🚀 go-pugleaf

wenas,

Para mi desgracia me va a tocar securizar una instalaci�n de un w2k
server como paso previo a la instalaci�n de un ISA server, � es
posible securizar un w2k ?,

Bueno he hecho este mini documento a base de consejos recogidos de la
web de microsof, lo comparto por si le es de utilidad a alguien y de
paso si tiene mas ideas que puedan ser �tiles a�adirlas:


-------------------- cut cut cut cut cut cut
-----------------------------------

* verificar q todas las particiones usan NTFS

* verificar q la cuenta de administrador tiene un passwd fuerte

* desabilitar los servicios inecesarios

* desabilitar o borrar las cuentas de usuarios inncesarias

* proteger ficheros y directorios ( por defecto ok, problemas si
upgrade de NT 4.0)

* asegurarse que la cuenta de invitado esta desavilitada

* proteger el registro del acceso anonimo
   1. Add the following key to the registry:
      Hive
      HKEY_LOCAL_MACHINE \SYSTEM
      Key
      \CurrentControlSet\Control\SecurePipeServers
      Value Name
      \winreg
   2. Select winreg, click the Security menu, and then click
Permissions.
   3. Set the Administrators permission to Full Control, make sure no
other users or groups are listed, and then click OK.

* aplicar ACLs al registro ->> ( por defecto ok, problemas si upgrade
de NT 4.0)

* Restringir acceso al LSA
	Hive
	HKEY_LOCAL_MACHINE \SYSTEM
	Key
	CurrentControlSet\Control\LSA
	Value Name
	RestrictAnonymous
	Type
	REG_DWORD
	Value
	1

* aplicar pol�ticas en los passwd.

* Aplicar bloqueo de cuenta despues de un numero n de reintentos.

* preparar cuenta administrador:
	* cambiar el nombre a la cuenta
	* crear otra cuenta con el nombre administrador para logear los
intentos de validacion
	* habilitar bloqueo de la cuenta despues de un numero n de riententos
� realmente recomendable ?
	* desabilitar administrador local.

* eliminar todos los recursos compartidos inecesarios

* aplicar ACLs en los irecursos compartidos necesarios. ( por defecto
control total a todos )

* instalaci�n de antivirus y actualizar los paterns

* instalaci�n del �ltimo service pack mas �ltimos hot fix.
( Hotfix Checker http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q303215&sd=tech&
)
( QChain.exe instalar variso hotfix y un solo reinicio
http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q296861&
)

SECURIZAR LA PILA TCP/IP

SynAttackProtect
Key: Tcpip\Parameters
Value Type: REG_DWORD
Valid Range: 0, 1, 2
0 (no synattack protection)
1 (reduced retransmission retries and delayed RCE (route cache entry)
creation if the TcpMaxHalfOpen and TcpMaxHalfOpenRetried settings are
satisfied.)
2 (in addition to 1 a delayed indication to Winsock is made.) 
Default: 0 (False)
Recommendation: 2

TcpMaxHalfOpen
Key: Tcpip\Parameters
Value Type: REG_DWORD-Number
Valid Range: 100-0xFFFF
Default: 100 (Professional, Server), 500 (advanced server)
Recommendation: default

TcpMaxHalfOpenRetried
Key: Tcpip\Parameters
Value Type: REG_DWORD-Number
Valid Range: 80-0xFFFF
Default: 80 (Professional, Server), 400 (Advanced Server)
Recommendation: default

EnablePMTUDiscovery
Key: Tcpip\Parameters
Value Type: REG_DWORD-Boolean
Valid Range: 0, 1 (False, True)
Default: 1 (True)
Recommendation: 0

NoNameReleaseOnDemand
Key: Netbt\Parameters
Value Type: REG_DWORD-Boolean
Valid Range: 0, 1 (False, True)
Default: 0 (False)
Recommendation: 1

EnableDeadGWDetect
Key: Tcpip\Parameters
Value Type: REG_DWORD-Boolean
Valid Range: 0, 1 (False, True)
Default: 1 (True)
Recommendation: 0

KeepAliveTime
Key: Tcpip\Parameters
Value Type: REG_DWORD-Time in milliseconds
Valid Range: 1-0xFFFFFFFF
Default: 7,200,000 (two hours)
Recommendation: 300,000

PerformRouterDiscovery
Key: Tcpip\Parameters\Interfaces\
Value Type: REG_DWORD
Valid Range: 0,1,2
0 (disabled)
1 (enabled)
2 (enable only if DHCP sends the router discover option)
Default: 2, DHCP-controlled but off by default.
Recommendation: 0

EnableICMPRedirects
Key: Tcpip\Parameters
Value Type: REG_DWORD
Valid Range: 0, 1 (False, True)
Default: 1 (True)
Recommendation: 0 (False)

CONTROL DE EVENTOS

* activar auditoria

* instalar uptime.exe para controlar los reinicios de la maquina
http://support.microsoft.com/support/kb/articles/Q232/2/43.asp

*activar evento para casques del sistema
http://support.microsoft.com/support/kb/articles/q235/4/96.asp

Bibliografia:

http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools/w2kexist.asp
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/chklist/w2ksvrcl.asp
http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools.asp

-------------------- cut cut cut cut cut cut
-----------------------------------

� alguien llego hasta aqu� ? :)

Saludos,
Roger_J