En este post vamos a ver como crear reglas del firewall en nuestro vCenter para limitar y supervisar el acceso a la plataforma.

• Para todo el tráfico de red entrante en el firewall se pueden aplicar esta acciones:
• Aceptar, permite el paquete con la dirección correspondiente.
• Omitir, descarta el paquete con la dirección correspondiente.
• Rechazar, descarta el paquete con la dirección correspondiente mientras que no se puede acceder al destino de envío.
• Regresar, aplica reglas predeterminadas o específicas del puerto en un paquete con la dirección correspondiente.

• Para configurar reglas de firewall accedemos a la interface VAMI y accedemos a Firewall > AGREGAR:

• Vamos a crear una regla para permitir el acceso desde una determinada IP:

• Y otra regla para denegar todo lo demás:

• Aquí tenemos las dos reglas creadas:

• Ahora si accedemos por SSH a nuestro vCenter y hacemos un iptables -L veremos que ya tenemos estas dos reglas agregadas, me muestra el nombre asignado a esa IP ya que tengo configurado DNS en el vCenter y está resolviendo esa IP:

• Con estas dos reglas le estamos indicando al vCenter que sólo será accesible desde la IP 192.168.14.14, aquí ya configuramos las reglas que nos vengan bien, y vamos añadiendo las que nos vayan haciendo falta, luego con REORDENAR podemos ponerla en el orden que nos venga bien:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo migrar del antiguo Microsoft LAPS al nuevo Windows LAPS, en nuestra infraestructura, tenemos dos controladores de dominio con Windows Server 2019 y el antiguo sistema Microsoft LAPS implantado, en este link podemos ver como lo implantamos.

• Antes de empezar, si tenemos configurado el almacén central para nuestras GPO, tendremos que copiar la carpeta PolicyDefinitions ubicada en C:\Windows, a la carpeta de SYSVOL dónde residen las políticas de grupo del dominio Active Directory, C:\Windows\SYSVOL\sysvol\dominioAD\Policies:

• Ahora vamos a migrar de Microsoft LAPS a Windows LAPS, para ello, seguimos este post que realizamos anteriormente, para implantar Windows LAPS, pero las dos nuevas GPOs que nos hemos creado (LAPS_Equipos y LAPS_Servidores) no las vamos a vincular de momento a ninguna Unidad Organizativa (OU), esto lo haremos en un paso posterior, aquí vemos las dos GPOs que nos hemos creado:

• El siguiente paso para seguir con la migración, es desvincular la GPO de LAPS antigua o heredada de las Unidades Organizativas donde esté:

• Ahora vamos a vincular las dos nuevas GPOs creadas, LAPS_Equipos y LAPS_Servidores, sobre las unidades organizativas que nos interese:

• Verificamos en cualquier equipo de nuestra infraestructura que todo lo configurado se está aplicando, empezamos ejecutando los comandos gpupdate /force y gpresult /r:

• Ahora para ver la password del administrador local de los equipos, accedemos a cualquiera de nuestros controladores de dominio, accedemos a la consola de Usuarios y equipos de Active Directory, y abrimos las propiedades de cualquier equipo:

• Accedemos a la pestaña LAPS, y desde aquí podemos ver el Nombre de la cuenta de administrador local de LAPS, la Contraseña de la cuenta de administrador local de LAPS (Copiar y Mostrar), podemos ver la Expiración actual de contraseña de LAPS, y Establecer nueva expiración de contraseña de LAPS:

• Si nos abrimos un PowerShell en cualquiera de nuestros controladores de dominio, y ejecutamos primero el comando Get-Command -Module LAPS, para ver los comandos disponibles en el módulo de LAPS:

• Ejecutando el comando Get-LapsADPassword “nombreequipo” -AsPlainText, podemos ver, la cuenta del administrador local del equipo con su contraseña:

• Para terminar, eliminamos el software de LAPS heredada:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo configurar Windows LAPS para la contraseña DSRM (restauración de servicios de directorio) de Active Directory, esta contraseña la asignamos cuando desplegamos el rol de Servicios de dominio de Active Directory, esta es una nueva característica del nuevo Windows LAPS.

• Lo primero que vamos a realizar es acceder a uno de nuestros controladores de dominio y nos abrimos la consola de Usuarios y equipos de Active Directory, nos vamos a la Unidad Organizativa (OU) Domain Controllers, damos Propiedades sobre uno de ellos, y sobre la pestaña LAPS podemos ver, que es aquí dónde nos va a mostrar la contraseña de DSRM, una vez que tengamos la GPO configurada y vinculada sobre la OU Domain Controllers:

• Nos abrimos la consola Administración de directivas de grupo y nos vamos a crear una nueva GPO llamada LAPS_DSRM con la siguiente configuración:

• Luego vinculamos esta GPO sobre la OU Domain Controllers:

• Ahora si nos abrimos un PowerShell sobre el controlador de dominio DCRGS01 y ejecutamos un gpupdate /force, vamos a forzar a que se activen estas nuevas configuraciones de directivas que hemos creado:

• Si accedemos de nuevo a la consola de Usuarios y equipos de Active Directory, nos vamos a la Unidad Organizativa (OU) Domain Controllers, damos Propiedades sobre DCRGS01, y sobre la pestaña LAPS podemos ver, que ya se ha aplicado esta nueva GPO para controlar las contraseñas de DSRM de los controladores de dominio de nuestra infraestructura:

• Ahora si nos abrimos un PowerShell sobre el controlador de dominio DCRGS02 y ejecutamos un gpupdate /force, vamos a forzar a que se activen estas nuevas configuraciones de directivas que hemos creado:

• Si accedemos de nuevo a la consola de Usuarios y equipos de Active Directory, nos vamos a la Unidad Organizativa (OU) Domain Controllers, damos Propiedades sobre DCRGS02, y sobre la pestaña LAPS podemos ver, que ya se ha aplicado esta nueva GPO para controlar las contraseñas de DSRM de los controladores de dominio de nuestra infraestructura:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo instalar y configurar Windows LAPS (Local Administrator Password Solution) en Windows Server 2022, LAPS determina si la contraseña de la cuenta del administrador local ha caducado, si la contraseña ha caducado, cambia la contraseña del administrador local a un nuevo valor aleatorio y transmite la nueva contraseña y la fecha de caducidad a Active Directory dónde se almacena en unos atributos especiales asociados con el objeto de equipo de AD. Las contraseñas se almacenan en Active Directory y están protegidas por listas de control de acceso (ACLs) por lo que solo los usuarios elegibles pueden leerlas o solicitar su restablecimiento.

• Los requisitos para configurar esta nueva implementación de LAPS, son los siguientes, ya que anteriormente a estas nuevas actualizaciones, LAPS había que implementarlo de forma manual, en este link os dejo como se hacía anterior a estas actualizaciones, con estas nuevas actualizaciones LAPS se implementa de forma nativa en estos sistemas:
• Windows 11 22H2 – Actualización 11 abril 2023
• Windows 11 21H2 – Actualización 11 abril 2023
• Windows 10 – Actualización 11 abril 2023
• Windows Server 2019 – Actualización 11 abril 2023
• Windows Server 2022 – Actualización 11 abril 2023
• Para implementar y configurar este laboratorio, he utilizado dos máquinas Windows Server 2022 Standard como Controladores de dominio, uno principal y otro adicional, una máquina Windows Server 2022 Standard y otra con Windows 11 Pro, que serán miembros del dominio ragasys.local implementado en los dos controladores de dominio:

• Para empezar, vamos a extender el schema de Active Directory, para que se añadan los atributos nuevos a las propiedades de los equipos de nuestra infraestructura, para ello, accedemos a nuestro controlador de dominio principal, dcrgs01, nos abrimos un PowerShell y nos importamos los módulos de LAPS con el comando Import-Module LAPS:

• Para ver los comandos disponibles en este módulo ejecutamos Get-Command -Module LAPS:

