza el Registro de seguridad del Visor de sucesos que se encuentra dentro del menú de Inicio Herramientas administrativas, para ver los eventos auditados.
Se debería tener cuidado y proteger los archivos de auditoría que están
almacenados en el directorio
%SystemRoot%
system32
config, en los archivos:
NetBEUI es un protocolo de red no enrutable, sólamente útil para redes de pequeño tamaño. TCP/IP es el líder indiscutible en cualquier tipo de red. Con cualquiera de estos dos protocolos el servicio que estamos ofreciendo a la red es el llamado SMB (Bloques de Mensajes de Servidor), de Microsoft, también conocido como Cliente de redes Microsoft, y que básicamente proveen servicios de archivos y red. Estos servicios están instalados por defecto normalmente.
Los servicios TCP/IP de Internet como servidores Web y FTP, se pueden instalar de modo opcional en Windows NT.
Puede verse un resumen de puertos TCP/IP junto con su descripción en la
página .
Conviene tener abiertos el menor número de servicios posibles. Al ser estos opcionales, no vienen instalados por defecto y hay que instalarlos a posteriori. Salvo que se necesiten y que se sepa lo que se está haciendo, conviene no instalar ninguno.
También se pueden configurar las opciones de seguridad TCP/IP para permitir o bloquear la dirección del/los puerto/s que se necesiten según los servicios que se quieran utilizar. Para hacer esto, siga la siguiente secuencia:
Los Service Pack (SP) no son más que un conjunto de parches que Microsoft saca de vez en cuando para solucionar fallos, dar nuevas funcionalidades, etc. Lo bueno de estos parches es que de una sola vez se aplican todos (a veces más de 100) rápida y fácilmente. El sistema es muy similar a los clusters de parches recomendados de Sun.
Todo NT debería tener instalado al menos el penúltimo SP. En el momento de escribir esta guía, el último Service Pack es el 6a. Microsoft se ha comprometido a sacar un Service Pack 7 que resuelva aún más fallos.
Los Service Pack's son independientes del tipo de NT 4.0 que haya instalado, por lo que son los mismos para Workstation, Server, Server Enterprise, etc.
Si después de instalar un Service Pack instala algún servicio, controlador o programa que altere de forma significativa Windows NT (Microsoft Office, sistemas de bases de datos, etc.), es muy recomendable que reinstale el Service Pack para asegurarse de que la aplicación no ha sobreescrito ningún fichero con una versión anterior.
Y para terminar, un consejo:
Nunca instale un SP en otro idioma que no sea el de la instalación del sistema operativo. Tendrá que reinstalar el sistema.
Cuando se conecta un sistema Windows a Internet existe el peligro potencial de los protocolos SMB. Si hay carpetas compartidas SMB en la red que conecta a Internet, potencialmente cualquiera de los usuarios de Internet puede acceder a las carpetas o secuestrar sesiones. Además, hay problemas de seguridad intrínsecos a los protocolos. A continuación se describe como desactivar estos servicios apropiadamente:
No conviene que NT esté instalado en una máquina con arranque dual, ya que esto haría que muchas de sus garantías de seguridad perdieran efectividad.
Es casi obligado que la partición del sistema sea NTFS. No hay ningún motivo por el que NT haya de instalarse en una partición FAT.
Conviene dar a cada uno de los usuarios del sistema unas ciertas normas sobre el uso de la máquina que podría empezar con la frase de "Todo lo que no esté explícitamente permitido, está prohibido" y continuar explicando todo lo que está permitido. Si se dejan las cosas claras desde un principio, nos ahorraremos muchos quebraderos de cabeza.
Administrador no hay más que uno. Aunque NT permite que haya varios administradores para tareas determinadas, es muy importante delimitar estas tareas al máximo si más de una persona administrará la máquina o dominio NT. A medida que el numero de administradores tiende a infinito, la funcionalidad en la máquina tiende a cero.
Los usuarios solo deben tener los privilegios necesarios para ser usuarios. En un exceso de celo, podemos cometer el error de limitar demasiado los privilegios de los usuarios. Esto hace que el usuario no pueda usar la máquina normalmente y perdamos de vista el objetivo por el que hacemos todo esto. Por otro lado, si los usuarios tienen excesivos privilegios (algunos administradores irresponsables lo permiten para no tener que hacer las cosas ellos y que las hagan los usuarios) nos podemos encontrar que por desconocimiento, experimentación o maldad se cause daño al sistema.