Hardening de Windows Server 2022 con CIS: los controles que más fallan en una auditoría

Windows Server 2022 trae una configuración por defecto pensada para que todo funcione desde el primer arranque, no para resistir un ataque. Por eso, cuando se mide un servidor recién instalado, o uno que lleva años en producción, contra el CIS Benchmark de Windows Server 2022, aparecen brechas en áreas muy parecidas de una organización a otra.

En este artículo repasamos esas áreas, explicamos por qué suelen quedar fuera del baseline y qué precauciones tomar antes de corregirlas. Describimos cada sección del benchmark con nuestras palabras: para los valores exactos, consulte siempre la versión vigente del documento de CIS y la documentación de Microsoft que enlazamos.

Por qué fallan siempre las mismas áreas

Hay tres causas que se repiten. La primera es que muchas configuraciones seguras no vienen activadas por defecto por razones de compatibilidad. La segunda es que los cambios se hicieron “a mano” en algunos servidores y nunca se llevaron a una directiva de grupo (GPO, Group Policy Object), así que cada equipo quedó distinto. La tercera es el miedo a romper algo: si nadie sabe qué aplicación depende de un protocolo antiguo, nadie se atreve a deshabilitarlo.

La tabla resume las áreas que revisamos en este artículo:

Área del benchmark	Qué busca, en pocas palabras	Por qué suele quedar pendiente
Políticas de cuentas	Contraseñas robustas y bloqueo ante intentos fallidos	Se configuran en el lugar equivocado del dominio
Auditoría avanzada	Registrar los eventos que permiten investigar un incidente	Se mezcla con la auditoría clásica o el registro es pequeño
Asignación de derechos de usuario	Limitar quién puede iniciar sesión o ejecutar acciones privilegiadas	Los valores difieren entre controlador de dominio y servidor miembro
Opciones de seguridad	Firmar y proteger la autenticación en red (SMB, NTLM, LDAP)	Temor a cortar aplicaciones o equipos antiguos
Servicios del sistema	Deshabilitar lo que el rol no necesita	Nadie revisa los servicios después de instalar
Windows Firewall	Firewall activo y con reglas en cada perfil	Se apaga “temporalmente” y queda así
Escritorio remoto	Acceso remoto autenticado, cifrado y acotado	Se habilita rápido para soporte y no se endurece
Protección de credenciales	Proteger el proceso que guarda credenciales en memoria	Requiere validar hardware, drivers y compatibilidad

Políticas de cuentas y contraseñas

Esta sección del benchmark define la longitud mínima de contraseña, su complejidad, el historial y la antigüedad máxima y mínima. El hallazgo típico no es que falte la política, sino que esté aplicada donde no surte efecto.

En Active Directory, la política de contraseñas para las cuentas del dominio solo se toma de la GPO vinculada a la raíz del dominio. Si se configura en una GPO vinculada a una unidad organizativa, solo afecta a las cuentas locales de los equipos de esa unidad. Cuando necesite reglas distintas para un grupo (por ejemplo, cuentas de servicio o administradores), la vía correcta son las políticas de contraseña específicas (Fine-Grained Password Policies).

Otro punto frecuente son las cuentas locales de administrador con la misma contraseña en todos los servidores. El benchmark incluye una sección para Windows LAPS (Local Administrator Password Solution), que Microsoft integró en Windows Server 2022 mediante actualizaciones de 2023 y que rota automáticamente esa contraseña.

Bloqueo de cuenta

El bloqueo de cuenta frena los ataques de fuerza bruta y de rociado de contraseñas. El benchmark pide definir un umbral de intentos fallidos, una duración del bloqueo y un tiempo para reiniciar el contador. Antes de ajustarlo, identifique servicios o aplicaciones que se autentican con credenciales antiguas guardadas: son los que provocan bloqueos masivos el día del cambio.

