🚀 go-pugleaf

Yo a�adir�a poner password a la bios y desactivar el boot desde desde
cualquier medio que no sea el HD principal. Y puestos en modo paranoico
utilizar algo parecido a SafeGuard para encriptar el HD.

Saludos

Chachini

On Fri, 07 Jun 2002 16:00:23 +0000, a_ver_est wrote:

> wenas,
> 
> Para mi desgracia me va a tocar securizar una instalaci�n de un w2k
> server como paso previo a la instalaci�n de un ISA server, � es posible
> securizar un w2k ?,
> 
> Bueno he hecho este mini documento a base de consejos recogidos de la
> web de microsof, lo comparto por si le es de utilidad a alguien y de
> paso si tiene mas ideas que puedan ser �tiles a�adirlas:
> 
> 
> -------------------- cut cut cut cut cut cut
> -----------------------------------
> 
> * verificar q todas las particiones usan NTFS
> 
> * verificar q la cuenta de administrador tiene un passwd fuerte
> 
> * desabilitar los servicios inecesarios
> 
> * desabilitar o borrar las cuentas de usuarios inncesarias
> 
> * proteger ficheros y directorios ( por defecto ok, problemas si upgrade
> de NT 4.0)
> 
> * asegurarse que la cuenta de invitado esta desavilitada
> 
> * proteger el registro del acceso anonimo
>    1. Add the following key to the registry:
>       Hive
>       HKEY_LOCAL_MACHINE \SYSTEM
>       Key
>       \CurrentControlSet\Control\SecurePipeServers Value Name \winreg
>    2. Select winreg, click the Security menu, and then click
> Permissions.
>    3. Set the Administrators permission to Full Control, make sure no
> other users or groups are listed, and then click OK.
> 
> * aplicar ACLs al registro ->> ( por defecto ok, problemas si upgrade de
> NT 4.0)
> 
> * Restringir acceso al LSA
> 	Hive
> 	HKEY_LOCAL_MACHINE \SYSTEM
> 	Key
> 	CurrentControlSet\Control\LSA
> 	Value Name
> 	RestrictAnonymous
> 	Type
> 	REG_DWORD
> 	Value
> 	1
> 
> * aplicar pol�ticas en los passwd.
> 
> * Aplicar bloqueo de cuenta despues de un numero n de reintentos.
> 
> * preparar cuenta administrador:
> 	* cambiar el nombre a la cuenta
> 	* crear otra cuenta con el nombre administrador para logear los
> intentos de validacion
> 	* habilitar bloqueo de la cuenta despues de un numero n de riententos
> � realmente recomendable ?
> 	* desabilitar administrador local.
> 
> * eliminar todos los recursos compartidos inecesarios
> 
> * aplicar ACLs en los irecursos compartidos necesarios. ( por defecto
> control total a todos )
> 
> * instalaci�n de antivirus y actualizar los paterns
> 
> * instalaci�n del �ltimo service pack mas �ltimos hot fix. ( Hotfix
> Checker
> http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q303215&sd=tech&
> )
> ( QChain.exe instalar variso hotfix y un solo reinicio
> http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q296861&
> )
> 
> SECURIZAR LA PILA TCP/IP
> 
> SynAttackProtect
> Key: Tcpip\Parameters
> Value Type: REG_DWORD
> Valid Range: 0, 1, 2
> 0 (no synattack protection)
> 1 (reduced retransmission retries and delayed RCE (route cache entry)
> creation if the TcpMaxHalfOpen and TcpMaxHalfOpenRetried settings are
> satisfied.)
> 2 (in addition to 1 a delayed indication to Winsock is made.) Default: 0
> (False)
> Recommendation: 2
> 
> TcpMaxHalfOpen
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Number
> Valid Range: 100-0xFFFF
> Default: 100 (Professional, Server), 500 (advanced server)
> Recommendation: default
> 
> TcpMaxHalfOpenRetried
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Number
> Valid Range: 80-0xFFFF
> Default: 80 (Professional, Server), 400 (Advanced Server)
> Recommendation: default
> 
> EnablePMTUDiscovery
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0
> 
> NoNameReleaseOnDemand
> Key: Netbt\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 0 (False)
> Recommendation: 1
> 
> EnableDeadGWDetect
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0
> 
> KeepAliveTime
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Time in milliseconds Valid Range: 1-0xFFFFFFFF
> Default: 7,200,000 (two hours)
> Recommendation: 300,000
> 
> PerformRouterDiscovery
> Key: Tcpip\Parameters\Interfaces\
> Value Type: REG_DWORD
> Valid Range: 0,1,2
> 0 (disabled)
> 1 (enabled)
> 2 (enable only if DHCP sends the router discover option) Default: 2,
> DHCP-controlled but off by default. Recommendation: 0
> 
> EnableICMPRedirects
> Key: Tcpip\Parameters
> Value Type: REG_DWORD
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0 (False)
> 
> CONTROL DE EVENTOS
> 
> * activar auditoria
> 
> * instalar uptime.exe para controlar los reinicios de la maquina
> http://support.microsoft.com/support/kb/articles/Q232/2/43.asp
> 
> *activar evento para casques del sistema
> http://support.microsoft.com/support/kb/articles/q235/4/96.asp
> 
> Bibliografia:
> 
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools/w2kexist.asp
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/chklist/w2ksvrcl.asp
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools.asp
> 
> -------------------- cut cut cut cut cut cut
> -----------------------------------
> 
> � alguien llego hasta aqu� ? :)
> 
> Saludos,
> Roger_J