🚀 go-pugleaf

> * Restringir acceso al LSA
> Hive
> HKEY_LOCAL_MACHINE \SYSTEM
> Key
> CurrentControlSet\Control\LSA
> Value Name
> RestrictAnonymous
> Type
> REG_DWORD
> Value
> 1

Jurar�a que para win2k el RestrictAnonymous tiene que ser 2, el 1 es para
NT... (corregidme si me equivoco)

Un saludo y gracias por la info.

--
NeoZero

a_ver_est@yahoo.com (a_ver_est) wrote in 
<abd9289f.0206070800.1b53399e@posting.google.com>:

>Para mi desgracia me va a tocar securizar una instalaci�n de un w2k
>server como paso previo a la instalaci�n de un ISA server, � es
>posible securizar un w2k ?,
>

Hay unas guias excelentes para Win2K de la National Security Agency de USA. 
No tengo el URL exacto, pero fijate en www.nsa.gov y busca material sobre 
Windows 2000.
Saludos,
-- 
Nekromancer
===========
Puedes bajar las PUF (FAQ) de es.comp.hackers de los siguientes URLs
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_CHM.zip
http://comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/
Busco trabajo como analista de seguridad informatica o penetration tester
ya sea reubicandome geograficamente o en forma remota
contactame en nekromancer(at)eudoramail(dot)com

ninguna@enespecial.com (NeoZero) wrote in <adqm84$1e78h$1@ID-
146149.news.dfncis.de>:

>> * Restringir acceso al LSA
>> Hive
>> HKEY_LOCAL_MACHINE \SYSTEM
>> Key
>> CurrentControlSet\Control\LSA
>> Value Name
>> RestrictAnonymous
>> Type
>> REG_DWORD
>> Value
>> 1
>
>Jurar�a que para win2k el RestrictAnonymous tiene que ser 2, el 1 es para
>NT... (corregidme si me equivoco)
>
>Un saludo y gracias por la info.
>
>--
>NeoZero
>
>
>

Ambos valores funcionan en Win2K. En WinNT solo el valor 1 (en ambos casos, 
obviamente tambien es valido 0).
La diferencia es la siguiente:
    	0 - permite conectar y enumerar
    	1 - permite conectar pero no enumerar
    	2 - no permite siquiera conectar
Siempre hablando de null session.
Hay herramientas que permiten enumerar con el valor 1.
Saludos,
-- 
Nekromancer
===========
Puedes bajar las PUF (FAQ) de es.comp.hackers de los siguientes URLs
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_HTML.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_TXT.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_PDF.zip
comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/ech_puf_CHM.zip
http://comunidad.ciudad.com.ar/argentina/buenos_aires/koolkat/
Busco trabajo como analista de seguridad informatica o penetration tester
ya sea reubicandome geograficamente o en forma remota
contactame en nekromancer(at)eudoramail(dot)com

a_ver_est wrote:
> � alguien llego hasta aqu� ? :)

Yo mismo. Gracias por la info, me viene de perlas. Saludos a todos, bye.

-- 
-----BEGIN PGP MESSAGE-----
Version: GnuPG v1.0.6 (GNU/Linux)
Comment: For info see http://www.gnupg.org

owGbwMvMwCR4mlF2Vp79x72Ma04kcekVZ6bnJZaUFqXasFbeDUgsSsnPU0jLL1LI
rVRwzUvPySzO4LLVJRNy1XA6+Lm7+nAWFyXmpafmOJSk5qTmZOal6qUWcxbklySW
5CsY6VUqFGQm53PWUGBPhz0zKwPIAzC/CTIV9zPMU7ypfjl0seSXuFSvXROCH7F5
fem2ZJifuOGfelOH1nE32yfv2hR5Mi6lHTEGAA==
=tKD8
-----END PGP MESSAGE-----

Yo a�adir�a poner password a la bios y desactivar el boot desde desde
cualquier medio que no sea el HD principal. Y puestos en modo paranoico
utilizar algo parecido a SafeGuard para encriptar el HD.

