> For the complete documentation index, see [llms.txt](https://b4zh.gitbook.io/b4zh/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://b4zh.gitbook.io/b4zh/windows/seguridad-en-windows.md). # SEGURIDAD EN WINDOWS En pentesting un entorno de Windows AD, tiene más seguridad que un entorno Linux. *** * AISLAMIENTO DEL NÚCLEO: Mecanismo de defensa y protección para los componentes más críticos del sistema Operativo, empleando virtualización de hardware con Hyper-V (hipervisor nativo de Windows) para crear una especie de caja segura que aisla el núcleo de programas maliciosos que intentan modificar el kernel. Es decir que aunque el sistema sea infectado, al malware le costará llegar al núcleo. * INTEGRIDAD DE MEMORIA: Verifica la integridad de los controladores y demás software que interactua con el kernel aislado. Y bloquea aquellos que no están debidamente firmados o que tienen comportamiento sospechosos. Es un guardia de seguridad. * IMPORTANTE: ESTA CARACTERÍSTICA CONSUME MÁS RECURSOS, SE USA MÁS QUE TODO EN SERVIDORES, POR SU CAPACIDAD DE RECURSOS Y PORQUE SE REQUIERE QUE ESTOS ESTEN BIEN PROTEGIDOS. *** DEP (DATA EXECUTION PREVENTION / PREVENCIÓN DE EJECUCIÓN DE DATOS) Característica nativa de Windows que permite que no se pueda ejecutar malware desde la Memoria Principal/Memoria Ram. DEP hace lo siguiente: * DEP SEGMENTA: Divide la memoria RAM en 2 segmentos: * Almacenar: Un segmento para almacenar datos. * Ejecutar: Un segmento para ejecutar código * DEP PROTEGE: Marcas las áreas donde se almacenan los datos como NO ejecutables. Desde esas áreas no se puede ejecutar código. * DEP PREVIENE: Si un programa y proceso intenta ejecutar codigo en una de esas áreas protegidas, DEP detiene la ejecución. Previniendo ataques cómunes como un Buffer Overflow, donde se intenta ejecutar malware insertandolo en areas de datos. * DEP NOTIFICA: Si bloqueo una ejecución de código, notifica al usuario diciendole cual proceso fue el que intento la ejecución, ademas de detenerlo. DEP POR DEFECTO SOLO VIENE ACTIVADO PARA LOS SERVICIOS ESCENCIALES DE WINDOWS. PARA CONFIGURARLO ENTRAMOS EN: * Panel de control > Sistema > Configuración avanzada del aistema > Rendimiento > Configuración > Prevención de ejecución de datos Desde aqui podremos ACTIVAR DEP para todos los programas y servicios, EXCEPTO los que selecciones, por ejemplo, que haiga conflicto con un programa de terceros. *** **DIRECTIVAS DE AUDITORÍA** Son una parte de las directivas de seguridad del sistema * **Directivas de seguridad en Windows:** Reglas y configuraciones que controlan las medidas de seguridad nativas y comportamiento del SO. Como: * Políticas de Cuenta (Requisitos de Contraseña o bloqueo de cuenta). * Asignación de derechos de usuarios (Quien puede hacer que en el SO). * Opciones de seguridad local (Firewall y UAC(User Access Control)) * **Directivas de Auditoría:** Forman parte de la auditoría de seguridad y se enfocan solo en el seguimiento y registro de eventos de seguridad. Define que actividades y eventos del sistema se deben registrar en los logs de seguridad. Por ejemplo: * El seguimiento de intentos de inicios de sesión correctos y erróneos. * Los cambios en la configuración de seguridad del sistema. * Las modificaciones del software. * El acceso a ficheros y directorios. Todos estos registros se pueden ver desde el Visor de Eventos. **ACCEDER A LA DIRECTIVA DE AUDITORÍA** * Abrir una venta de ejecución \[Win] + \[R] * Escribir `secpol.msc` * secpol = Security Policy / Política de Seguridad * msc = Microsoft Common Console Documents, formato de extensión de Microsoft usado para las consolas de administración que proporciona una GUI para el usuario y sirven para configurar políticas y servicios en Windows. * Directivas locales > Directivas de auditoría *** **VISOR DE EVENTOS** Todas las acciones del SO se almacenan en ficheros que se llaman REGISTROS DE EVENTOS que incluyen información sobre eventos del sistema como errores, advertencias o información operativa, son los LOGS. Desde el visor de eventos de pueden supervisar cualquier acción que nosotros u otro usuario realizo en el sistema. Destinado a las auditorías de seguridad: * Consultar los detalles sobre el acceso a recursos del sisitema. * Uso de privilegios * Cambios en la politica de seguridad * Diagnostico de problemas, si existe un incompatibilidad en el software que este presente en el sistema. * Para hacer análisis forense. LOS REGISTROS DEL VISOR DE EVENTOS SE PUEDEN MANIPULAR DESDE LA CLI, PERO ES MAS EFICIENTE USARLO DESDE LA GUIA * WIN + R = eventvwr.msc 4 CATEGORIAS PRINCIPALES: Pero nos centraremos en la categoría **Registros de Windows** que tiene las subcategorías: * Aplicación * Seguridad * Instalación * Sistema * Eventos reenviados Desde la categoría global veremos su: * Nombre * Tipo * Número de eventos * Tamaño de cada categoría En cada subcategoría veremos su: * Nivel: * Clasifica el evento registrado en base a un nivel deacuerdo a su gravedad o relevancia: * Error: problemas que requieren ser atendidos porque pueden estar afectando la estabilidad del sistema. * Advertencia: eventos no críticos, pero pueden sugerir problemas a futuro. * Información: eventos informativos sobre la operación normal del SO. Que todo va bien * Fecha y hora * Origen * Id. del evento: * No son únicos para cada registro. * Cada id representa un evento en específico. De forma general. * Categoría de la tarea Para ver más propiedades de los registros, lo hacemos donde doble clic sobre ellos. O Clic Derecho y Propiedades del evento. **EN LA SUBCATEGORÍA SEGURIDAD LA CLASIFICACIÓN DE LOS NIVELES CAMBIA, AQUÍ SOLO TENEMOS 2 POSIBLES NIVELES:** * Auditoría correcta: acciones correctas, no se detectan problemas de seguridad en en evento. * Auditoría fallida: intentos fallidos o no autorizados. **EN LA SUBCATEGORÍA INSTALACIÓN, IMPORTANTE EN ENTORNOS CORPORATIVOS CON WINDOWS SERVER COMO CONTROLADOR DE DOMINIO.** **EN LA SUBCATEGORÍA SISTEMA, REGISTROS RELACIONADOS CON SERVICIOS Y PROCEDIMIENTOS QUE HACE EL PROPIO WINDOWS A NIVEL DEL FUNCIONAMIENTO TRANSPARENTE DEL SISTEMA.** **EN LA SUBCATEGORÍA EVENTOS REENVIADOS SE ALMACENAN LOS REGISTROS DE CUALQUIER SUBCATEGORIA QUE NOS PUEDAN ENVIAR OTROS EQUIPOS. ESTO ESTA VACIO A MENOS QUE ESTES EN UNA RED CORPORATIVA O QUE HAYAS CONFIGURADO ESTO EN TU RED LOCAL.** * Buscar eventos con **Buscar...** * Por cualquier cadena de caracteres * Por ID del evento **PRINCIPALES IDs PARA LA SUBCATEGORÍA DE SEGURIDAD:** * 4624: Inicio de sesión exitoso. * 4625: Inicio de sesión fallido. * 4648: Intento de inicio de sesión utilizando credenciales explícitas. * Inicar sesión o ejecutar apliciones usando las credenciales de otro usuario. * 4672: Asignación de privilegios especiales durante el inicio de sesión. * 4720: Creación de una cuenta de usuario. * 4728: Se agregó un miembro a un grupo de seguridad habilitado para el dominio. * 4732: Se agregó un miebro a un grupo de seguridad local. * 4740: Cuenta de usuario bloqueada. * 4767: Cuenta de usuario desbloqueada. * 4771: Fallo de solicitud de ticket de Kerberos (pre-autenticación fallida). **OPTIMIZAR BUSQUEDA CREANDO UNA VISTA PERSONALIZADA.