• Para extender el schema de nuestro Active Directory y soportar toda la configuración de LAPS, vamos a utilizar el comando Update-LapsADSchema, le indicamos que Si (S) uno a uno o podemos indicarle que Sí a todo (O), aquí he elegido la primera opción, para mostrar todos los atributos que se van a añadir en las propiedades de los equipos de nuestra infraestructura de dominio:

• Para verificar que los atributos se han añadido correctamente a nuestros equipos, sobre nuestro controlador de dominio principal, accedemos a Usuarios y equipos de Active Directory y abrimos las propiedades de cualquier equipo:

• Accedemos a la pestaña Editor de atributos, y como podemos ver, ya se han añadido los atributos de LAPS a los equipos:

• Ahora vamos a establecer los permisos para LAPS en las Unidades Organizativas (OU) que nos interesen, en este caso, las OUs que vamos a utilizar serán las de Equipos para las máquinas clientes y la de Servidores para las máquinas con el rol de servidor, estos permisos va a permitir a LAPS modificar los atributos de las cuentas de equipos que se encuentran en estas OUs, permitiendo así crear y modificar las contraseñas, para ello ejecutamos el comando, Set-LapsADComputerSelfPermission -Identity “DistinguisedName OU”:

• Ahora vamos a configurar las GPOs para LAPS en Active Directory, en nuestro caso, vamos a configurar dos GPOs, una para los equipos clientes llamada LAPS_Equipos y otra para los servidores llamada LAPS_Servidores, habilitamos la política y en el caso de que el administrador local no sea el nombre por defecto (Administrator o Administrador) indicamos el nombre de la cuenta local tipo administrador que esté configurada en los equipos del dominio y los parámetros de las passwords como la complejidad, longitud y expiración, estas serían las dos GPOs configuradas:

• Una vez que tenemos creadas las GPOs las vamos a vincular sobre las unidades organizativas que indicamos anteriormente:

• Con esto ya tendríamos implementado y configurado LAPS en nuestra infraestructura, lo primero que vamos a verificar es que la GPO se está aplicando en los equipos de cada unidad organizativa, para ello, en cualquiera de los equipos de ambas unidades organizativas ejecutamos el comando gpresult /r:

• Ahora para ver la password del administrador local de los equipos, accedemos a cualquiera de nuestros controladores de dominio, accedemos a la consola de Usuarios y equipos de Active Directory, y abrimos las propiedades de cualquier equipo:

• Accedemos a la pestaña LAPS, y desde aquí podemos ver el Nombre de la cuenta de administrador local de LAPS, la Contraseña de la cuenta de administrador local de LAPS (Copiar y Mostrar), podemos ver la Expiración actual de contraseña de LAPS, y Establecer nueva expiración de contraseña de LAPS:

• Si nos abrimos un PowerShell en cualquiera de nuestros controladores de dominio, y ejecutamos primero el comando Get-Command -Module LAPS, para ver los comandos disponibles en el módulo de LAPS:

• Ejecutando el comando Get-LapsADPassword “nombreequipo” -AsPlainText, podemos ver, la cuenta del administrador local del equipo con su contraseña:

• Sólo los usuarios Administradores del dominio tienen permisos de lectura y escritura sobre los valores de los atributos donde se almacena la password y la fecha de expiración, en muchas ocasiones, necesitamos dar permisos a otros usuarios, por lo que vamos a crear este grupo, LAPS_HelpDesk, y dentro de este grupo añadiremos a los usuarios o grupos que nos interesen, si hacemos esto, el grupo Administradores del dominio también lo tenemos que añadir al grupo, ya que si no, no podremos visualizar las contraseñas con las cuentas de administrador:

• Ahora tenemos que volver a configurar las dos GPOs que creamos anteriormente y habilitar estas dos opciones, Habilitar cifrado de contraseña y Configurar descifradores de contraseñas autorizados que incluiremos al grupo que hemos creado anteriormente:

• Ahora asignamos los permisos para el grupo LAPS_HelpDesk.
• Con este comando asignamos los permisos de lectura sobre la OU especificada:
• Set-LapsADReadPasswordPermission -Identity “distinguisedname OU” -AllowedPrincipals “DOMINIO\GRUPO”
• Con este comando asignamos los permisos de lectura-escritura sobre la OU especificada:
• Set-LapsADResetPasswordPermission -Identity “distinguisedname OU” -AllowedPrincipals “DOMINIO\GRUPO”

• Con el siguiente cmdlet verificamos la asignación de permisos asignados a las Unidades Organizativas, Find-LapsADExtendedRights -Identity “distinguisedname OU”:

• Ahora si accedemos a cualquier equipo de nuestra infraestructura, con el usuario ubicado en el grupo LAPS_HelpDesk, podemos ver las credenciales del usuario local administrador y resetear las contraseñas:

Saludos y espero que os resulte de ayuda

En este post vamos a ver una configuración de GPO para LAPS alternativa a la que realizamos en el post anterior, ya que en la anterior GPO le indicamos una cuenta de usuario administrador, en esta nueva GPO, no utilizaremos ninguna cuenta de administrador, por lo que la password de LAPS se aplicará a la cuenta nativa con permisos de administrador, esta cuenta administrativa se puede llamar administrador, administrator o si la hemos cambiado de nombre tampoco tendríamaos problemas ya que el password se lo aplica por el SID.

• Como podemos ver, esta es la GPO que utilizamos para el post anterior, dónde en la directiva Name of administrator account to manage le indicamos un nombre de cuenta:

• Ahora vamos a crear una nueva directiva dónde Name of administrator account to manage la dejaremos en No configurada, por lo que, la cuenta nativa de administrador local de nuestros equipos van a utilizar las passwords proporcionadas por LAPS:

• Esta GPO la vamos a vincular sobre una Unidad Organizativa dónde se encuentra uno de nuestros equipos:

• Aplicamos los permisos para la gestión de LAPS en esta Unidad Organizativa, ejecutando el siguiente comando Set-AdmPwdComputerSelfPermission -OrgUnit <OU>:

• Ahora si accedemos a este equipo vemos que tenemos esta cuenta nativa con permisos de administrador, a esta cuenta es a la que se le va aplicar la directiva de LAPS:

• Hacemos un gpupdate /force para aplicar las políticas:

• Con gpresult /r vemos que esta nueva GPO se está aplicando sobre el equipo:

• Ahora para ver la password de los administradores locales de los equipos, accedemos a cualquiera de nuestros controladores de dominio y ejecutamos sobre PowerShell Get-AdmPwdPassword <HOSTNAME> | fl, esta password sería la que debemos de utilizar para la cuenta nativa administrativa que tiene el equipo:

• Desde el LAPS UI (ejecutándolo como administrador) del controlador de dominio donde instalamos LAPS también podemos ver el password:

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo instalar y configurar Microsoft LAPS (Local Administrator Password Solution), LAPS determina si la contraseña de la cuenta del administrador local ha caducado, si la contraseña ha caducado, cambia la contraseña del administrador local a un nuevo valor aleatorio y transmite la nueva contraseña y la fecha de caducidad a Active Directory donde se almacena en unos atributos especiales asociados con el objeto de equipo de AD. Las contraseñas se almacenan en Active Directory y están protegidas por listas de control de acceso (ACLs) por lo que solo los usuarios elegibles pueden leerlas o solicitar su restablecimiento.