Directiva de auditoría avanzada

Sin registros no hay investigación posible. El benchmark recomienda usar la directiva de auditoría avanzada por subcategorías (inicio de sesión, gestión de cuentas, cambios de directiva, uso de privilegios, creación de procesos, entre otras) en lugar de las categorías clásicas.

Los fallos más comunes en esta sección son:

• Tener configuradas a la vez la auditoría clásica y la avanzada, sin la opción que obliga a que las subcategorías prevalezcan. El resultado es una configuración efectiva distinta de la que se cree tener.
• Auditar solo los éxitos o solo los fallos en subcategorías donde ambos son útiles.
• Mantener el registro de seguridad con el tamaño por defecto, que en un servidor activo se sobrescribe en poco tiempo.
• No reenviar los eventos a un SIEM (sistema de gestión de información y eventos de seguridad) o a un repositorio central.

Verifique la configuración efectiva con auditpol /get /category:* en una muestra de servidores, no solo en la GPO.

Asignación de derechos de usuario

Esta sección define quién puede iniciar sesión localmente, por red o por Escritorio remoto, quién puede depurar programas, apagar el sistema o actuar como parte del sistema operativo. Es una de las que más diferencias tiene entre el perfil de controlador de dominio y el de servidor miembro.

Los hallazgos típicos son grupos amplios (como usuarios del dominio) con permiso de inicio de sesión por Escritorio remoto, cuentas de servicio con privilegios que no necesitan y la ausencia de restricciones para que las cuentas locales administrativas accedan por red. Antes de corregir, inventaríe qué cuentas de servicio usan cada derecho: retirar uno sin ese inventario es una causa clásica de caída de aplicaciones.

Opciones de seguridad: SMB, NTLM y LDAP

Aquí se concentran los cambios con más potencial de impacto, y por eso también los que más se postergan.

Firma SMB

La firma SMB (Server Message Block) agrega una firma a cada mensaje del protocolo de archivos compartidos para detectar alteraciones y dificultar ataques de retransmisión. Según la documentación de Microsoft, en SMB 2 y 3 lo que cuenta es si la firma es obligatoria en el cliente o en el servidor. En Windows Server 2022 los controladores de dominio la exigen por defecto, pero los servidores miembros no. Mida el impacto en servidores de archivos con mucha carga y en equipos antiguos o dispositivos que acceden a recursos compartidos, como escáneres o NAS.

NTLM y nivel de autenticación de LAN Manager

NTLM es un protocolo de autenticación heredado que sigue activo por compatibilidad. El benchmark pide aceptar solo NTLMv2 y rechazar LM y NTLMv1, además de exigir seguridad mínima en las sesiones. El camino prudente es activar primero la auditoría de NTLM, revisar qué sistemas lo usan y recién después restringirlo.

Firma LDAP y channel binding

En los controladores de dominio, el benchmark pide exigir la firma de LDAP (Lightweight Directory Access Protocol) y el enlace de canal (channel binding) cuando se usa LDAP sobre TLS. Microsoft explica en su guía de firma LDAP cómo detectar a los clientes afectados antes del cambio: el controlador registra un resumen diario (evento 2887) y, con el diagnóstico ampliado, un evento por cada cliente que se conecta sin firma (evento 2889). Revise esos eventos durante un periodo razonable antes de exigir la firma.

Servicios innecesarios

Cada servicio activo es superficie de ataque. El benchmark revisa servicios que rara vez se necesitan en un servidor, y la decisión depende del rol. El ejemplo más conocido es la cola de impresión (Print Spooler) en los controladores de dominio: Microsoft recomienda deshabilitarla cuando el controlador no cumple funciones de impresión. También conviene confirmar que SMBv1 no esté instalado; desde hace varias versiones no viene habilitado por defecto, pero aparece en servidores migrados o configurados para equipos antiguos.

Windows Firewall por perfil

Windows Firewall tiene tres perfiles: dominio, privado y público. El benchmark pide que el firewall esté activo en los tres, que bloquee por defecto las conexiones entrantes no permitidas, que registre conexiones descartadas y que controle si se combinan las reglas locales con las de la GPO.

