Hardening de Windows en la empresa: 15 medidas básicas
Configuraciones de seguridad para equipos y servidores Windows que cierran las puertas más usadas por los atacantes, ordenadas por impacto.
Una instalación de Windows “de fábrica” prioriza la compatibilidad sobre la seguridad. El hardening o bastionado consiste en ajustar la configuración para reducir la superficie de ataque. No hace falta aplicar cientos de ajustes: un puñado de medidas bien elegidas cierra la mayoría de las técnicas que usan los atacantes para entrar y moverse por la red.
Prueba siempre los cambios en un grupo piloto antes de extenderlos a toda la empresa.
Cuentas y privilegios
1. Quita los permisos de administrador a los usuarios. Es la medida con mayor impacto. Un usuario sin privilegios no puede instalar la mayoría del malware ni desactivar la protección. Para las tareas puntuales que lo requieran, usa soluciones de elevación controlada.
2. Usa contraseñas únicas para el administrador local con LAPS. Si todos los equipos comparten la misma contraseña de administrador local, comprometer uno es comprometerlos todos. Windows LAPS genera y rota una contraseña distinta para cada equipo y la guarda en Active Directory o en Microsoft Entra ID.
3. Separa las cuentas de administración. Los administradores deben usar una cuenta normal para el día a día y otra distinta para administrar, nunca para leer el correo o navegar.
4. Protege las credenciales. Activa Credential Guard en los equipos compatibles y añade las cuentas privilegiadas al grupo Protected Users de Active Directory cuando sea posible.
Reducir la superficie de ataque
5. Activa las reglas ASR (Attack Surface Reduction) de Microsoft Defender. Bloquean comportamientos típicos del malware, como que Office cree procesos hijos, que se ejecuten scripts ofuscados o que se roben credenciales de LSASS. Empieza en modo auditoría, revisa el impacto y después actívalas en modo bloqueo.
6. Bloquea las macros de Office que vienen de internet. Microsoft ya lo hace por defecto en las versiones actuales, pero refuérzalo por directiva y no permitas que los usuarios lo desactiven.
7. Desactiva SMBv1 y los protocolos obsoletos. SMBv1 fue la vía de propagación de WannaCry y no tiene sentido en una red moderna.
8. Desactiva LLMNR y NetBIOS sobre TCP/IP si no los necesitas. Los atacantes los usan para capturar credenciales en la red local.
9. Restringe PowerShell a quien lo necesita y activa su registro (script block logging). PowerShell es una herramienta legítima muy usada por los atacantes, y sin registros es invisible.
10. Controla qué aplicaciones se ejecutan con App Control for Business (antes WDAC) o AppLocker, al menos en los servidores y en los equipos más expuestos.
Proteger los datos y el equipo
11. Cifra los discos con BitLocker y guarda las claves de recuperación de forma centralizada. Un portátil robado deja de ser una fuga de datos.
12. Mantén el firewall de Windows activado en todos los perfiles y bloquea las conexiones entrantes innecesarias entre puestos de trabajo. Los equipos de usuario rara vez necesitan hablar entre sí.
13. Limita el escritorio remoto (RDP). Nunca lo expongas directamente a internet. Actívalo solo donde haga falta, con autenticación a nivel de red (NLA), y accede a través de una VPN o una pasarela con MFA.
Actualizaciones y visibilidad
14. Automatiza las actualizaciones de Windows y de las aplicaciones de terceros: navegadores, lectores de PDF, Java, herramientas de compresión… Muchos ataques explotan fallos ya corregidos hace meses.
15. Activa una política de auditoría que registre inicios de sesión, cambios de cuentas y grupos, creación de procesos y uso de privilegios, y envía esos registros a un sistema central. Sin registros, no podrás investigar un incidente.
Cómo aplicarlo de forma ordenada
- Parte de una referencia: las security baselines de Microsoft o los benchmarks del CIS, en lugar de inventar la configuración desde cero.
- Aplica por directivas centralizadas (GPO o Intune), nunca equipo a equipo.
- Usa anillos de despliegue: primero IT, después un grupo piloto de usuarios y luego el resto.
- Documenta las excepciones y revísalas periódicamente.
- Mide: herramientas como Microsoft Secure Score o las comprobaciones del CIS ayudan a ver el progreso.
Preguntas frecuentes
¿Esto sustituye al antivirus o al EDR? No. El hardening reduce las oportunidades del atacante; el EDR detecta y responde cuando algo pasa. Se complementan.
¿Y los servidores? Aplican las mismas ideas, con más rigor: sin navegación web, con los mínimos servicios y roles instalados, y con acceso de administración solo desde equipos dedicados.