• Lo primero que vamos a realizar será descargarnos el instalador de LAPS desde este link:

• Nos descargamos la versión de 64 bits:

• Aquí podemos ver el paquete msi descargado:

• Ahora sobre cualquiera de nuestros controladores de dominio vamos a instalar el paquete msi LAPS.x64, siguiendo estos pasos:

• Si accedemos a Panel de control > Programas y características podemos ver que ya lo tenemos desplegado:

• Una vez que se haya completado el proceso de instalación, nos habrá creado en la carpeta %systemdrive%\Windows\PolicyDefinitions la plantilla que debemos utilizar para configurar nuestra GPO para LAPS:

• Si queramos utilizarla en nuestras directivas de dominio, debemos copiar estos ficheros en sus respectivas carpetas dentro de PolicyDefinitions que tenemos dentro de SYSVOL:

• Seguimos en el controlador de domino dónde hemos desplegado LAPS, y ahora vamos a importar el módulo AdmPwd.ps ejecutando sobre PowerShell con permisos de administrador el comando Import-Module AdmPwd.ps:

• Actualizamos el esquema de Active Directory con Update-AdmPwdADSchema:

• Definimos las unidades organizativas donde queremos aplicar los permisos para la gestión de LAPS, ejecutando el siguiente comando Set-AdmPwdComputerSelfPermission -OrgUnit <OU>:

• Ahora vamos a configurar una GPO para LAPS en Active Directory, al instalar la plantilla AdmPwd.admx de LAPS (instalación LAPS.x64) se añaden las nuevas políticas para establecer su configuración, habilitamos la política y en el caso de que el administrador local no sea el nombre por defecto (Administrator o Administrador) indicamos el nombre de la cuenta local tipo administrador que esté configurada en los equipos del dominio y los parámetros de las passwords como la complejidad, longitud y expiración:

• Una vez que tenemos creada la GPO la vamos a vincular sobre las unidades organizativas que indicamos anteriormente:

• Con esto ya tendríamos implementado y configurado LAPS en nuestra infraestructura, y ahora para ver la password del administrador local de los equipos, accedemos a cualquiera de nuestros controladores de dominio y ejecutamos sobre PowerShell Get-AdmPwdPassword <HOSTNAME> | fl:

• Desde el LAPS UI (ejecutándolo como administrador) del controlador de dominio donde instalamos LAPS también podemos ver el password:

• También es posible restablecer la password de administrador local de un equipo del dominio desde PowerShell, ejecutando Reset-AdmPwdPassword -ComputerName:<HOSTNAME>:

• Sólo los usuarios Administradores del dominio tienen permisos de lectura y escritura sobre los valores de los atributos donde se almacena la password y la fecha de expiración, en muchas ocasiones, necesitamos dar permisos a otros usuarios, por lo que vamos a crear dos grupos, uno de lectura (LAPS_R) y otro de lectura-escritura (LAPS_RW), dentro de estos grupos añadimos a los usuarios que nos interesen:

• Ahora asignamos los permisos para el grupo de solo lectura con el comando Set-AdmPwdReadPasswordPermission -OrgUnit <OU> -AllowedPrincipals <Usuarios/Grupos>:

• Ahora asignamos los permisos para el grupo de lectura-escritura con el comando Set-AdmPwdResetPasswordPermission -OrgUnit <OU> -AllowedPrincipals <Usuarios/Grupos>:

• Con el siguiente cmdlet verificamos la asignación de permisos asignados a las Unidades Organizativas, Find-AdmPwdExtendedRights -OrgUnit <OU_AD>:

• En los objetos tipo «Computer» de la unidad organizativa de Active Directory donde se delegaron los permisos para LAPS podemos comprobar que se han añadido dos nuevos atributos:
• ms-Mcs-AdmPwd: Almacena la password local del equipo.
• ms-Mcs-AdmPwdExpirationTime: Tiempo en la que la password expirará y será renovada por otra password aleatoria cumpliendo los requisitos establecidos en la GPO.
• A través del Editor de interfaces de servicios de Active Directory ADSI (adsiedit.msc) comprobamos como se han creado estos atributos y podemos ver su valor desde la pestaña de editor de atributos de la propia ficha del objeto en la consola de Active Directory:

Saludos y espero que os sea de ayuda

• En nuestra infraestructura de virtualización VMware, hemos desplegado estas dos máquinas, una llamada cortafuegos y otra servidor con las configuraciones de red indicadas en la actividad, la máquina cortafuegos es un Ubuntu Server 20.04 sin interfaz gráfica y la máquina servidor es un Ubuntu Server 20.04 con interfaz gráfica:

• La configuración de red para la máquina cortafuegos es la siguiente, hemos renombrado las interfaces de red para tenerlo todo más claro (WAN y LAN):

• La configuración de red para la máquina servidor es:

• En la máquina servidor podemos ver, que la ruta por defecto, sale a través de la máquina cortafuegos (10.0.0.1):

• Ahora vamos a realizar las siguientes tareas con el cortafuegos configurando iptables.
• Preparar el Cortafuegos para que haga NAT compartiendo la IP de la interface WAN:
• Lo primero que vamos a realizar es que la máquina cortafuegos deje pasar el tráfico entre la red externa (WAN) y la red interna (LAN), para ello, editamos el fichero /etc/sysctl.conf y descomentamos la línea net.ipv4.ip_forward=1:

• Ejecutamos sysctl -p /etc/sysctl.conf para que los cambios tengan efecto:

• En la máquina cortafuegos configuramos la siguiente regla, para que haga NAT compartiendo la IP dinámica de la interface WAN iptables -t nat -A POSTROUTING -o WAN -j MASQUERADE:

• Una vez configurada la máquina cortafuegos, vamos a realizar la prueba desde la máquina servidor, y verificar que podemos navegar hacia suarezdefigueroa.es:

• Para finalizar, guardamos la configuración, para que al reiniciar el sistema se carguen las iptables que hemos diseñado:

apt-get install iptables-persistent

iptables-save > /etc/iptables/rules.v4

• Abrir los puertos 80 (instalar apache en Servidor) y 21 (instalar vsftpd en Servidor) hacia el servidor:
• Sobre la máquina servidor instalamos el servidor web apache:

• Sobre la máquina servidor instalamos el servidor FTP vsftpd:

• Ahora en la máquina cortafuegos vamos a configurar la regla con iptables para abrir el puerto 80 hacia el servidor, para ello, introducimos iptables -t nat -A PREROUTING -p tcp –dport 80 -i WAN -j DNAT –to 10.0.0.10:80:

• En la máquina cortafuegos vamos a configurar la regla con iptables para abrir el puerto 21 hacia el servidor, para ello, introducimos iptables -t nat -A PREROUTING -p tcp –dport 21 -i WAN -j DNAT –to 10.0.0.10:21:

• Para finalizar, guardamos la configuración, para que al reiniciar el sistema se carguen las iptables que hemos diseñado:

iptables-save > /etc/iptables/rules.v4

• Ahora que hemos configurado las reglas con iptables, nos vamos a conectar al puerto 80 de la interface WAN de la máquina cortafuegos (192.168.14.101, ip servida por DHCP al cortafuegos) y como podemos ver, nos dirige al apache instalado en la máquina servidor:

• Nos conectamos ahora al puerto 21 de la interface WAN de la máquina cortafuegos (192.168.14.101, ip servida por DHCP al cortafuegos) y como podemos ver, nos dirige al FTP instalado en la máquina servidor:

• Permitir el acceso por SSH al cortafuegos cuando NO provenga de la MAC 02:42:02:42:02:42
• En Ubuntu Server 20.04 LTS que es el sistema operativo de la máquina cortafuegos viene instalado por defecto openssh-server, como podemos ver aquí, accedemos sin problemas por SSH:

• Ahora en la máquina cortafuegos vamos a configurar la regla con iptables para no permitir el acceso por SSH cuando provenga de la MAC 02:42:02:42:02:42, para ello, introducimos iptables -A FORWARD -m mac –mac-source 02:42:02:42:02:42 -p tcp –dport 22 -j DROP

• Para finalizar, guardamos la configuración, para que al reiniciar el sistema se carguen las iptables que hemos diseñado:

iptables-save > /etc/iptables/rules.v4

• Bloquear el acceso desde el Servidor a la web suarezdefigueroa.es
• En la máquina cortafuegos vamos a configurar la regla con iptables para bloquear el acceso desde el servidor a la web suarezdefigueroa.es, para ello, introducimos iptables -t filter -A FORWARD -s 10.0.0.10 -d www.suarezdefigueroa.es -j DROP

• Para finalizar, guardamos la configuración, para que al reiniciar el sistema se carguen las iptables que hemos diseñado:

iptables-save > /etc/iptables/rules.v4

• Desde la máquina servidor, podemos ver, que ya no se puede acceder a la web suarezdefigueroa.es:

• No permitir el ping con origen externo hacia el Servidor
• En la máquina cortafuegos vamos a configurar la regla con iptables para no permitir el ping con origen externo hacia el servidor, para ello, introducimos iptables -t filter -A OUTPUT -d 10.0.0.10 -p icmp -j DROP, luego le realizamos un ping desde la propia máquina cortafuegos al servidor y como vemos, la operación no está permitida:

• Para finalizar, guardamos la configuración, para que al reiniciar el sistema se carguen las iptables que hemos diseñado:

iptables-save > /etc/iptables/rules.v4

Saludos y espero que os resulte de ayuda

En este post vamos a ver como añadir nuestro dominio de Active Directory para descubrir los equipos de nuestra infraestructura, para más tarde, poder hacerles el despliegue de los Forticlient Endpoint.

