🛡️ Firewall y Seguridad

Optimización avanzada del sistema Windows

🛡️

Firewall y Seguridad

Optimization Category

Desactivar Reglas de Firewall de Apps Innecesarias

Medium

Desactiva reglas de firewall para aplicaciones integradas de Windows que pueden no ser necesarias

💡 Reduce la superficie de ataque y la exposición de red para aplicaciones no utilizadas

Desactivar Reglas de Firewall de Apps de Windows

Desactiva reglas de firewall para aplicaciones integradas de Windows como Cortana, Feedback Hub, Fotos, etc. Solo desactiva si no usas estas aplicaciones.

PowerShell / CMD

 netsh advfirewall firewall set rule group="Connect" new enable=no
netsh advfirewall firewall set rule group="Contact Support" new enable=no
netsh advfirewall firewall set rule group="Cortana" new enable=no
netsh advfirewall firewall set rule group="DiagTrack" new enable=no
netsh advfirewall firewall set rule group="Feedback Hub" new enable=no
netsh advfirewall firewall set rule group="Microsoft Photos" new enable=no
netsh advfirewall firewall set rule group="OneNote" new enable=no
netsh advfirewall firewall set rule group="Remote Assistance" new enable=no
netsh advfirewall firewall set rule group="Windows Spotlight" new enable=no

Bloquear Puerto SMB 445

Medium

Bloquea tráfico SMB entrante en el puerto 445 para prevenir ataques de ransomware

💡 Mejora significativamente la seguridad bloqueando el vector de ataque principal para ransomware y gusanos

Bloquear Puerto 445

Añade regla de firewall para bloquear tráfico SMB entrante. El puerto 445 de SMB es frecuentemente objetivo de WannaCry, Petya y otros ransomware.

PowerShell / CMD

netsh advfirewall firewall add rule name=deny445 dir=in action=block protocol=TCP localport=445

Nota de Seguridad

⚠️

El puerto 445 es el vector principal para la propagación de ransomware en redes Windows. Se recomienda bloquearlo a menos que requieras comparticiones SMB.

Configurar Perfiles de Firewall

Medium

Habilita firewall en todos los perfiles y restringe reglas de firewall locales

💡 Asegura protección consistente del firewall en todos los escenarios de red

Habilitar Perfiles de Firewall

Habilita Windows Firewall en perfiles Domain, Public y Private. Desallows local firewall rule modifications to prevent tampering.

PowerShell / CMD

Set-NetFirewallProfile -Profile Domain,Public,Private -Enabled True -AllowLocalFirewallRules False

Protección

ℹ️

Previene que el malware desactive el firewall o cree excepciones para acceso de red.

Desactivar NetBIOS y LMHOSTS

Medium

Desactiva el protocolo legacy NetBIOS que puede exponer información del sistema

💡 Reduce la exposición de nombres de equipo y ataques de descubrimiento de red

Desactivar NetBIOS/LMHOSTS

NetBIOS es un protocolo legacy que difunde nombres de equipo en redes locales. Los sistemas modernos usan DNS en su lugar.

PowerShell / CMD

 New-ItemProperty -Force -Path "HKLM:\SYSTEM\CurrentControlSet\Services\NetBT\Parameters" -Name "EnableLMHOSTS" -PropertyType DWord -Value 0

Desactivar Adaptadores de Red Innecesarios

Medium

Desactiva componentes de red no utilizados como Pacer, Servidor SMB, LLDP y LLTD

💡 Reduce la exposición de red y elimina servicios de red potencialmente vulnerables

Desactivar Componentes de Red

Desactiva Pacer (QoS), Servidor SMB, LLDP (Link Layer Discovery Protocol) y LLTD (Link-Layer Topology Discovery). Estos rara vez son necesarios para juegos o productividad.

