Aplicación de GPO en Win Server

Aquí se conserva la diferencia entre lo aplicado localmente y lo propuesto mediante políticas. Cambiar un valor del registro no demuestra que se haya distribuido una GPO de dominio.

Para este ejercicio debería utilizar windows server y realizar los cambios de política a través de gpedit.msc - Sin embargo, no tengo acceso a él en este momento PERO recuerdo perfectamente dónde dirigirse a hacer estos cambios así que daré las instrucciones y haré los cambios en regedit en un windows común, para así demostrar que es también posible

Índice

1. Quitar opción "Cambiar contraseña" en Ctrl+Alt+Del
2. Desactivar reproducción automática
3. Forzar fondo de pantalla
4. Conclusión

---

Quitar opción "Cambiar contraseña" en Ctrl+Alt+Del

En GPEdit:

• Navegar Configuración de Usuario → Plantillas Administrativas → Sistema → Opciones de Ctrl+Alt+Supr
• Habilitar
  • Quitar cambio de contraseña

Alternativa en regedit

• Navegar HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System
• Crear la clave System si no existe
• Agregar Dword de 32bit, valor 1 (on) y Decimal
• Ok -> cerrar

Algunas de estas políticas se ejecutan al cerrar regedit, pero otras se debe reiniciar el equipo/reloguear O con Powershell:

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v "DisableChangePassword" /t REG_DWORD /d 1 /f

Revertir:

reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /v "DisableChangePassword" /f

---

Desactivar reproducción automática

En GPO

• Navegar Configuración de Equipo → Plantillas Administrativas → Componentes de Windows → Directivas de AutoPlay
• Desactivar Habilitar "Desactivar AutoPlay" y "Todas las unidades"

En Regedit

• Navegar HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer
• Crear una nueva key "Explorer" si no existe
  • Agregar un nuevo DWord con valor 255
  • Nombre "NoDriveTypeAutoRun"
    • El valor 255 es para "todos los dispositivos"

Con Powershell:

reg add "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoDriveTypeAutoRun" /t REG_DWORD /d 255 /f

Revertir:

reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /v "NoDriveTypeAutoRun" /f

---

Forzar fondo de pantalla

En GPO

Configuración de usuario → plantillas administrativas → escritorio → fondo de escritorio

En regedit

Podemos irnos a este pequeño archivo que debería estar creado:

y simplemente cambiamos el valor por la ruta de la imagen C:\foto.jpg por ejemplo

• Alternativa con Powershell:

reg add "HKCU\Control Panel\Desktop" /v Wallpaper /t REG_SZ /d "C:\foto.jpg" /f
RUNDLL32.EXE user32.dll, UpdatePerUserSystemParameters

• Revertir

reg delete "HKCU\Control Panel\Desktop" /v Wallpaper /f
RUNDLL32.EXE user32.dll, UpdatePerUserSystemParameters

Bonus: esta es la forma en que lo tuve que hacer donde trabajo porque no quieren usar Windows Server o un equipo centralizado y todo se hace en computadores independientes.

• Archivo .PS1 + tarea programada de inicio

Set-ItemProperty -Path 'HKCU:\Control Panel\Desktop\' -Name Wallpaper -Value "C:\foto.jpg"
RUNDLL32.EXE user32.dll, UpdatePerUserSystemParameters

---

Conclusión:

Efectivamente sería más efectivo realizarlo a través de GPO con un sólo equipo centralizado para las políticas, pero en el extraño caso donde haya que hacerlo manualmente 1 por 1 como me pasa a mi... se puede hacer de esta forma.

Véase también

• Hardening básico en Windows — Otras consideraciones de hardening específicas de Windows.

Alcance: GPO local se edita con gpedit.msc donde esté disponible; las GPO de dominio se administran con GPMC y se vinculan a sitios/dominios/OU. Editar HKCU no demuestra despliegue de dominio ni equivale a una política de equipo HKLM. Cambiar HKCU\Control Panel\Desktop\Wallpaper cambia una preferencia, no fuerza la directiva ni impide editarla; el refresco por rundll32 mostrado no es un contrato fiable para toda versión. Quitar la opción de cambiar contraseña no reemplaza una política de contraseña ni impide todos los otros métodos. Antes de «revertir», guardar valores previos: borrarlos no siempre restaura el estado anterior. Una tarea SYSTEM usa otro HKCU. Documentación de Group Policy. Capturas/cambios originales no reproducidos.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Vesper]             |
| SEAL: sha256/12: 2c337a686ff0          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+