• Para ello, accedemos a Endpoints > Manage Domains > Add:

• Introducimos los datos de nuestra AD, a través del puerto LDAP 389, que autentique con uno de los usuarios del dominio que hemos creado para este servicio, y que sincronize con el AD cada 15 minutos, clic sobre Test para verificar que conecta:

• Como podemos ver el Test ha sido satisfactorio, clic sobre Save para guardar los cambios:

• Aquí vemos que está conectado a nuestro Active Directory y ha encontrado 29 dispositivos:

• Si nos situamos sobre Endpoints > Domains, podemos ver toda la estructura del árbol LDAP de nuestro dominio de Active Directory, dónde ya podemos ver los equipos a los que les vamos a desplegar los Forticlient Endpoints, una vez tengamos configurados los perfiles:

Saludos y espero que os resulte de ayuda

En este post vamos a ver las funcionalidades y características de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Una vez que hemos instalado la aplicación, nos abrimos la consola de KSE 9.0 y sobre la ventana principal tenemos las siguientes secciones:
• Barra de herramientas, se muestra en la parte superior de la ventana principal. Los botones de la barra de herramientas permiten acceder directamente a algunas funciones de la aplicación utilizadas con frecuencia.
• Menú,se muestra justo encima de la barra de herramientas. El menú proporciona funciones de gestión de archivos y ventanas, así como acceso al sistema de ayuda.
• Árbol de consola, se ubica en la parte izquierda de la ventana principal. El árbol de la consola muestra los servidores de seguridad conectados y la configuración de Kaspersky Security. Los servidores conectados y los parámetros de configuración de Kaspersky Security figuran como nodos. Puede abrir nodos principales haciendo clic en el signo más correspondiente. Un nodo abierto se muestra con el signo menos al lado.
• Panel de detalles, se ubica en la parte derecha de la ventana principal. La ventana muestra el contenido del nodo seleccionado en el árbol.

• El nodo situado más arriba en el árbol de consola es Kaspersky Seurity 9.0 for Microsoft Exchange. Al hacer doble clic en él, se abre la lista de servidores conectados con Kaspersky Security instalado.El panel de detalles muestra también los servidores conectados y el botón Agregar servidor.

• Al hacer clic en el nodo del servidor conectado, en el panel de detalles se muestra, información general sobre los componentes de protección instalados en el servidor seleccionado, el tipo de licencia, la base de datos del AntiVirus – AntiSpam y las estadísticas de la aplicación mostrándonos los resultados del trabajo realizado (al no poseer licencia de esta aplicación me lo muestra todo con errores):

• Al hacer clic en el signo más situado junto a un servidor conectado, se abre una lista de parámetros configurables de Kaspersky Security para dicho servidor en el árbol de la consola. Podemos ver y configurar los siguientes parámetros de configuración de KSE 9.0:

• Server protection, se utiliza para ver y editar la configuración de la protección AntiVirus y AntiSpam.

• Updates, se utiliza para ver y editar la configuración de las actualizaciones de las bases de datos de AntiVirus y del componente AntiSpam.

• Notifications, se utiliza para ver y editar la configuración de las notificaciones por correo electrónico.

• Backup, se usa para ver el almacén de copias de seguridad.

• Reports, se utiliza para ver y editar la configuración de los informes del AntiVirus y del componente AntiSpam.

• Settings, se usa para ver y editar la configuración de las notificaciones, la copia de seguridad y las estadísticas.

• Licensing, se utiliza para instalar o quitar licencias, y revisar información sobre la licencia actual.

• Al seleccionar cualquier nodo en el árbol de la consola, se muestran los parámetros configurables correspondientes a dicho nodo en el panel de detalles.

• Como en nuestra infraestructura tenemos dos servidores de correos y cada uno de ellos con distintos roles, mail01 (roles de Mailbox, Client Access y Management Tools), mx01 (roles de Edge Transport – Transporte perimetral), sobre el parámetro de configuración “Server protection” las opciones a configurar serán distintas, ya que dependen de los roles que tenga cada servidor.
• En el server mail01 sobre la opción “Protection for the Mailbox role” vamos a configurar los siguientes parámetros:

• En el server mx01 sobre la opción “Protection for the Hub Transport role” vamos a configurar los siguientes parámetros:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la instalación y configuración inicial de Kaspersky Security 9.0 for Microsoft Exchange Servers (KSE).

• Lo primero que vamos a realizar será descargarnos la suite de seguridad de la web de Kaspersky – Descargas:

• Una vez que nos hemos descargado el ejecutable, lo copiamos en el escritorio de los servidores MAIL01 y MX01:

INSTALACIÓN SOBRE EL PRIMER SERVIDOR DE EXCHANGE MAIL01 – ROLES DE MAILBOX, CLIENT ACCESS Y MANAGEMENT TOOLS

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir estos pasos:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, o mejor dicho, si tengo uno configurado en el router Mikrotik que hace de Firewall, pero está configurado de manera transparente, en algún que otro post dedicado al networking de Mikrotik os enseñaré a configurar y administrar un proxy transparente, dándole así seguridad extra a nuestro entorno, por cierto, los dispositivos Mikrotik me gustan muchísimo por su relación calidad\precio\funcionalidades y sobre todo por su gran versatilidad ya que los podemos usar en multitud de entornos:

• Nos registramos para recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

INSTALACIÓN SOBRE EL SEGUNDO SERVIDOR DE EXCHANGE MX01 – ROLES DE EDGE TRANSPORT TRANSPORTE PERIMETRAL

• Uno de los requisitos indispensables para poder instalar Kaspersky Security 9.0 for Microsoft Exchange Servers es tener instalado un servidor Microsoft SQL Server 2014, por lo tanto, nos vamos a instalar los paquetes necesarios para este servidor.
• Desde la web de Microsoft nos hemos descargado los ejecutables SQLEXPRESS2014_x64 para instalar el servidor SQL EXPRESS y SQLManagementStudio_x64 para configurar, administrar y desarrollar todos los componentes de SQL Server, este último componente no es necesario para la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, pero a título personal, siempre me gusta instalarlo para poder administrar el servidor SQL, como por ejemplo, realizar backups de las bases de datos:

• Procedemos a la instalación del primer paquete SQLEXPRESS2014_x64:

• Una vez extraídos se nos abre el siguiente asistente, dónde vamos a seguir los mismos pasos que con el servidor anterior MAIL01, muestro sólo la primera pantalla y la última ya que la instalación es exactamente la misma:

• Procedemos a la instalación del segundo paquete SQLManagementStudio_x64, para ello seguimos los pasos indicados en un post de este mismo blog, post instalación SQLManagementStudio_x64

• Una vez instalado el servidor MS SQL EXPRESS, procedemos a la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, para ello damos doble clic sobre el ejecutable descargado y se nos abre el siguiente asistente, clic sobre “Siguiente”:

• Aceptamos los términos de licencia:

