(Gp:) La base de datos de configuración de seguridad SCW identifica los servicios y puertos que se requieren para cada rol o función
(Gp:) SCW analiza el servidor seleccionado para los roles y funciones instalados para identificar los servicios y puertos que se requieren
(Gp:) SCW le permite habilitar o deshabilitar cualquier identificador adicional o servicios no identificados
(Gp:) SCW configura al Firewall de Windows al utilizar los roles y servicios que usted elija
(Gp:) Después de crear la política usted puede aplicarla a uno o más servidores o utilizarla para crear un GPO
Configurar servicios utilizando el Asistente de configuración de seguridad
Determinar dependencias de servicio (Gp:) Hacer clic en la pestaña Dependencias
(Gp:) Abrir el cuadro de Propiedades de servicio
(Gp:) Abrir la consola de servicios
Demo 2: Configurar servicios utilizando el Asistente de configuración de seguridad Utilizar el Asistente de configuración de seguridad para configurar servicios y el Firewall de Windows
Auditar la seguridad Los administradores deberán establecer una política de auditoría Cuando establezca una política de auditoría: Analice el modelo de amenaza Considere los requisitos normativos y legales de su organización Considere las capacidades del sistema y del usuario Pruebe y perfeccione la política Separe el rol de auditoría de seguridad del rol de administración de la red Considere utilizar herramientas de supervisión de registro centralizado tales como : Microsoft Operations Manager (MOM) EventCombMT Analizador de registro SNMP
Configuración de Política de auditoria recomendada para los Servidores miembros
Demo 3: Utilizar EventCombMT para ver registros del evento Utilizar EventCombMT para ver Registros del evento desde múltiples servidores
Supervisión de seguridad al utilizar MOM MOM recopila eventos de seguridad desde PCs o dispositivos administrados MOM analiza los eventos recopilados y aumenta las alertas para eventos importantes PCs administrados PCs administrados Base de datos MOM Consola Web de MOM Consola del administrador de MOM Consola del operador de MOM Servicios de generación de informes de MOM Servidor de administración de MOM
(Gp:) Limite el número de administradores y el nivel de permisos administrativos
(Gp:) Ejecute servicios con una cuenta del sistema que tenga los menos permisos posibles
(Gp:) Reduzca la superficie de ataque
(Gp:) Utilice Active Directory para ejecutar la seguridad del servidor
(Gp:) Tenga un plan de respuesta de emergencia
Mejores prácticas para asegurar servidores (Gp:) Aplique los paquetes de servicio más recientes y las actualizaciones de seguridad
Implementar seguridad avanzada para clientes Proteger Active Directory Implementar seguridad avanzada para los servidores Implementar seguridad avanzada para los clientes Proporcionar seguridad de datos Métodos para ofrecer seguridad de cliente móvil. Resolver los problemas de las configuraciones de seguridad
Utilizar plantillas de seguridad en los clientes Las plantillas de seguridad pueden también definir configuraciones de política para asegurar a los PCs cliente que se ejecutan en una plataforma de Windows
Utilizar políticas de cuentas a nivel dominio Políticas de cuenta Políticas de desbloqueo de cuentas Las políticas de cuentas se aplican a nivel dominio y afectan todas las cuentas del dominio Dominio Políticas Kerberos
(Gp:) Importe las plantillas predeterminadas en un GPO y modifíquelas de ser necesario
(Gp:) Implemente las plantillas de seguridad utilizando los objetos de la Política de grupo
(Gp:) Examine las plantillas de seguridad en la Guía de seguridad de Windows XP v2
Implementar plantillas de seguridad en los clientes
Asegurar los clientes heredados Los clientes de Windows 2000 pueden utilizar plantillas de seguridad implementadas a través de la Política de grupo Configure otros clientes al utilizar secuencias de comandos o archivos de políticas: Utilice secuencias de comandos de inicio de sesión Utilice políticas del sistema Secuencias de comandos
Escenarios de implementación
*Estos lineamientos de seguridad se pueden implementar total o parcialmente a través de políticas centralizadas Lineamientos de seguridad para los usuarios Elija contraseñas complicadas* ü Proteja las contraseñas ü Cierre los PCs desatendidos* ü No inicie sesión utilizando una cuenta privilegiada ü Ejecute sólo programas confiables* ü No abra archivos adjuntos sospechosos* ü No caiga presa de la ingeniería social ü Revise las políticas de seguridad de su organización ü No trate de invalidar las configuraciones de seguridad* ü Informe los incidentes sospechosos ü
Proporcionar seguridad a los datos Proteger Active Directory Implementar seguridad avanzada para los servidores Implementar seguridad avanzada para los clientes Proporcionar seguridad a los datos Métodos para ofrecer seguridad de cliente móvil. Resolver los problemas de las configuraciones de seguridad