Saludos

Chachini

On Fri, 07 Jun 2002 16:00:23 +0000, a_ver_est wrote:

> wenas,
> 
> Para mi desgracia me va a tocar securizar una instalaci�n de un w2k
> server como paso previo a la instalaci�n de un ISA server, � es posible
> securizar un w2k ?,
> 
> Bueno he hecho este mini documento a base de consejos recogidos de la
> web de microsof, lo comparto por si le es de utilidad a alguien y de
> paso si tiene mas ideas que puedan ser �tiles a�adirlas:
> 
> 
> -------------------- cut cut cut cut cut cut
> -----------------------------------
> 
> * verificar q todas las particiones usan NTFS
> 
> * verificar q la cuenta de administrador tiene un passwd fuerte
> 
> * desabilitar los servicios inecesarios
> 
> * desabilitar o borrar las cuentas de usuarios inncesarias
> 
> * proteger ficheros y directorios ( por defecto ok, problemas si upgrade
> de NT 4.0)
> 
> * asegurarse que la cuenta de invitado esta desavilitada
> 
> * proteger el registro del acceso anonimo
>    1. Add the following key to the registry:
>       Hive
>       HKEY_LOCAL_MACHINE \SYSTEM
>       Key
>       \CurrentControlSet\Control\SecurePipeServers Value Name \winreg
>    2. Select winreg, click the Security menu, and then click
> Permissions.
>    3. Set the Administrators permission to Full Control, make sure no
> other users or groups are listed, and then click OK.
> 
> * aplicar ACLs al registro ->> ( por defecto ok, problemas si upgrade de
> NT 4.0)
> 
> * Restringir acceso al LSA
> 	Hive
> 	HKEY_LOCAL_MACHINE \SYSTEM
> 	Key
> 	CurrentControlSet\Control\LSA
> 	Value Name
> 	RestrictAnonymous
> 	Type
> 	REG_DWORD
> 	Value
> 	1
> 
> * aplicar pol�ticas en los passwd.
> 
> * Aplicar bloqueo de cuenta despues de un numero n de reintentos.
> 
> * preparar cuenta administrador:
> 	* cambiar el nombre a la cuenta
> 	* crear otra cuenta con el nombre administrador para logear los
> intentos de validacion
> 	* habilitar bloqueo de la cuenta despues de un numero n de riententos
> � realmente recomendable ?
> 	* desabilitar administrador local.
> 
> * eliminar todos los recursos compartidos inecesarios
> 
> * aplicar ACLs en los irecursos compartidos necesarios. ( por defecto
> control total a todos )
> 
> * instalaci�n de antivirus y actualizar los paterns
> 
> * instalaci�n del �ltimo service pack mas �ltimos hot fix. ( Hotfix
> Checker
> http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q303215&sd=tech&
> )
> ( QChain.exe instalar variso hotfix y un solo reinicio
> http://support.microsoft.com/directory/article.asp?ID=KB;EN-US;Q296861&
> )
> 
> SECURIZAR LA PILA TCP/IP
> 
> SynAttackProtect
> Key: Tcpip\Parameters
> Value Type: REG_DWORD
> Valid Range: 0, 1, 2
> 0 (no synattack protection)
> 1 (reduced retransmission retries and delayed RCE (route cache entry)
> creation if the TcpMaxHalfOpen and TcpMaxHalfOpenRetried settings are
> satisfied.)
> 2 (in addition to 1 a delayed indication to Winsock is made.) Default: 0
> (False)
> Recommendation: 2
> 
> TcpMaxHalfOpen
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Number
> Valid Range: 100-0xFFFF
> Default: 100 (Professional, Server), 500 (advanced server)
> Recommendation: default
> 
> TcpMaxHalfOpenRetried
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Number
> Valid Range: 80-0xFFFF
> Default: 80 (Professional, Server), 400 (Advanced Server)
> Recommendation: default
> 
> EnablePMTUDiscovery
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0
> 
> NoNameReleaseOnDemand
> Key: Netbt\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 0 (False)
> Recommendation: 1
> 
> EnableDeadGWDetect
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Boolean
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0
> 
> KeepAliveTime
> Key: Tcpip\Parameters
> Value Type: REG_DWORD-Time in milliseconds Valid Range: 1-0xFFFFFFFF
> Default: 7,200,000 (two hours)
> Recommendation: 300,000
> 
> PerformRouterDiscovery
> Key: Tcpip\Parameters\Interfaces\
> Value Type: REG_DWORD
> Valid Range: 0,1,2
> 0 (disabled)
> 1 (enabled)
> 2 (enable only if DHCP sends the router discover option) Default: 2,
> DHCP-controlled but off by default. Recommendation: 0
> 
> EnableICMPRedirects
> Key: Tcpip\Parameters
> Value Type: REG_DWORD
> Valid Range: 0, 1 (False, True)
> Default: 1 (True)
> Recommendation: 0 (False)
> 
> CONTROL DE EVENTOS
> 
> * activar auditoria
> 
> * instalar uptime.exe para controlar los reinicios de la maquina
> http://support.microsoft.com/support/kb/articles/Q232/2/43.asp
> 
> *activar evento para casques del sistema
> http://support.microsoft.com/support/kb/articles/q235/4/96.asp
> 
> Bibliografia:
> 
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools/w2kexist.asp
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/chklist/w2ksvrcl.asp
> http://www.microsoft.com/technet/treeview/default.asp?url=/technet/security/tools/tools.asp
> 
> -------------------- cut cut cut cut cut cut
> -----------------------------------
> 
> � alguien llego hasta aqu� ? :)
> 
> Saludos,
> Roger_J

