MAESTRIA EN SEGURIDAD INFORMÁTICA - MASI

Guía de Creación de Políticas de Grupo (GPOs - Group Policies Objects)

¿Porque utilizar GPOs?

Para establecer configuraciones o parámetros (cuotas, accesos, etc.) en

redes basadas en Servicios de dominio de Directorio Activo (AD DS), lo
cual mejora la administración, productividad y seguridad.

Con el uso de GPOs tenemos un modelo de administración de uno a

muchos.
Para la creación de GPOs debemos utilizar el Administrador de Políticas
de Grupo, en este caso es con Windows Server 2016 y un clientes con
Windows 10. Esta consola se instala automáticamente al momento de
instalar el Windows Server.
Se tienen dos(2) caminos de acceso, primero la parte gráfica por medios
del Server Manager seleccionamos Administrador de Políticas de Grupo:

El camino alterno es ejecutando el comando (Windows + R): MMC

De forma predeterminada, la "Política de dominio predeterminada" y la

"Política de controladores de dominio predeterminados" ya están creadas
y vinculadas a las siguientes ubicaciones:
Como buena práctica, es aconsejable no editar estos dos GPO, ya que
vienen con configuraciones predeterminadas, para que nuestro Active
Directory funcione correctamente, todas las configuraciones se llevarán a
cabo, creando nuevos GPO y vinculándolos a las unidades organizativas
correspondientes.

Aquí vemos la configuración predeterminada de la "Política de dominio

predeterminada" de GPO:
Aquí vemos la configuración predeterminada de la "Política de
controladores de dominio predeterminados" de GPO:
Procederemos a crear nuevos GPOs para nuestro dominio y los
vincularemos en las Unidades organizativas que nos interesan o en todo
el dominio, para crear nuevos GPO, hacemos lo siguiente:

Asignamos un nombre y hacemos clic en Aceptar:

Como podemos ver, ya tenemos el nuevo GPO creado:

Ahora lo vinculamos a la unidad organizativa "Dirección", por lo que solo

afectará a esta unidad organizativa:
Como podemos ver ya la tenemos vinculada:
Hemos creado los siguientes GPO y los hemos vinculado a las unidades
organizativas que nos han interesado o los hemos vinculado al dominio
para que afecten a todas las unidades organizativas:

Ahora mostraremos la configuración de cada GPO:

"Bloqueo automático de terminales" de GPO, este GPO está vinculado
al dominio y su función será bloquear las sesiones de los usuarios cuando
haya transcurrido un período de inactividad en esas sesiones, cuando los
usuarios quieran volver a desbloquear su sesión, deben ingresar sus
credenciales:
"Contraseñas y bloqueo de cuentas" de GPO, este GPO está vinculado en
el dominio y su función será definir una política de contraseña para
nuestros usuarios y una política para bloquear las cuentas de los usuarios
de nuestro dominio:

Dado que el GPO "Política de dominio predeterminada" ya tiene una

contraseña y una política de bloqueo de cuenta creada, para que este GPO
se aplique correctamente, debemos moverlo por encima del GPO "Política
de dominio predeterminado":
GPO "Deshabilitar Firewall", este GPO está vinculado en el dominio y su
función será deshabilitar el firewall de Windows para el perfil de dominio
en todas nuestras computadoras:
GPO "No ejecución de aplicaciones especificadas", este GPO está
vinculado en una OU (RAGASYS) y su función no será permitir la ejecución
de las aplicaciones que hemos definido en la lista:

"Bloqueo de inicio de sesión local" de GPO, este GPO está vinculado a una
OU (Computadoras bloqueadas) y su función será que las computadoras
que se encuentran dentro de esta OU solo podrán iniciar sesión en sus
administradores de dominio, por lo que evitaremos que el usuario que usa
ese equipo puede iniciar sesión, ya sea por razones de seguridad, despido
del trabajador, sospechamos que este usuario no está usando su equipo
de acuerdo con las políticas de la empresa, etc.
GPO "Block Pendrives", este GPO no lo hemos vinculado a nada, por lo
tanto, no realizará la función que hemos definido, una vez que lo
vinculemos a cualquiera de nuestras unidades organizativas, no permitirá
el uso de memorias USB, CD , DVD, disquetes en el equipo de nuestra
infraestructura:

Con esto finalizamos esta publicación en Administración de directivas de

grupo, más adelante, en otras publicaciones, mostraré otras
configuraciones de GPO, por ejemplo, cuando monte WSUS en WS 2016,
o un servidor de impresión para montar impresoras por GPO, también
definiremos GPO para delegar la administración del Active Directory a
otros usuarios administradores de acuerdo con su ubicación geográfica y
que estos usuarios administren la OU correspondiente.

Nota: En el link de referencia puede encontrar ejemplos de seguridad con la

aplicación de GPOs https://windowserver.wordpress.com/?s=GPO