Roles y limitaciones de Permisos de archivo Tienen la finalidad de evitar el acceso no autorizado Los administradores pueden obtener acceso no autorizado No se proteja contra intrusos con el acceso físico La encriptación ofrece seguridad adicional
Roles y limitaciones del Sistema de archivos encriptados Beneficios de la encriptación EFS Asegura la privacidad de la información Utiliza tecnología clave pública y robusta Peligro de encriptación Se pierde todo el acceso a los datos si se pierde la clave privada Claves privadas en PCs cliente Las claves se encriptan con el derivado de la contraseña del usuario Las claves privadas son sólo tan seguras como la contraseña Las claves privadas se pierden cuando se pierde el perfil del usuario
Diferencias del sistema de archivo encriptado entre las versiones de Windows Windows 2000 y las nuevas versiones de Windows dan soporte a EFS en las particiones NTFS Windows XP y Windows Server 2003 incluyen nuevas funciones: Se puede autorizar a usuarios adicionales Se pueden encriptar archivos fuera de línea El algoritmo de encriptación 3DES puede reemplazar a DESX Se puede utilizar un disco para restablecer la contraseña EFS conserva la encriptación sobre WebDAV Se recomiendan los agentes de recuperación de datos Se mejora la capacidad de uso
Implementar el sistema de archivos encriptados: Cómo hacerlo de manera adecuada Utilice la Política de grupo para deshabilitar EFS hasta que esté listo para la implementación central Planee y diseñe políticas Nombre agentes de recuperación Asigne certificados Implemente al utilizar la Política de grupo
Demo 4: Configurar EFS Configurar los Agentes de recuperación de datos Encriptar archivos Desencriptar archivos Compartir un archivo encriptado
Entender Rights Management Services RMS protege y mejora la seguridad de los datos para los siguientes escenarios: Proteger mensajes confidenciales de correo electrónico Integrar derechos de documentos Proteger contenido confidencial de intranet NO ofrece: Seguridad irrompible a prueba de agresores Protección contra ataques analógicos
Componentes de la Tecnología de Windows RMS Componentes de servidor
Windows RMS para Windows Server 2003 Kits de desarrollo de software (SDKs) Componentes cliente Software cliente de Windows Rights Management Aplicaciones habilitadas por RMS Microsoft Office Professional 2003 Complementos de RM para Internet Explorer SDKs
Cómo trabaja Windows RMS Autor de la información Destinatario de la información 1 2 4 6 8 9 3 5 (Gp:) Active Directory (Gp:) Servidor de bases de datos (Gp:) Servidor RMS
7
Mejoras a Rights Management Service SP1 Soporte para servidores que no están conectados a Internet Certificado contra normas de la industria y el gobierno Soporta la autenticación basada en Smartcard Ofrece un caja de seguridad para el servidor Mejora la seguridad dinámica basada en roles con soporte para Grupos basados en consultas en Exchange 2003 Mejora el acceso remoto al utilizar Outlook RPC sobre HTTP Facilita la implementación de la instalación distribuida a través de las tecnologías de instalación familiares de Microsoft
Demo 5: Windows Rights Management Service Utilizar RMS para proteger datos
Métodos para proporcionar seguridad a los clientes móviles Proteger Active Directory Implementar seguridad avanzada para los servidores Implementar seguridad avanzada para los clientes Proporcionar seguridad de datos Métodos para proporcionar seguridad a los clientes móviles Resolver los problemas de las configuraciones de seguridad
Descripción general de la seguridad del cliente móvil Internet LAN VPN Clientes inalámbricos Clientes VPN Clientes de correo remoto Clientes por marcación
OWA Necesita asegurar: Acceso al dispositivo Acceso a los datos almacenados Acceso a la red
Retos de la Política de grupo para clientes remotos Los clientes pueden no ser miembros del dominio: La política de grupo aplica sólo a miembros del dominio Considere una VPN con acceso limitado a la red Considere el Control de cuarentena de acceso a la red Las configuraciones de la Política de grupo se pueden actualizar sólo cuando se conectan los clientes Planee disminuir el ritmo si las configuraciones de la Política de grupo se aplican sobre vínculos lentos
Asegurar el acceso al correo electrónico para los clientes remotos Acceso nativo a Outlook RPC sobre HTTP(S) OWA: Métodos de autenticación Encriptación POP3, IMAP y SMTP OMA Utilice SSL para todos los protocolos de Internet
Soporte de seguridad para el Cliente inalámbrico Windows XP Ofrece soporte nativo para 802.1X Windows 2000: 802.1X deshabilitado de manera predeterminada La configuración requiere utilidad de terceros No hay perfiles específicos del usuario No puede utilizar la Política de grupo para establecer configuraciones