PowerShell / CMD

 # Pacer (QoS)
Disable-NetAdapterBinding -Name "*" -ComponentID "ms_pacer"

# Servidor SMB
Disable-NetAdapterBinding -Name "*" -ComponentID "ms_server"

# LLDP
Disable-NetAdapterBinding -Name "*" -ComponentID "ms_lldp"

# LLTD
Disable-NetAdapterBinding -Name "*" -ComponentID "ms_lltdio"
Disable-NetAdapterBinding -Name "*" -ComponentID "ms_rspndr"

Desactivar IPv6

Medium

Desactiva protocolo IPv6 si solo usas IPv4

💡 Reduce la complejidad de red y brechas de seguridad potenciales de protocolos no utilizados

Desactivar IPv6

Desactiva IPv6 en adaptadores de red. Solo desactiva si tu red usa exclusivamente IPv4. Algunas aplicaciones pueden requerir IPv6.

PowerShell / CMD

 Disable-NetAdapterBinding -Name "*" -ComponentID "ms_tcpip6"
New-ItemProperty -Force -Path "HKLM:\SYSTEM\CurrentControlSet\Services\TCPIP6\Parameters" -Name "DisabledComponents" -PropertyType DWord -Value 0xFFFFFFFF

Advertencia

⚠️

Solo desactiva si usas exclusivamente IPv4. Desactivar IPv6 puede romper algunas aplicaciones o servicios que dependen de él.

Desactivar Protocolo SMBv1

Medium

Desactiva el protocolo de compartición de archivos inseguro SMBv1

💡 Elimina el vector de ataque de ransomware WannaCry y Petya

Desactivar SMBv1

SMBv1 tiene vulnerabilidades críticas y debe ser siempre desactivado. Los sistemas modernos usan SMB2/3.

PowerShell / CMD

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\LanmanServer\Parameters" -Name SMB1 -Value 0

Crítica de Seguridad

⚠️

SMBv1 ha sido explotado por ataques de ransomware mayores. Se recomienda desactivarlo.

Desactivar Compartición de Archivos e Impresoras

Medium

Desactiva reglas de firewall para compartición de archivos e impresoras si no es necesaria

💡 Previene acceso no autorizado a archivos compartidos e impresoras en la red

Desactivar Reglas de Compartición

Desactiva reglas de firewall que permiten compartición de archivos e impresoras. Solo desactiva si no compartes archivos o impresoras en tu red.

PowerShell / CMD

netsh advfirewall firewall set rule group="File and Printer Sharing" new enable=no

Impacto

ℹ️

Si usas compartición de archivos/impresoras de red, necesitarás habilitar estas reglas por separado.

Endurecimiento de Credenciales

Medium

Configura políticas de tokens y credenciales para prevenir ataques de robo de credenciales

💡 Protege tokens de administrador de ataques de escalada de privilegios locales

Habilitar Protección de Credenciales

Habilita endurecimiento del Control de Cuentas de Usuario (UAC), filtrado de tokens de administrador y políticas de tokens de cuentas locales. Previene robo de credenciales por suplantación de tokens.

PowerShell / CMD

 Set-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name LocalAccountTokenFilterPolicy -Value 0
Set-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name FilterAdministratorToken -Value 1
Set-ItemProperty HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System -Name EnableLUA -Value 1

Efecto de UAC

ℹ️

Asegura que UAC solicite confirmación para todas las operaciones administrativas, previniendo escalada silenciosa de privilegios.

Protección de Contraseñas en Texto Plano

Medium

Previene el almacenamiento de contraseñas en texto plano y habilita detección de fuga de tokens

💡 Previene ataques de recolección de credenciales que explotan almacenamiento de contraseñas en texto plano

Desactivar Contraseñas en Texto Plano

Desactiva almacenamiento de contraseñas en texto plano de WDigest y habilita detección de fuga de tokens. WDigest almacena contraseñas en memoria en texto plano, creando riesgo de seguridad severo.

PowerShell / CMD

 Set-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\SecurityProviders\WDigest -Name UseLogonCredential -Value 0
Set-ItemProperty HKLM:\SYSTEM\CurrentControlSet\Control\Lsa -Name TokenLeakDetectDelaySecs -Value 30

Crítica de Seguridad

⚠️

Las contraseñas en texto plano de WDigest permiten atacantes recolectar credenciales usando herramientas como Mimikatz después de comprometer el sistema.

🛡️ Firewall y Seguridad