El hallazgo más frecuente es el firewall apagado en el perfil de dominio “porque hay un firewall perimetral”. El firewall del servidor es la última barrera contra el movimiento lateral dentro de la red, y no reemplaza a uno perimetral ni viceversa.

Escritorio remoto

El Escritorio remoto (RDP, Remote Desktop Protocol) suele habilitarse para soporte y no se vuelve a revisar. El benchmark pide exigir autenticación a nivel de red (NLA) antes de abrir la sesión, un nivel de cifrado adecuado, límites de tiempo para sesiones inactivas o desconectadas, que se solicite la contraseña al conectar y restricciones a la redirección de unidades y del portapapeles. Complemente estas configuraciones limitando quién puede conectarse (ver derechos de usuario) y desde qué redes.

Protección de credenciales: LSA y Credential Guard

El proceso LSASS guarda en memoria información de autenticación, y es el objetivo de las herramientas de robo de credenciales. Dos protecciones ayudan:

• Protección adicional de LSA: hace que LSASS se ejecute como proceso protegido y bloquea la carga de complementos no firmados por Microsoft. La guía de Microsoft recomienda activar antes el modo de auditoría e identificar drivers o complementos (por ejemplo, de tarjetas inteligentes o filtros de contraseña) que no cargarían.
• Credential Guard: aísla los secretos de NTLM y Kerberos mediante seguridad basada en virtualización (VBS). Según Microsoft, requiere VBS y arranque seguro, en máquinas virtuales de Hyper-V exige generación 2, no se recomienda en controladores de dominio y puede afectar a aplicaciones que dependen de NTLMv1, delegación Kerberos sin restricciones o cifrado DES.

En el benchmark, estas protecciones aparecen en perfiles distintos según la versión, incluido el perfil Next Generation Windows Security. Valide hardware, hipervisor y aplicaciones antes de incluirlas en su baseline.

Cómo corregir sin romper aplicaciones

El orden importa más que la velocidad. Mida primero la brecha con una herramienta de evaluación, agrupe los hallazgos por rol de servidor, lea la sección de impacto de cada recomendación y pruebe los cambios en un piloto representativo antes de ampliarlos. Lo que no pueda corregir, documéntelo como excepción con su justificación y un control compensatorio.

Herramientas de hardening automatizado como CalCom Hardening analizan el impacto de cada cambio antes de aplicarlo y luego mantienen la configuración alineada, lo que reduce el riesgo en las secciones de SMB, NTLM y derechos de usuario.

Checklist de hardening para Windows Server 2022

• Confirme qué versión del CIS Benchmark de Windows Server 2022 usará y qué perfil aplica a cada rol.
• Verifique que la política de contraseñas del dominio esté en la GPO vinculada a la raíz del dominio.
• Despliegue Windows LAPS para las cuentas locales de administrador.
• Ajuste el bloqueo de cuenta después de identificar servicios con credenciales guardadas.
• Configure la auditoría avanzada, fuerce la prioridad de subcategorías y amplíe el registro de seguridad.
• Revise la asignación de derechos de usuario por separado para controladores de dominio y servidores miembros.
• Exija firma SMB tras medir el impacto en servidores de archivos y dispositivos antiguos.
• Audite el uso de NTLM antes de restringirlo a NTLMv2.
• Revise los eventos 2887 y 2889 antes de exigir firma LDAP y channel binding.
• Deshabilite la cola de impresión en los controladores de dominio que no imprimen y confirme que SMBv1 no esté instalado.
• Active Windows Firewall en los tres perfiles, con bloqueo de entrada por defecto y registro habilitado.
• Endurezca Escritorio remoto: NLA, límites de sesión y restricciones de redirección.
• Active la protección de LSA en modo auditoría y evalúe Credential Guard según hardware y rol.
• Vuelva a medir después de cada fase y documente las excepciones.