Soporte de cliente inalámbrico de Windows XP SP2 y Windows Server 2003 SP1 Asistente de instalación de red inalámbrica Se utiliza para configurar y distribuir configuraciones de red inalámbricas Servicios de aprovisionamiento inalámbrico (WPS) Se utilizan para automatizar la configuración de clientes de red inalámbrica al crear un archivo que configuración que se descarga desde el servidor WPS Políticas de red inalámbrica (IEEE 802.11) Se utilizan para establecer la configuración de cliente inalámbrico al utilizar la Política de grupo Mejoras a las Políticas de red inalámbrica de Windows Server 2003 SP1 Amplía el soporte de la Política de grupo para administrar las configuraciones WPA para los clientes inalámbricos
(Gp:) Proteja los dispositivos móviles con contraseñas
(Gp:) No almacene información de acceso a la red en el dispositivo
(Gp:) Mantenga actualizado el software antivirus
(Gp:) Encripte los datos almacenados en el dispositivo
(Gp:) Limite los datos almacenados en el dispositivo
(Gp:) Implemente un procedimiento de respaldo regular
(Gp:) Implemente políticas para tratar con los dispositivos perdidos o robados
Mejores prácticas para los usuarios de clientes móviles
(Gp:) Requiere que los usuarios móviles utilicen una conexión a la VPN encriptada
(Gp:) Requiere autenticación de factor múltiple cuando sea posible
(Gp:) Requiere autenticación de certificado para el acceso al cliente móvil
(Gp:) Requiere revisión periódica de los registros de auditoría
(Gp:) Requiere fuerte autenticación para la operación en red inalámbrica
Mejores prácticas de la seguridad del cliente móvil
Resolver problemas con las configuraciones de la seguridad Proteger Active Directory Implementar seguridad avanzada para los servidores Implementar seguridad avanzada para los clientes Proporcionar seguridad de datos Métodos para ofrecer seguridad de cliente móvil. Resolver problemas con las configuraciones de la seguridad
Resolver conflictos con las plantillas de seguridad Utilizar las herramientas del conjunto resultante de directivas (RSoP) Herramientas de administración de Active Directory Resultados de la Política de grupo desde el GPMC GPResult Vea el artículo de la Knowledge Base, “Incompatibilidades del cliente, servicio y programa que puede ocurrir cuando modifica las configuraciones de seguridad y las asignaciones de derechos de usuario" en el sitio Web de soporte y ayuda de Microsoft
Resolver los problemas de las fallas de la aplicación Aplicar revisiones de seguridad o plantillas de seguridad puede evitar que las aplicaciones trabajen Herramientas para resolver los problemas de las fallas de la aplicación Supervisor de red Supervisor de archivo Supervisor de registro Dependency Walker Cipher
Resolver problemas de servicios y procesos Puede necesitar resolver problemas de servicios: Cuando los servicios y los procesos no inician Para confirmar que todos los servicios y procesos son legítimos Herramientas para resolver problemas de procesos: Tlist.exe o Explorador de procesos Dependency Walker Examine las propiedades de DLL
Resolver problemas de la conectividad a la red Asegúrese que sólo se abran los puertos requeridos en los PCs Herramientas para determinar el uso de puertos: Reporteador del puerto PortQry y PortQryUI TCPView Netstat -o (en Windows XP o Windows Server 2003) Administrador de la tarea Probar el uso del puerto para aplicaciones y servicios
(Gp:) Utilice una estrategia formal de administración de cambios y configuración
(Gp:) Pruebe todos los cambios en la configuración de seguridad
(Gp:) Utilice las herramientas de RSoP en el modo de planeación
(Gp:) Documente las configuraciones normales
(Gp:) Siempre realice un respaldo completo del sistema antes de aplicar plantillas de seguridad
(Gp:) Resuelva los problemas existentes antes de hacer más cambios
(Gp:) Resuelva problemas de manera segura
Mejores prácticas para la resolución de problemas
(Gp:) Identifique amenazas potenciales a la seguridad para su implementación de Active Directory
(Gp:) Aplique las revisiones de seguridad más actuales, limite el número de administradores y evalúe la necesidad de servicios específicos
(Gp:) Aplique plantillas de seguridad a los clientes basados sobre el escenario o rol de las estaciones de trabajo
(Gp:) Se pueden utilizar EFS y RMS para mejorar la seguridad de datos
(Gp:) Utilice una VPN encriptada y una autenticación multifactor para asegurar el acceso de usuarios remotos
(Gp:) Documente todas las configuraciones y utilice una estrategia formal de administración de cambio y configuración
Resumen de la sesión
Siguientes pasos Encuentre eventos adicionales de capacitación en seguridad: El sitio Web de difusiones por el Web y eventos de seguridad de Microsoft Regístrese para obtener comunicaciones de seguridad: El sitio Web de Microsoft TechNet Ordene el Kit de la guía de seguridad: El sitio Web de Microsoft TechNet Obtenga herramientas y contenidos adicionales sobre seguridad: El sitio Web de la seguridad de Microsoft
| Página siguiente |