• Elegimos la instalación personalizada:

• Dejamos que instale todos los componentes que vienen por defecto, ya que el software de Kaspersky al iniciar la instalación realiza un chequeo y según los roles que tenga nuestro Exchange nos aparecerán más o menos componentes:

• Kaspersky Security 9.0 for Microsoft Exchange Servers se apoya en bases de datos creadas en servidores SQL para su correcto funcionamiento, por lo tanto, tenemos que configurar una conexión a un servidor SQL que anteriormente hemos instalado en este mismo servidor:

• Para que corra el servicio de KSE vamos a elegir una cuenta local:

• Para iniciar la instalación damos clic sobre “Install”, el mensaje de advertencia nos indica que los servicios MSExchangeTransport y MSExchange IS serán reiniciados:

• Comienza la instalación:

• Si nos da este error debemos aplicar el fix correspondiente descargado de la web de Microsoft:

• Como podemos ver el fix descargado es un script que tenemos que ejecutar con PowerShell:

• Como podemos ver el fix se ha aplicado correctamente:

• Ahora volvemos a iniciar la instalación de Kaspersky Security 9.0 for Microsoft Exchange Servers, siguiendo los mismos pasos que anteriormente, comienza así la instalación:

• La instalación se ha completado correctamente, clic sobre “Siguiente”:

• Se nos abre el siguiente asistente de configuración, donde vamos implementado los parámetros de configuración inicial:

• Añadimos el código de activación:

• Habilitamos las configuraciones de protección:

• Aceptamos los servicios KSN de Kaspersky:

• No tenemos configurado ningún proxy en nuestra red, clic sobre “Siguiente”:

• No configuramos recibir notificaciones acerca de Kaspersky Security 9.0 for Microsoft Exchange Servers, ya que las configuramos en el servidor anterior:

• Finalizamos la configuración inicial e iniciamos la consola de KSE:

• El aspecto de la consola de KSE 9.0 es el siguiente:

Saludos y espero que os resulte de ayuda

En los siguientes post vamos a ver cómo implementar una suite de seguridad para servidores de correos empresariales que utilicen la plataforma Exchange de Microsoft con el producto de Kaspersky – Kaspersky Security 9.0 for Microsoft Exchange Servers.

Kaspersky Security 9.0 para Microsoft Exchange Servers es una aplicación diseñada para la protección de servidores de correo basados en Microsoft Exchange Server frente a virus, software troyano y otros tipos de amenazas que se pueden transmitir por correo electrónico.

El software malicioso puede provocar daños graves; estos programas están diseñados específicamente para robar, bloquear, modificar o destruir datos, y afectan al funcionamiento de los equipos y las redes de equipos. El envío masivo de virus por correo electrónico puede propagar rápidamente la infección en redes corporativas y paralizar tanto equipos como servidores que estén en funcionamiento, lo que provoca pérdidas y tiempos de inactividad no deseados. Además, los ataques de virus también pueden provocar la pérdida de datos, que puede afectar de forma negativa al negocio.

Kaspersky Security 9.0 para Microsoft Exchange Servers proporciona protección anti-spam en el nivel del servidor de correo corporativo, llegando todo el correo filtrado a los clientes.

Vamos a recordar que nuestra infraestructura de servidores Exchange es la siguiente, por un lado, tenemos un  Microsoft Exchange 2013 con los roles de Mailbox, Client Access y Management Tools ubicado en la zona INSIDE del firewall (red interna) llamado MAIL01, y por otro lado tenemos un Microsoft Exchange 2013 con los roles de Edge Transport – Transporte Perimetral ubicado en la zona DMZ del firewall llamado MX01:

Las siguientes entradas las vamos a dividir en los siguientes puntos que iremos desarrollando:

• Kaspersky Security 9.0 for Microsoft Exchange Servers – Instalación y configuración inicial
• Kaspersky Security 9.0 for Microsoft Exchange Servers – Funcionalidades y características

Saludos y espero que os sea de ayuda

En este post vamos a ver como instalar y configurar una entidad emisora de certificados en MS Windows Server 2012 R2, esto nos va a permitir generar a nosotros mismos nuestros propios certificados, dándole seguridad a nuestras comunicaciones.

• Empezamos la configuración de nuestro servidor Active Directory Certificate Services (ADCS) asignándole un nombre y una dirección IP estática y como DNS le asignamos la dirección IP de nuestro controlador de dominio, ya que es éste servidor el que tiene el rol de DNS, también debemos unir este equipo a nuestro dominio:

• Para empezar a instalar ADCS abrimos elAdministrador del servidor y nos vamos a Administrar>Agregar  roles y características:

• Se nos abre este asistente, clic en siguiente para continuar:

• Elegimos la opción instalación basada en características o roles:

• Seleccionamos el servidor y clic sobre siguiente:

• Ahora agregamos el rol de “Servicios de certificados de Active Directory”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este rol:

• Clic en siguiente para continuar:

• Todas las características que requiere nuestro servidor de certificados se seleccionan por defecto por lo que hacemos clic en siguiente:

• Nos muestra información sobre los servicios de certificados de Active Directory, clic en “siguiente”:

• En los servicios de rol seleccionamos “Inscripción web de entidad de certificación”, el servicio “Entidad de certificación” ya está seleccionado por defecto, clic en “siguiente”:

• Se nos abre el siguiente asistente para agregar las características necesarias para este servicio de rol:

• Clic en siguiente para continuar:

• Nos muestra información sobre el rol de IIS (Internet Information Services), clic en siguiente para continuar:

• Lo dejamos todo por defecto, clic en “siguiente”:

• Nos muestra un resumen de todo lo seleccionado, marcamos el check para que reinicie el servidor cuando instale los roles que hemos seleccionado, clic sobre “Instalar”:

• Comienza con la instalación de toda la configuración elegida en los asistentes:

• Como podemos ver la instalación ha finalizado correctamente, clic sobre “cerrar”:

• Ahora para configurar los Servicios de certificado de Active Directory, sobre el Administrador del servidor, en los warning, hacemos clic en “Configurar Servicios de certificado de Active Directory”:

• Se nos abre el siguiente asistente, dónde introducimos las credenciales del administrador del dominio:

• Seleccionamos “Entidad de certificación” e “Inscripción web de entidad de certificación”:

• El tipo de instalación elegida será Entidad de certificación empresarial, ya que vamos a trabajar sobre nuestro dominio:

• El tipo de CA será root:

• Seleccionamos la opción “Crear una clave privada nueva”:

• Seleccionamos los parámetros por defecto:

• Lo dejamos tal cuál está:

• En el período de validez, elegimos por ejemplo 20 años:

• Las ubicaciones de las bases de datos las dejamos por defecto:

• Nos muestra un resumen de todo lo configurado en el asistente, clic a “Configurar”:

• Como podemos ver todo ha finalizado correctamente, clic en “Cerrar”:

• Si todo está funcionando correctamente nos podremos conectar a nuestra entidad de certificación en la URL http://localhost/certsrv, dónde cargará la página principal:

• Ahora vamos a ejecutar el Administrador de Internet Information Services (IIS) y comprobamos que las conexiones por HTTPS no están habilitadas:

• Para habilitar las conexiones por HTTPS vamos a seguir estos pasos, en primer lugar nos abrimos una consola de Windows PowerShell y ejecutamos el comando, certtmpl.msc:

• Se nos abre la siguiente consola y sobre el panel de detalles seleccionamos “Servidor Web”, luego hacemos clic sobre “Plantilla duplicada”:

• Sobre la pestaña “Compatibilidad” lo dejamos por defecto:

• Sobre la pestaña “General” le damos un nombre a la plantilla y el período de validez le damos 5 años:

• Sobre la pestaña “Seguridad” agregamos la cuenta del servidor que tiene el rol de Entidad de certificación:

• En Tipos de objeto seleccionamos Equipos:

• Agregamos nuestro servidor de Entidad de certificación:

• Le asignamos los permisos necesarios:

