Asegurando tus servidores con Windows Defender, AppLocker, SCT y más

El malware — virus informáticos, gusanos, caballos de Troya, ransomware, spyware y demás — es una amenaza constante para las organizaciones porque puede dañar dispositivos y permitir que partes no autorizadas accedan a la red de forma remota para recopilar y transmitir información sensible. Windows Server 2016 incluye las siguientes herramientas y características para ayudar a mitigar la amenaza del malware:

• Aplicación Windows Defender Security Center
• Windows Defender Device Guard
• Control Flow Guard
• Políticas de Restricción de Software (SRPs)
• AppLocker
• Herramienta de Cumplimiento de Seguridad

Aplicación Windows Defender Security Center

La aplicación Windows Defender Server 2016 Security Center puede ayudarlo a identificar y eliminar malware de computadoras y otros dispositivos en su entorno. Aquí tiene parte de la información y funcionalidad que proporciona:

• Protección contra virus y amenazas. Incluye información sobre y acceso a la configuración del antivirus y la función de acceso a carpetas controladas de Windows Defender Exploit Guard.
• Rendimiento y salud del dispositivo. Proporciona información sobre controladores, espacio de almacenamiento y Windows Update.
• Protección de firewall y red. Incluye información sobre y acceso a la configuración del firewall, incluyendo los ajustes de Windows Defender Firewall.
• Control de aplicaciones y navegador. Incluye mitigaciones de protección contra exploits y configuraciones de Windows Defender SmartScreen.
• Opciones familiares. Incluye acceso a controles parentales y configuraciones familiares.

Windows Defender Device Guard

Windows Defender Device Guard es un conjunto de características de seguridad introducidas en Windows Server 2016. Cuando lo activas, en lugar de confiar en todas las aplicaciones excepto aquellas bloqueadas por un antivirus u otra solución de seguridad, el sistema operativo solo ejecutará las aplicaciones en una lista blanca definida por tu organización.

Windows Defender Device Guard utiliza seguridad basada en virtualización para aislar el servicio de integridad de código del núcleo de Windows. Windows Defender Device Guard puede bloquear cualquier software, incluso si un usuario no autorizado logra tomar control del sistema operativo. Puedes elegir exactamente qué puede ejecutarse dentro de tu entorno utilizando una política de integridad de código para proteger tu entorno.

Windows Defender Device Guard no es una única característica. Es una combinación de varias características, tales como:

• Modo Seguro Virtual. Un entorno virtual que aísla el proceso ISASS.exe del sistema operativo, lo que reduce el riesgo de que usuarios maliciosos comprometan las credenciales de dominio de sus usuarios
• Windows Defender Application Control. Un componente de Windows que proporciona un motor de reglas para ayudar a garantizar la seguridad de los ejecutables
• Modo Seguro Virtual Protegido de Integridad de Código. Traslada los componentes de Integridad de Código de Modo Kernel (KMCI) e Integridad de Código de Hipervisor (HVCI) al modo seguro virtual para fortalecerlos contra ataques.
• Platform Governance y UEFI Secure Boot. Secure Boot ofrece un beneficio de seguridad de alto valor al usar firmas y mediciones para ayudar a proteger el código del cargador de arranque y el firmware de manipulaciones.

Control Flow Guard

CFG es una característica de seguridad de plataforma que ayuda a prevenir vulnerabilidades de corrupción de memoria. CFG impone restricciones sobre dónde una aplicación puede ejecutar código, lo que dificulta que hackers maliciosos ejecuten código subjetivo a través de vulnerabilidades comunes, como desbordamientos de búfer. CFG monitorea y verifica ciertos aspectos del flujo de control de un programa, incluyendo dónde cambia la ejecución de instrucción secuencial directa. La tecnología que soporta CFG asegura que todas las llamadas indirectas resulten en un salto a objetivos legales. Los hackers maliciosos proporcionarán entrada inusual a un programa en ejecución para hacer que se comporte de manera inesperada.

Políticas de Restricción de Software (SRPs)

Una de las mejores maneras de ayudar a bloquear el software malicioso y otras amenazas cibernéticas es limitar o restringir el software que puede ejecutarse en un entorno empresarial.

Una opción es utilizar SRPs, que permiten a los administradores crear reglas que especifican qué aplicaciones pueden ejecutarse en dispositivos cliente. Las reglas se basan en uno de los siguientes criterios:

• Hash. La huella digital criptográfica del archivo
• Certificado. Un certificado de editor de software que firma un archivo digitalmente
• Ruta. La ruta local o de Convención de Nombres Universal (UNC) donde se almacena el archivo
• Zona. La zona de internet

AppLocker

AppLocker es otra forma de controlar qué aplicaciones pueden ejecutar los usuarios. Puede aplicar AppLocker a través de Group Policy para objetos de computadora dentro de una unidad organizativa (OU). También puede aplicar reglas individuales de AppLocker a Active Directory Domain Services (AD DS) usuarios o grupos. AppLocker también contiene opciones que puede usar para monitorear o auditar la aplicación de reglas.

Por ejemplo, puedes usar AppLocker para restringir el software que:

• No quieres que nadie lo use en tu empresa.
• Los empleados no usan o que usted ha reemplazado con una versión más reciente.
• Su empresa ya no ofrece soporte.
• Software que solo deben utilizar departamentos específicos.

Puede configurar los ajustes de AppLocker en la siguiente ubicación en GPMC: “Computer ConfigurationPoliciesWindows SettingsSecurity SettingsApplication Control Policies”.

Herramienta de Cumplimiento de Seguridad (SCT)

Para ayudar a proteger contra amenazas de seguridad, las organizaciones deben tener políticas de seguridad bien diseñadas que cubran la mayoría de los componentes organizativos y relacionados con TI. Las políticas de seguridad deben establecer una línea base para la seguridad fundamental de un servidor y luego asegurarse de que esa línea base se aplique a todos los servidores.

SCT es un conjunto de herramientas gratuitas de Microsoft que los administradores pueden utilizar para ayudar a proteger los ordenadores en su entorno, independientemente de si los ordenadores se encuentran localmente, de forma remota o en la nube. Puede descargar las bases de configuración de seguridad recomendadas por Microsoft; probarlas, editarlas y almacenarlas; y aplicarlas a sus servidores. También puede comparar sus GPOs actuales con las bases de referencia.

Las principales características de SCT incluyen:

• Policy Analyzer. Le permite analizar y comparar conjuntos de objetos de directiva de grupo (GPOs)
• Utilidad de Objeto de Directiva de Grupo Local. Ayuda a automatizar la gestión de la Directiva de Grupo local, incluyendo la importación de configuraciones desde copias de seguridad de Directiva de Grupo, archivos de políticas del registro, plantillas de seguridad y archivos CSV de copia de seguridad de auditoría avanzada que genera el Policy Analyzer