a_ver_est wrote:

> wenas,

Hola Roger 8)


> Para mi desgracia me va a tocar securizar una instalaci�n de un w2k
> server como paso previo a la instalaci�n de un ISA server, � es
> posible securizar un w2k ?,

Buenas noticias: s� lo es. Y m�s de lo que la mayor�a de gente cree. 

Malas noticias: ISA es el peor proxy que se ha hecho jam�s.

 
> Bueno he hecho este mini documento a base de consejos recogidos de la
> web de microsof, lo comparto por si le es de utilidad a alguien y de
> paso si tiene mas ideas que puedan ser �tiles a�adirlas:
 
Te comento cada cosa que merezca alg�n comentario, pero lee
especialmente lo que pongo al final del post. En cualquier caso,
aunque esto pueda servir como base, la localizaci�n (configuraci�n de
un server en un escenario concreto) es lo que realmente determinar� el
grado de seguridad �ptimo. Sin saber si este server est� dentro de un
AD, de qu� tipo de dominio, el n�mero de clientes que lo usar�n,
etc�tera es muy dif�cil plantear una buena pol�tica de seguridad
acorde con el rendimiento.


> * verificar q la cuenta de administrador tiene un passwd fuerte

Debe especificarse como directiva.

 
> * desabilitar los servicios inecesarios

Esto es mucho m�s complicado de lo que parece. No es sencillo
determinar qu� servicios son innecesarios y hay muchos servicios que
siguen estando ah� una vez deshabilitados. En algunos casos, cabe
borrar el servicio, y no s�lo deshabilitarlo.

 
> * desabilitar o borrar las cuentas de usuarios inncesarias

Borrarlas, deshabilitarlas no es suficiente.

 
> * proteger ficheros y directorios ( por defecto ok, problemas si
> upgrade de NT 4.0)

Por defecto ok, no. Por comentar algunas cosas: Hay que usar una
pol�tica de ACLs adecuada mediante templates, hay que mover ciertos
ficheros (especialmente las herramientas de system32) a otro
directorio y quitarles permisos; restringir el uso de ficheros wsh,
vbs... hay que eliminar o renombrar algunos de ellos. Por no hablar de
habilitar WFP (restauraci�n de archivos) y EFS (encriptaci�n nativa de
windows 2000).

 
> * asegurarse que la cuenta de invitado esta desavilitada

Es preferible borrarla (existen m�todos, contrariamente a lo que dice
MS).
 