• Sobre la pestaña “Nombre del sujeto” configuramos estas opciones:

• Sobre la pestaña “Criptografía” el tamaño mínimo de clave debe estar en el valor 2048, aplicamos y aceptamos:

• Cerramos la consola de Plantillas de certificado y abrimos la consola de Entidad de certificación en las Herramientas administrativas:

• Sobre la consola de Entidad de certificación hacemos un clic derecho de ratón sobre “Plantillas de certificado”, seleccionamos Nuevo>Plantilla de certificado que se va a emitir:

• Seleccionamos la nueva plantilla de certificado que configuramos anteriormente y clic en “Aceptar”:

• Nos abrimos una consola de Windows PowerShell y escribimos el comando mmc, en la nueva consola que se nos abre damos clic sobre Archivo y Agregar o quitar complemento:

• Seleccionamos certificados y agregamos:

• Se nos abre este asistente dónde vamos configurando las siguientes opciones:

• Aceptamos la configuración:

• Sobre la nueva consola que acabamos de configurar solicitamos un nuevo certificado:

• Se nos vuelve a abrir un nuevo asistente, dónde vamos configurando lo siguiente:

• Como podemos ver se ha inscrito correctamente, clic en “Finalizar”:

• Ahora nos abrimos el Administrador de IIS, y sobre Default web Site hacemos clic en Modificar sitio > Enlaces:

• Añadimos las conexiones HTTPS a través del puerto 443:

• Como podemos ver ya tenemos la nueva conexión por HTTPS agregada:

• Ya podemos acceder a nuestra entidad de certificación a través de HTTPS:

Saludos y espero que os resulte de ayuda

En este post veremos cómo se configura el router Mikrotik RB1100 AHx2, para que funcione como firewall de nuestra infraestructura de red, este es un dispositivo, que a mí en particular me gusta bastante, por su versatilidad, buen funcionamiento y las cientos de opciones de configuración que tiene, en algún otro post mostraré como montar un servicio WISP con este dispositivo de Mikrotik y con algunos otros, balanceo de líneas ADSL´s, filtrado de tráfico con Filter rules, VPNs site to site y de acceso remoto, webproxy transparente, PPoE client, DNS cache transparente, limitación de ancho de banda con PCQ, etc, etc…, en fin, sobre estos dispositivos podríamos estar meses y meses escribiendo sobre ellos, por la cantidad de opciones que nos presenta.

• Con los routers de Mikrotik podemos trabajar con la línea de comandos:

• O bien con la aplicación Winbox, que la podemos descargar de la web de Mikrotik, nosotros vamos a trabajar con la aplicación winbox, ya que nos muestra una interface GUI con menús más amigable que el entorno de texto, aunque en muchas ocasiones vamos a tener que recurrir al modo texto, por ejemplo, no en este post, sino en otros que mostraré, para configurar el balanceo de líneas ADSL´s, para las reglas de filtrado, para la limitación del ancho de banda por PCQ, etc..

• Empezamos con la configuración del router Mikrotik 1100 AHx2, para ello nos abrimos una sesión con el Winbox:

• Lo primero que haremos será darle un nombre al dispositivo:

• Ahora vamos a renombrar las interfaces Ethernet, que en este caso, tenemos tres, una de ellas será la interface OUTSIDE que irá conectada directamente a Internet, otra será la INSIDE que será donde tenemos conectados nuestros servidores empresariales, y la otra la DMZ dónde tendremos servidores en la red perimetral, es decir, estos se ubicarán entre nuestra red interna y la red externa Internet:

• Una vez que tenemos renombradas las interfaces le aplicaremos el direccionamiento IP, para ello nos vamos a IP>Adresses:

• Ahora configuramos la ruta por defecto para la salida a internet, que será un router ADSL con la dirección IP 192.168.14.205, para ello nos vamos a IP>Routes:

• Y configuramos la siguiente ruta estática:

• Ahora vamos a configurar el NAT para las redes INSIDE y DMZ, para ello nos vamos a IP>Firewall:

• Sobre la pestaña NAT configuramos primero la regla para la red INSIDE:

• Ahora configuramos el NAT para la red DMZ:

• Ahora vamos a configura el DNS caché, para ello nos vamos a IP>DNS:

• Configuramos los siguientes parámetros:

• Ahora vamos a configurar el DNS cache transparente (en realidad, esta parte de la configuración es opcional, ya que el servidor DNS lo vamos a configurar en el controlador de dominio, para que todos los equipos de nuestra infraestructura apunten a él como servidor de nombres, lo muestro por si a alguien le interesa), para ello nos vamos a IP>Firewall y pestaña NAT y crearemos estas dos reglas para la redirección del DNS, una para la interface INSIDE y otra para la DMZ:

Todo lo que tenga como destino (dstnat), el puerto 53 (Dst. Port), con protocolo udp (protocol), y que entre por etherX (In. Interface), será redireccionado (redirect), al puerto 53 (To Ports).

La función del DNS Caché transparente es que los equipos de nuestra infraestructura que soliciten direcciones de internet, queden registradas en el router Mikrotik, y cada vez que los equipos soliciten de nuevo estas direcciones, sea el Mikrotik quien se las sirva, todo esto de una forma transparente para los equipos, agilizando así las comunicaciones.

• Ahora vamos a crear una regla en el firewall para darle seguridad al DNS Caché y bloquear el acceso a este recurso desde Internet, así evitaremos ataques desde el exterior, para ello nos vamos a IP>Firewall y pestaña Filter Rules:

• Ahora nos vamos a centrar en las reglas que hemos creado en el firewall para la topología de red que hemos propuesto, intentaremos explicarlas una a una:

• Desde la línea 15 a la 32 hemos configurado el Firewall para permitir o denegar el tráfico que nos interesa entre la red INSIDE y la DMZ:
• De la línea 15 a la 18, creamos las cadenas de elementos a utilizar para configurar el tráfico.
• En la línea 19 y 20 permitimos el tráfico ICMP entre estas dos redes.
• En la línea 21 y 22 permitimos que el servidor MAIL01 se pueda conectar con el MX01 a través de terminal server (por escritorio remoto), y denegamos que MX01 se pueda conectar a MAIL01 a través de terminal server.
• De la línea 23 a la 26 permitimos el tráfico LDAP Exchange EdgeSync – ADAM desde Active Directory, para que el MAIL01 (Servidor de correos) y el MX01 (Servidor perimetral) puedan sincronizar los datos de configuración de Active Directory, en este enlace podéis ver el proceso de sincronización de EdgeSync.
• En la línea 27 y 28 permitimos todo el tráfico TCP entre MAIL01 y MX01.
• De la línea 29 a la 32 permitimos el tráfico TCP entre el servidor de antivirus Kaspersky y el MX01, para que el servidor de correos perimetral (MX01) ubicado en la DMZ pueda actualizar su antivirus desde los repositorios del servidor Kaspersky que tenemos configurado en nuestra red INSIDE.
• De la línea 36 a la 44 denegamos todo el tráfico entre las tres redes que hemos configurado INSIDE-DMZ-OUTSIDE.

Saludos y espero que os sea de ayuda, hasta otra

En este post vamos a ver cómo crear tareas programadas de análisis de antivirus según el grupo al que pertenezcan los equipos clientes.

• Como podemos ver tenemos tres tareas por defecto en el grupo principal “Equipos administrados”:

• Nosotros vamos a crear una tarea personalizada de “Análisis de antivirus” para cada grupo, las otras dos tareas (Instalar actualización y Buscar vulnerabilidades y actualizaciones requeridas) las vamos a copiar del grupo principal “Equipos administrados” y la añadiremos a los grupos correspondientes.

