DNS Web filters

Si no contamos con herramientas que realicen el control de contenido de paginas web y que nos ayuden a prevenir adquirir algún Malware, recomiendo hacer uso de los DNS Web filters que facilitan la protección de todos los dispositivos habilitados para Internet en su casa.

Básicamente como funcionan los DNS Web filters, cuando un dispositivo (computadora, tablet, smartphone, entre otros) hace la solicitud de acceso a un sitio web lo primero que hace es efectuar una consulta al servidor de DNS, responsable de trasladar el nombre del sitio a una dirección IP. Los DNS Web son servidores DNS que además de hacer la resolución de nombres manejan una clasificación de los sitios, por lo tanto, dependiendo su clasificación el acceso puede ser denegado desde la misma resolución de nombres.

Entre algunos de los DNS Web filters que podemos encontrar son:
- Comodo Secure DNS
- OpenDNS
- Norton ConnectSafe

Para hacer uso de los DNS Web filters es necesario reemplazar los servidores DNS, ya sea en los routers para que aplique a todos los dispositivos conectados o en una computadora específica.

En las etiquetas de cada uno de los servicios sugeridos encontrarán las direcciones IP de los servidores DNS.

Cómo habilitar o deshabilitar la Camara con PowerShell

Para quienes requieran deshabilitar la cámara de su equipo, por razones de seguridad y evitar un acceso no autorizado que pueda comprometer la privacidad, lo pueden hacer mediante un script de PowerShell con el siguiente código:

get-pnpdevice | Where-Object { $_.FriendlyName -match 'Integrated Webcam' } | Disable-PnpDevice -Confirm:$false

Para habilitarla utilice el siguiente código:

get-pnpdevice | Where-Object { $_.FriendlyName -match 'Integrated Webcam' } | Enable-PnpDevice -Confirm:$false

Importante:
Verificar el nombre de su dispositivo (Cámara) en el administrador de dispositivos y modifique el código.

Recomiendo crear un archivo .ps1 con el código y crear un Shortcut con la siguiente instrucción para su ejecución:

Powershell.exe -executionpolicy bypass -file "Z:\Script\DisableWebCam.ps1"

En la opción de configuración avanzada del Shortcut marque la opción Run as administrator porqué de no estar marcada, la ejecución mostrará el error Disable-PnpDevice: Generic failure

Lista de Eventos de Auditoria de Windows Server 2016 y Windows 10

En este link podrán encontrar una lista detallada de los eventos de auditoría que se incluyen en Windows Server 2016 y Windows 10.

Windows 10 and Windows Server 2016 security auditing and monitoring reference

Cómo usar el comando WHOAMI para listar SIDs, Grupos y privilegios

En ocasiones requerimos identificar el SID de un usuario, los grupos a los que pertenece, sus privilegios e incluso su fully qualified domain name (FQDN) del usuario validado en el Windows. 

Para esto podemos utilizar el comando WHOAMI.exe

La siguiente tabla muestra los parámetros que acepta el comando:

	Descripción
/upn	Muestra el user principal name (UPN) del usuario.
/fqdn	Muestra el fully qualified domain name (FQDN).
/logonid	Muestra el logon ID del usuario actual.
/user	Muestra el dominio, el user name y el security identifier (SID).
/groups	Muestra los grupos a los que pertenece el usuario actual.
/priv	Muestra los security privileges del usuario actual.

Ejemplos:

whoami /user

 Los últimos valores del SID nos indica el tipo de usuario

1001, el usuario no es un Administrador
500,  el usuario es administrador local en el equipo.
512,  el usuario es Domain Admins
518,  el usuario es Schema Admins
519,  el usuario es is Enterprise Domain Admins

whoami /priv

Si necesitamos agregar un privilegio al usuario podemos utilizar el comando ntrights
ntrights -u smile +r SeSecurityPrivilege

Auditando PowerShell

Para efectuar la auditoría de los comandos ejecutados en PowerShell y así poder detectar un posible ataque utilizando PowerShell en sus servidores, se recomienda habilitar la bitácora de eventos para que registre la ejecución de comandos en PowerShell. Para habilitar este registro se requiere PowerShell v3, v4 o las versiones más nuevas.

Si bien, este registro puede habilitarse para módulos de PowerShell específicos, se recomienda habilitarlo para todos los módulos (*). Lo cual puede ser de mucha utilidad cuando un atacante ha importado módulos personalizados.

Para habilitar esta bitácora siga las siguientes instrucciones:

1. Edite el GPO en donde quiere habilitar el registro

2. Expanda:

 Computer Configuration\Policies\Administrative Template\Windows Components\Windows PowerShell

3. Habilite la politica Turn on ModuleLogging

4. Presione el botón Show en Module Names

5. Digite * y presione el botón OK

6. Presione el botón OK y cierre el GPO

El registro de los eventos los podemos ver en el Event Viewer