> * proteger el registro del acceso anonimo
>    1. Add the following key to the registry:

A Restrict 2 siempre, como dice Mike con RA 1 aun se puede enumerar.
Hay que hacerlo por las directivas, nunca por el registro.


> * aplicar ACLs al registro ->> ( por defecto ok, problemas si upgrade
> de NT 4.0)

Hay que aplicar ACLs. Por defecto da acceso a ciertos sitios, y hay
que controlar de forma especial (y establecer n accesos de solo
lectura) a ciertos hives.

 
> * Restringir acceso al LSA
> 	Hive

Hay que hacerlo por las directivas.

 
> * preparar cuenta administrador:
> 	* crear otra cuenta con el nombre administrador para logear los

No lo recomiendo. Esto crea una cuenta in�til, aunque tenga un
password de 30 caracteres y no tenga acceso a literalmente a nada, es
una tarea futil. S�lo genera trabajo para el administrador y un riesgo
innecesario.


> intentos de validacion
> 	* habilitar bloqueo de la cuenta despues de un numero n de riententos
> � realmente recomendable ?

Absolutamente imprescindible en las cuentas no administrativas. La
cuenta del administrador local no se puede bloquear, pero si la cuenta
del administrador en la red; hay que usar una herramienta espec�fica
para ello.


> * desabilitar administrador local.

????


> * eliminar todos los recursos compartidos inecesarios

Si, y eliminarlos bien. No vale con quitar el protocolo.


> SECURIZAR LA PILA TCP/IP

Hay que ir con cuidado con esto, seg�n qu� valores, especialmente en
un proxy, podr�an afectar negativamente al rendimiento.

Existen otras claves del registro que vale la pena modificar aparte de
las relativas a TCP/IP.


> CONTROL DE EVENTOS
> 
> * activar auditoria

Hay que determinar qu� pol�ticas de auditoria. Una mala configuraci�n
de pol�ticas puede generar muchos falsos positivos o errores
garrafales.


> � alguien llego hasta aqu� ? :)

Realmente faltan muchas cosas, algunas las considero
imprescindibles... Aunque una configuraci�n como la propuesta ya
dejar�a fuera de juego a la mayor�a de script kiddies.

Estoy haciendo un art�culo desde hace un tiempo sobre una
configuraci�n de 2000 Server en un entorno un tanto especial. Mi
escenario consistia en un router ADSL con una sola m�quina que hace
estacion y server a la vez, para un administrador ``cuando arriba a
casa''. Los servicios son: ftp, web y terminal server.

Me centro en una parte que no afecta a tu configuraci�n, y es el
peligro de que un server sea estaci�n de trabajo a la vez. Pero
podr�as usar mucho de mi art�culo para tu configuraci�n. Junto al
art�culo pensaba incluir una plantilla de pol�ticas, una plantilla de
IPSec (craso error no mentarlo en tu configuraci�n), algunos scripts,
etc. Aparte del documento en s�. De modo que configurarlo es tan
trivial como cargar las plantillas (todo explicado en el art�culo) y
luego hacer a mano, paso a paso, lo que no se puede automatizar
(��cre�as que s�lo te remitir�a a mamotretos te�ricos?? :). Cuando lo
termine te lo paso para que le eches un vistazo.

Tengo algunos links que te servir�n, cuando tenga un rato los miro y
te los mando al correo. En cuanto a lo que comenta Mike de los
documentos de la NSA, no me fio mucho de ellos, pero las plantillas de
base te ser�n �tiles, especialmente todo lo relativo a ISA Server.

Sea como fuere, el mayor peligro que veo en esa m�quina es el mero
hecho de usar ISA. C�ntrate en la seguridad de ISA aparte de lo b�sico
de la propia m�quina. Por otro lado, si la m�quina no est� en un CPD
(y existe acceso f�sico a la misma), la seguridad f�sica deber�a ser
tu mayor paranoia; es realmente trivial obtener acceso en ese caso.


> Saludos,
> Roger_J

Un abrazo,
- upierz