Hardening básico en Windows

En Windows, OpenSSH comparte conceptos con Linux pero tiene detalles propios. Permisos, cuentas y reglas del firewall se revisan en su plataforma; no basta con trasladar el mismo conjuro de carpeta.

Así como en mi pequeña guía de Hardening Linux, comparte objetivos, pero no es exactamente igual: OpenSSH en Windows tiene diferencias de permisos, cuentas, rutas y configuración.

Diferencias sustanciales:

• Debemos instalar el servidor SSH
• Utilizamos los mismos archivos de configuración, sólo que están en C:\ProgramData\ssh\
• El comando para reiniciar el servidor con PowerShell es Restart-Service sshd
• Se recomienda actualizar las reglas del firewall:

New-NetFirewallRule -Name "nuevo puerto SSH" -DisplayName "SSH 2222" -Direction Inbound -Protocol TCP -LocalPort 2222 -Action Allow

---

Recomendaciones adicionales

• Utilizar y configurar Windows Defender Firewall
• Utilizar BitLocker para el cifrado de discos
• Deshabilitar SMBv1 para evitar exploits como WannaCry
• Configurar políticas de contraseñas con gpedit.msc
• Habilitar UAC en su nivel ideal para el uso que le vamos a dar
• Principio del mínimo privilegio
• Habilitar registros avanzados en el Visor de eventos
• Deshabilitar servicios que no serán usados como por ejemplo telnet o RDP
• LSA Protection
• ASR
• Revisar protocolos y servicios expuestos. SSH no utiliza TLS; la política TLS corresponde a otros servicios.

Las recomendaciones, al igual que en Linux, son similares. Debemos buscar el balance ideal entre funcionalidad y seguridad.

Referencia: Microsoft: configuración de OpenSSH Server.

Alcance de la regla: la regla propuesta abre TCP/2222 a cualquier origen permitido por sus ámbitos predeterminados. Para administración, limitar RemoteAddress/perfiles e inventariar la regla de 22; validar sshd y una segunda conexión antes de cerrar el acceso anterior. OpenSSH puede usar authorized_keys distinto para administradores. Microsoft: configuración. BitLocker depende de edición/requisitos y exige custodiar claves de recuperación; GPEdit no está disponible en toda edición. Desactivar SMBv1 no sustituye parches; ASR debe probarse con sus exclusiones/impacto.

+----------------------------------------+
| Floure &                               |
| Tachibana's guild                      |
| [Hikari · Nozomi · Vesper]             |
| SEAL: sha256/12: 009c25e6b4f6          |
| STATUS: LITURGY_IN_PROGRESS            |
+----------------------------------------+