GPO de seguridad: NTLM, LLMNR, firma SMB, LAPS, registro de PowerShell y un despliegue con piloto y marcha atrás

Qué vas a conseguir

Un conjunto de GPO de seguridad que quita de en medio lo que un atacante con un portátil en la red prueba primero: capturar hashes por LLMNR, retransmitir autenticaciones por SMB sin firmar, reutilizar la contraseña de administrador local o sacar credenciales de LSASS. Desplegado con auditoría previa, una OU piloto, comprobación en el equipo y un camino de vuelta.

Antes de empezar

• Permisos para crear y vincular GPO (delegados en las OU, no Domain Admin para el día a día) y la consola GPMC.
• El Microsoft Security Compliance Toolkit: las Security Baselines de tu versión de Windows y Windows Server y Policy Analyzer.
• Una OU piloto con equipos reales de varios departamentos (incluido el de IT) y un par de servidores no críticos.
• El inventario de lo antiguo (multifunciones que escanean a carpeta, NAS, aplicaciones de terceros): es lo que rompen estas directivas.

1. Empezar por la baseline, no por una hoja en blanco

Las Security Baselines de Microsoft traen GPO ya hechas (equipo, usuario, controlador de dominio, Defender) y un script para importarlas. No se vinculan tal cual: se comparan con lo que ya tienes.

Cada diferencia se decide: se adopta, se adopta más tarde o se documenta por qué no. Para importar una GPO de la baseline en tu dominio sin vincularla, Import-GPO -BackupGpoName "MSFT Windows 11 24H2 - Computer" -Path .\GPOs -TargetName "SEC-Equipos-Baseline" -CreateIfNeeded.

Varias GPO pequeñas con nombre claro (SEC-NTLM, SEC-LLMNR-NetBIOS, SEC-SMB-Firma, SEC-LAPS) en lugar de una enorme.

2. Las directivas, una a una

Todas en Configuración del equipo › Directivas.

LM y NTLMv1. En Configuración de Windows › Configuración de seguridad › Directivas locales › Opciones de seguridad:

• Seguridad de red: nivel de autenticación de LAN Manager = Enviar solo respuesta NTLMv2 y rechazar LM y NTLM (valor 5).
• Seguridad de red: no almacenar el valor hash de LAN Manager en el próximo cambio de contraseña = Habilitada.

Antes de aplicarlo, busca quién usa todavía NTLMv1: en los controladores de dominio, el evento 4624 muestra Paquete de autenticación: NTLM y Nombre del paquete (solo NTLM): NTLM V1. Windows 11 24H2 y Windows Server 2025 ya no traen NTLMv1, pero los equipos antiguos y los dispositivos de terceros sí.

LLMNR y NetBIOS. Cuando DNS no resuelve un nombre, Windows pregunta a toda la red por LLMNR y NetBIOS: cualquiera puede responder "soy yo" y recibir un hash.

• LLMNR: Plantillas administrativas › Red › Cliente DNS › Desactivar resolución de nombres de multidifusión = Habilitada.
• NetBIOS sobre TCP/IP no tiene una directiva clásica. Lo habitual es la opción de DHCP de Microsoft 001 (Microsoft Disable Netbios Option = 0x2) en los ámbitos, o el valor NetbiosOptions = 2 en cada interfaz bajo HKLM\SYSTEM\CurrentControlSet\Services\NetBT\Parameters\Interfaces por preferencia de registro o script.

Firma SMB. En Opciones de seguridad:

• Servidor de red Microsoft: firmar digitalmente las comunicaciones (siempre) = Habilitada.
• Cliente de red Microsoft: firmar digitalmente las comunicaciones (siempre) = Habilitada.

Windows 11 24H2 (Pro, Enterprise y Education) ya exige firma de entrada y salida por defecto, y Windows Server 2025 la exige de salida. La GPO iguala al resto. Lo que suele fallar: NAS y escáneres antiguos y el acceso de invitado.

Enumeración anónima. En Opciones de seguridad:

• Acceso de red: no permitir enumeraciones anónimas de cuentas SAM y recursos compartidos = Habilitada.
• Acceso de red: restringir acceso anónimo a canalizaciones con nombre y recursos compartidos = Habilitada.
• Acceso de red: permitir la aplicación de los permisos Todos a los usuarios anónimos = Deshabilitada.

Windows LAPS. Una contraseña de administrador local distinta en cada equipo, rotada y guardada en AD. Una vez por bosque, Update-LapsADSchema; por cada OU de equipos, Set-LapsADComputerSelfPermission -Identity "OU=Equipos,DC=contoso,DC=local". Después, en Plantillas administrativas › Sistema › LAPS:

• Configurar el directorio de copia de seguridad de contraseñas = Active Directory.
• Configuración de contraseña: complejidad máxima, 20 caracteres, 30 días.
• Habilitar el cifrado de contraseñas (requiere nivel funcional de dominio 2016) y Configurar descifradores de contraseñas autorizados con el grupo de soporte que puede leerlas.