• Empezaremos creando la tarea sobre el grupo ADMINISTRACIÓN, en este post sólo vamos a mostrar la configuración sobre este grupo, ya que sobre los demás grupos la forma de configurar esta tarea sería igual, sólo cambiaríamos los parámetros que nos interesen:

• Le asignamos un nombre a la tarea:

• Elegimos el tipo de tarea, en este caso, análisis antivirus para Kaspersky Endpoint Security 10 SP1 para Windows, ya que este es el paquete que tenemos instalado en todos los equipos del grupo Administración:

• Ahora vamos a seleccionar las diferentes coberturas del análisis, es decir, que es lo que queremos que nos analice el antivirus, nosotros dejaremos los check que vienen marcados por defecto, sólo vamos a añadir que analice el correo electrónico:

• Nos quedaría de la siguiente manera:

• La acción al detectar una amenaza la dejaremos en seleccionar automáticamente:

• La cuenta para generar la tarea, escogemos la generada de forma automática, si nos interesa, podemos ejecutar la tarea con un usuario administrador del dominio:

• Aquí configuramos los parámetros de programación de la tarea, y le indicamos que la realice todos los lunes a las 14:00 horas:

• Finalizamos la creación de la tarea de análisis de antivirus para el grupo Administración:

• Como podemos ver ya tenemos la tarea creada:

• Las tareas de Instalar actualización y Buscar vulnerabilidades y actualizaciones requeridas, las vamos a copiar del grupo principal “Equipos administrados” a los demás grupos que nos interese:

• Una vez que hemos copiado y pegado las dos tareas restantes nos quedaría de la siguiente manera, para el grupo Administración:

• El grupo Contabilidad nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los martes a las 14:00 horas:

• El grupo Ingeniería nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los miércoles a las 14:00 horas:

• El grupo Publicidad nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los jueves a las 14:00 horas:

• El grupo Ventas nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 14:00 horas:

• El grupo Controladores de dominio nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 18:00 horas:

• El grupo Dirección nos quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los lunes a las 14:00 horas:

• El grupo DMZ no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los viernes a las 18:00 horas:

• El grupo IT no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los martes a las 14:00 horas:

• El grupo Servidores no quedaría de la siguiente manera, la tarea de “Análisis de antivirus” la hemos programado para todos los domingos a las 22:00 horas:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear nuevas directivas para el Endpoint Security 10 for Windows y aplicar estas directivas a los grupos sin que se herede la configuración de la directiva primaria.

Con esta directiva vamos a poder configurar todas las opciones del antivirus en los equipos clientes.

• Empezaremos creando esta directiva sobre el grupo CALA, para que los grupos que se anidan dentro de éste hereden esta directiva, estos grupos serían, ADMINISTRACIÓN, CONTABILIDAD, INGENIERÍA, PUBLICIDAD Y VENTAS, ya que lo que queremos es que todos estos departamentos tengan la misma directiva de Endpoint Security 10 para Windows:

• Se nos abrirá este asistente, donde vamos a configurar lo siguiente:

• En este punto vamos a empezar a especificar cuáles son las opciones para el Endpoint Security 10 para Windows, en nuestro caso habilitaremos todos los checks para el Endpoint:

• En exclusiones dejamos marcadas las que vienen por defecto, más tarde podremos configurar las exclusiones que nos interesen para cada grupo:

• Aceptamos la declaración de participación en KSN:

• Para la interfaz del Endpoint, lo dejamos todo por defecto, si no queremos que nos muestre la pantalla de la consola en el equipo cliente, tenemos que deshabilitar el check “Mostrar interfaz de Kaspersky Endpoint Security 10 para Windows”, en la configuración de las notificaciones, las podemos configurar como nos interese y en la configuración de la información de soporte podemos introducir los datos que nos interese para que los equipos clientes lo puedan ver:

• Podemos activar la protección por contraseña para la consola de Endpoint Security 10, nosotros en este caso lo dejaremos deshabilitado:

• Si habilitamos la contraseña para la consola de Endpoint Security 10 para Windows, estas son las opciones que el usuario cliente puede configurar, una vez que habilitemos el check correspondiente, le podremos dar permiso al cliente de las opciones que nos interese:

• Le indicamos que active la directiva, una vez finalizado el asistente de configuración:

• Como podemos ver ya tenemos la directiva creada sobre el grupo CALA:

• Algo importante que tenemos que deshabilitar en esta directiva es el check “Heredar configuración de la directiva primaria”, para que no herede la directiva del grupo principal “Equipos administrados”, así esta directiva será aplicada a este grupo CALA y a todos los que están anidados dentro de él:

• Como podemos ver los grupos que se anidan dentro del principal CALA, si heredan la configuración de esta nueva directiva:

• Para los demás grupos o para los grupos que nos interese tendremos que hacer lo mismo y crear la directiva para el Kaspersky Endpoint Security 10 SP1 para Windows personalizada.
• Como podemos ver ya la tenemos configurada en los demás grupos:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo crear nuevas directivas para el agente de red de Kaspersky y aplicar estas directivas a los grupos sin que se herede la configuración de la directiva primaria.

Esta directiva nos va a ayudar a comunicar nuestros equipos clientes con el servidor de administración de Kaspersky.

• Empezaremos creando esta directiva sobre el grupo CALA, para que los grupos que se anidan dentro de éste hereden esta directiva, estos grupos serían, ADMINISTRACIÓN, CONTABILIDAD, INGENIERÍA, PUBLICIDAD Y VENTAS, ya que lo que queremos es que todos estos departamentos tengan la misma directiva de Agente de red de Kaspersky:

• Se nos abrirá este asistente, donde vamos a configurar lo siguiente:

• En este punto marcaremos el check “Descargar actualizaciones solo mediante Agentes de actualización”, para que los equipos clientes solo puedan descargar las actualizaciones desde el servidor de administración de Kaspersky (en nuestra red local), y no se conecten a internet para la descarga de actualizaciones a través de los servidores de Kaspersky, el tamaño de la cola de eventos lo dejaremos por defecto en 2 MB:

• Estos cuatro puntos los habilitamos y el agente de red informará a nuestro servidor de administración del estado del equipo basándose en lo que aquí habilitemos:

• En las opciones de red dejaremos habilitados todos los checks y el puerto por defecto 15000, lo único que vamos a configurar será el intervalo de sincronización, que será de 1 hora, esto quiere decir, que el equipo cliente sincronizará con el servidor de administración cada hora, por ejemplo, si esta directiva, la estuviéramos configurando sobre el grupo SERVIDORES, el intervalo de sincronización sería menor, ya que los servidores son equipos más críticos, lo podemos configurar a los 20 minutos:

• En vulnerabilidades y actualizaciones de software, el check de WSUS lo deshabilitamos, ya que este servidor de administración KSC no hace las funciones de WSUS, lo hemos configurado como rol de Windows Server 2012 R2, le indicamos que los archivos ejecutables los analice para encontrar vulnerabilidades:

• Ahora le indicamos que la directiva la aplique inmediatamente:

• Como podemos ver ya tenemos la directiva creada sobre el grupo CALA:

• Algo importante que tenemos que deshabilitar en esta directiva es el check “Heredar configuración de la directiva primaria”, para que no herede la directiva del grupo principal “Equipos administrados”, así esta directiva será aplicada a este grupo CALA y a todos los que están anidados dentro de él:

• Como podemos ver los grupos que se anidan dentro del principal CALA, si heredan la configuración de esta nueva directiva:

• Para los demás grupos o para los grupos que nos interese tendremos que hacer lo mismo y crear la directiva para el Agente de Red de Kaspersky security Center personalizada.
• Como podemos ver ya la tenemos configurada en los demás grupos:

Saludos y espero que os sea de ayuda

En este post vamos a ver una introducción a las directivas configuradas en el servidor de administración y que serán transferidas a los clientes a través del Endpoint Security 10 para Windows.