** *** DIRECTIVAS DE GRUPO Sirven para administrar y configurar de una manera centralizada los ajustes de los SO y aplicaciones en una red y aplicable solo a los grupos que se encuentren en las directivas de grupo. Usado principalmente en entornos corporativos Politicas para grupos de usuarios y grupos de PCs: * Controlar instalaciones de software. * Configurar ajustes de seguridad. * Personalizar entornos de trabajo * Centralizar las configuraciones para variosa activos dentro de un misma red en AD. ACCEDER A LAS DIRECTIVAS DE GRUPO: Buscar: Editar directiva de grupo 2 CATEGORIAS PRINCIPALES, DONDE SE DIVIDEN LAS POLITICAS YA ESTABLECIDAS: * Configuración del equipo * Configuración de software. * Permite especificar ajustes relacionados con la instalación, actualización y desinstalación de software. * Configuración de windows. * Se establecen las politicas especificas del SO. * Configuraciones de seguridad * Componentes de Windows. * Plantillas administrativas. * Contienen las opciones de configuración más detalladas para características y componentes especifico del SO y aplicaciones. Se configuran las politicas de usuario del PC * Configuración del usuario. * WAZAA :ghost: *** **BITLOCKER** Herramienta nativa de Windows para el cifrado de disco, disponible en versiones selectas de Windows, Pro, Enterprise y Education. Emplea el algoritmo de cifrado simétrico AES, que tiene 2 niveles de longitud de clave, de 128 bits y 256 bits. Para desbloquear una unidad de almacenamiento con BItLocker, se puede hacer uso de una contraseña que configuremos previamente en el proceso de cifrado, o con la integración de TPM Usado mayormente en entornos corporativos, más que todo por el cumplimiento de normativas RGPD o IPAA, donde se requiere que la información mantenga un alto nivel de confidencialidad, ya que entornos corporativos se trabaja con equipos que contiene información crítica. BitLocker a nivel usuario sirve para proteger tu PC de ciertos tipos de malware, como rootkits o bootkits, que intenten modificar el comportamiento de arranque del sistema. El rendimiento del sistema puede bajar un poco, debido a los procesos de cifrado y descifrado en las unidades de almacenamiento. Podemos activar bitlocker, ya sea en una partición de la unidad de almacenamiento. Pero en Windows 10 para activar bitlocker en el disco donde esta instalado el SO, que usualmente es C:, primero debemos ir a la política de grupo > Configuración del equipo > Plantillas administrativas > Componentes de Windows > Cifrado de Unidad BitLocker > Unidades del sistema operativo > Requerir autenticación adicional al iniciar > Lo habilitamos. Una vez activada ya podremos activar BitLocker en C: Lo que hicimos es permitir que se cifra el disco con BitLocker sin usar el TPM. Recuerda que cuando cifras la unidad C: tienes que guardar la clave de cifrado en otra unidad, por ejemplo, una unidad extraíble como un almacenamiento USB. En Windows 11, automáticamente se cifra BitLocker con TPM, por lo que cuando arranque la máquina no te pedirá contraseña, esto suena inseguro, pero lo que hace TPM es que si por ejemplo alguien intente arrancar desde tu unidad de almacenamiento desde por ejemplo otro PC, aquel sujeto no podrá porque al verse modificada la forma en la que el SO está arrancando, el TPM entra en acción y no libera la clave de cifrado, impidiendo descifrar la unidad. Trusted Plataform Module (TPM): chip de seguridad integrado muchas computadoras modernas que proporciana funciones de seguridad a nivel de hardware. Proporciona un almacenamiento seguro de las claves de cifrado que se generan cuando se cifra una unidad de almacenamiento. Para asegurar la integridad del sistema. Más automatizado que usar una contraseña. En Windows 11 el TMP viene activado de forma transparente al usuario a menos que se cambie la configuración en el registro, por lo que en W11, BitLocker no te pedira que establezcas una contraseña, ya que el método de seguridad en este caso sería el TPM, lo que si tendrías que hacer al igual que en W10 es guardar la clave de recuperación en una unidad diferente a la unidad que estás cifrando.