Para leerla desde soporte: Get-LapsADPassword -Identity PC-0412 -AsPlainText.

Registro de PowerShell. En Plantillas administrativas › Componentes de Windows › Windows PowerShell:

• Activar el registro de bloques de script de PowerShell = Habilitada. Cada script queda en el evento 4104 del registro Microsoft-Windows-PowerShell/Operational, incluido el código ofuscado una vez descifrado.
• Activar el registro de módulos (evento 4103) y, si hay dónde guardarla, la transcripción. Sube el tamaño del registro: con el de por defecto se sobrescribe en horas.

Credential Guard y protección de LSA. En Plantillas administrativas › Sistema:

• Device Guard › Activar la seguridad basada en virtualización = Habilitada, con Configuración de Credential Guard = Habilitado sin bloqueo para el piloto (con bloqueo UEFI ya no se quita por GPO).
• Autoridad de seguridad local › Configura LSASS para que se ejecute como un proceso protegido = Habilitado sin bloqueo UEFI.

En Windows 11 22H2 y posteriores, los dos vienen activos por defecto en equipos que cumplen requisitos; la GPO lo hace explícito para todos. Credential Guard bloquea el inicio de sesión único con NTLMv1, MS-CHAPv2 y la delegación sin restricciones de Kerberos: la WiFi o la VPN con PEAP-MSCHAPv2 es el primer sitio donde mirar.

3. El piloto: aplicar y comprobar en el equipo

Las GPO se vinculan primero a la OU piloto. En un equipo de esa OU, tras gpupdate /force y un reinicio (Credential Guard y LSA lo necesitan):

›gpresult /scope computer /r›gpresult /h C:\Temp\gpo-PC-0412.html›Get-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa | Select-Object LmCompatibilityLevel, RunAsPPL›Get-SmbServerConfiguration | Select-Object RequireSecuritySignature›(Get-CimInstance -Namespace root\Microsoft\Windows\DeviceGuard -ClassName Win32_DeviceGuard).SecurityServicesRunning›Get-WinEvent -FilterHashtable @{LogName='System'; ProviderName='Microsoft-Windows-Wininit'; Id=12} -MaxEvents 1 | Select-Object -ExpandProperty MessageApplied Group Policy Objects    SEC-NTLM    SEC-LLMNR-NetBIOS    SEC-SMB-Firma    SEC-LAPSLmCompatibilityLevel RunAsPPL-------------------- --------                   5        2RequireSecuritySignature : True{1, 2}LSASS.exe was started as a protected process with level: 4

• gpresult /r dice qué GPO se aplicaron y cuáles se filtraron (y por qué: filtrado de seguridad, WMI o vínculo deshabilitado). El informe HTML de /h muestra cada valor y qué GPO lo ganó.
• En SecurityServicesRunning, el 1 es Credential Guard y el 2 la integridad de código protegida por hipervisor. El evento 12 de Wininit confirma LSASS protegido.
• Durante dos semanas, el piloto recoge lo que se rompe. Cada incidencia se resuelve arreglando el sistema antiguo o con una excepción documentada, no quitando la directiva para todos.

4. Marcha atrás

• Antes de cada vínculo: Backup-GPO -All -Path \\srv-gestion\GPO-Backups. Con Restore-GPO se recupera una versión anterior.
• La marcha atrás rápida es deshabilitar el vínculo (Set-GPLink -Name "SEC-SMB-Firma" -Target "OU=Piloto,DC=contoso,DC=local" -LinkEnabled No), no borrar la GPO.

Las directivas de Opciones de seguridad se quedan "tatuadas": al quitar la GPO, el equipo conserva el último valor. Para deshacer de verdad, se aplica una GPO con el valor contrario explícito (por ejemplo, firma SMB Deshabilitada), se comprueba con gpresult y después se retira. Credential Guard o LSA con bloqueo UEFI tampoco se quitan por GPO: por eso el piloto va sin bloqueo.

5. El despliegue y lo que vigilas

Del piloto a las OU por oleadas (IT, una planta, el resto, servidores al final y los controladores de dominio con su GPO de la baseline), avisando al service desk de qué síntomas esperar. Cada mes: Policy Analyzer contra la baseline nueva, equipos que no aplican las GPO, excepciones vencidas y eventos 4624 con NTLM V1.

Siguientes pasos

• La guía de Microsoft Defender Antivirus y reglas ASR es la otra mitad de la base de seguridad del puesto, y la baseline de Microsoft trae su propia GPO de Defender.
• La guía de Windows Server de Nivel 2 explica cómo leer los eventos que usas aquí para comprobar.
• Cada GPO con su valor, la fecha de despliegue y el informe de gpresult son evidencia de control para una auditoría. Es la idea del repositorio 25-security-controls-evidence de mi GitHub.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.