• Cuando nosotros instalamos Kaspersky Security Center, por defecto, nos crea dos directivas en el grupo principal “Equipos administrados”, una de ellas es la directiva para el Agente de red y otra para el Endpoint Security antivirus:

• Nosotros podemos agregar nuevas directivas, pero esto lo veremos en el próximo post:

• La directiva de Agente de red nos proporciona comunicación constante entre los equipos clientes y el servidor de administración, proporcionando así que los clientes puedan reportar al servidor todas las incidencias ocurridas a nivel de seguridad.
• La directiva de Kaspersky Endpoint Security 10 nos proporciona la administración del antivirus en los equipos clientes, antivirus de archivos, Firewall, prevención de intrusiones, manejo de aplicaciones, controlar los dispositivos USB en los clientes. Entre otras muchas funciones.
• Cuando creamos grupos no se crean nuevas directivas, estos grupos heredan las directivas del grupo principal, o en su defecto, del grupo al que esté anidado, si previamente hemos creado alguna directiva:

• En los grupos que hemos creado, esta opción de heredar del nivel superior la podemos deshabilitar si nos interesa, desmarcando el check “Heredar configuración de la directiva primaria” en la nueva directiva que hemos creado para este grupo:

• Volviendo a las dos directivas que nos crea por defecto, estás las podemos editar dando clic en propiedades:

• Se nos abre el siguiente cuadro de configuración:

• Para habilitar el control de dispositivos y el control web, entre otras opciones, en la directiva de Kaspersky Endpoint Security 10 tenemos que marcar los checks de “Mostrar configuración de control de Endpoint” y “Mostrar secciones de configuración de seguridad” en la pestaña «Ver>Configuración de la interfaz» del Servidor de Administración:

• Entonces cuando accedemos a las propiedades de las directivas de Kaspersky Endpoint Security 10, nos encontraremos con muchas más opciones, como pueden ser el control de dispositivos (por ejemplo para deshabilitar los USB en un equipo, para no permitir el acceso a un pen drive determinado, etc…) o el control web (por ejemplo para no permitir acceso a webs según contenido, según tipos de datos, etc…):

• Tenemos el control de dispositivos:

• Tenemos el control Web:

• Para que todas estas nuevas funcionalidades queden operativas necesitamos un licenciamiento que no sea el trial que estamos utilizando para realizar estos post, ya que si no, estas opciones SI nos la va a mostrar en la consola de Kaspersky Security Center, pero NO nos la va a mostrar y por lo tanto no estarán operativas en la consola de Endpoint Security 10 de los clientes, como podemos ver en esta imagen:

Saludos y espero que os resulte de ayuda

En este post vamos a ver la consola que se instala en los clientes, una vez hecho el despliegue remoto de Endpoint Security 10 para Windows.

• Como podemos ver ya hemos instalado de forma remota el Endpoint Security 10 para Windows en nuestro servidor de correos Exchange 2013, llamado Mail01 y todo está correcto:

• En el servidor Mail01, nos va a aparecer este icono de Kaspersky en la barra de tareas:

• Si le damos doble clic sobre el icono, esta sería la consola que van a ver los clientes, esta consola se administrará por medio de directivas que vamos a configurar más adelante a través de nuestro servidor de administración Kaspersky Security Center, por lo tanto, el cliente no va a poder configurar ni modificar opciones:

• Esta consola tiene tres componentes principales de protección: Antivirus de archivos, Firewall y Prevención de intrusiones:

• También podemos ver las tareas programadas que hemos configurado y gestionado desde el servidor de administración, estas son las tareas que se han creado por defecto, nosotros podemos crear más tareas por medio de las directivas:

• En configuración tenemos las opciones que también hemos configurado por medio de directivas, en este caso la directiva se llama Kaspersky Endpoint Security 10 Service Pack 1 para Windows, las configuraciones en el Endpoint como podemos ver nos aparecen sombreadas, ya que están configuradas en el servidor de administración, por lo tanto, el cliente no puede modificar nada:

• En la pestaña de licencia podemos ver que tenemos activa la licencia trial que nos ha proporcionado Kaspersky por 30 días:

• En informes podemos ver el registro de toda la información de lo que está sucediendo en nuestro equipo a nivel de seguridad:

• También tenemos el servicio de reputación KSN, a través del cual podemos acceder a la información más actual de la reputación de archivos y recursos web recibida de usuarios de todo el mundo:

Saludos y espero que os resulte de ayuda

En este post vamos a ver cómo se realiza el despliegue del antivirus Kaspersky Endpoint Security 10.

• Primero veremos que en el equipo dónde hemos instalado el Servidor de Administración, por defecto, ya se instala el agente de red, pero no el antivirus:

• El servidor de administración será el primer equipo dónde vamos a desplegar de forma remota el antivirus Endpoint Security 10, para ello seguimos estos pasos:

• Comienza a desplegar el antivirus:

• En ver resultados nos muestra los detalles del despliegue:

• Como podemos ver el proceso ha finalizado correctamente:

• Como podemos ver el servidor de administración ya tiene el antivirus Endpoint Security 10 para Windows instalado:

• Aquí tenemos la consola de Endpoint Security 10 para Windows, esto es lo que verán los clientes una vez realizado el despliegue:

• Ahora vamos a realizar el despliegue en un equipo que no tiene instalado el Agente de red, en este caso en el servidor de Exchange 2013 llamado mail01, en los demás equipos de nuestra infraestructura de red vamos a seguir el mismo método:

• Instalamos primero el agente de red:

• Como podemos ver la instalación del agente de red se ha completado correctamente:

• Una vez que hemos desplegado el Agente de red, tendremos que desplegar el Kaspersky Endpoint Security 10 para Windows, el proceso será el mismo que con el equipo anterior.

• Como podemos ver ya tenemos completado el despliegue sobre el servidor de Exchange 2013 mail01:

• Para los demás equipos de nuestra infraestructura realizamos la misma acción, primero desplegamos el Agente de red y luego el Endpoint Security 10 para Windows.

Saludos y espero que os sea de ayuda

En este post vamos a ver cómo crear los grupos de equipos que administraremos con Kaspersky Security Center.

• Lo primero que haremos será seguir la infraestructura de unidades organizativas que tenemos en nuestro Active Directory y aplicarla en KSC:

• Para crear un grupo dentro del principal, clic derecho sobre Equipos administrados y hacemos lo siguiente:

• Le asignamos un nombre y clic sobre Aceptar:

• Dentro de este grupo vamos a ir creando subgrupos siguiendo el orden de las unidades organizativas del Active Directory, la estructura nos quedaría de la siguiente manera:

• A estos grupos de equipos que hemos creado le vamos a poder asignar las diferentes directivas que configuremos, si no configuramos ninguna directiva en estos grupos, entonces le asignarán las que se hereden del grupo principal:

• Ahora vamos a mover los equipos a los grupos según el orden que hemos asignado en el Active Directory:

• También podemos agregar equipos de la siguiente forma:

• El grupo SERVIDORES nos quedaría de la siguiente manera:

• El grupo CONTROLADORES DE DOMINIO quedaría así:

• El grupo DIRECCION nos quedaría de la siguiente manera:

• El grupo IT nos quedaría de la siguiente manera:

• El grupo ADMINISTRACION nos quedaría de la siguiente manera:

• El grupo CONTABILIDAD nos quedaría de la siguiente manera:

• El grupo INGENIERIA nos quedaría de la siguiente manera:

• El grupo PUBLICIDAD nos quedaría de la siguiente manera:

• El grupo VENTAS nos quedaría de la siguiente manera:

• Ahora en Subredes IP nos hemos creado la subred DMZ – 192.168.3.0/24, ya que el servidor intercambiador de correos MX01 está en esta red:

• La subred LAN RAGASYS – 192.168.5.0/24 ya nos la había creado por defecto, lo único que hemos hecho ha sido editar el nombre:

• Sobre las propiedades de Subredes IP marcamos el check “Habilitar sondeos de subredes IP”, analizamos ahora y aceptamos, de esta forma nos mostrará los equipos en estas subredes:

• Ahora nos hemos creado el grupo DMZ y hemos movido el servidor MX01 a este grupo:

• Con esto ya tenemos organizados todos los equipos de nuestra infraestructura.

Saludos y espero que os resulte de ayuda