Los procesos de fortificación, constituyen un mecanismo esencial para garantizar la seguridad de un servicio. En ocasiones anteriores se planteaba en este mismo blog la
fortificación a través de plantillas para Forefront TMG 2010. Un procedimiento similar puede realizarse con otro de los productos de la familia: MS Forefront Unified Access Gateway 2010.
El proceso de fortificación, consiste en la modificación de determinadas variables que se recogen a nivel de registro. Hay que tener en cuenta que la aplicación de una plantillas, pudiera tener consecuencias diferentes a las deseadas bajo determinadas condiciones, puesto que cuando se diseñan no se pueden evaluar todas las circunstancias. Por ejemplo determinadas aplicaciones ajenas a Microsoft instaladas en el servidor o bien configuraciones de escenarios de uso para MS Forefront UAG 2010 que pudieran ser muy particularidades.
Copia de Seguridad previa
Ante de realizar la aplicación de las plantillas sería recomendable realizar una copia de seguridad del registro. Habrá que asegurarse que en el servicio de MS Forefront UAG 2010, no quedan cambios pendientes y que la configuración se encuentra activada. Hay que tener presente que no todo el registro se verá afectado, sino solamente determinadas claves. Si se desea ser más específico en la copia de seguridad de la información a continuación se detallan las claves que se verán afectadas por la política.
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\EnterpriseCertificates
• HKEY_LOCAL_MACHINE\Software\Microsoft\Speech
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\SystemCertificates
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Tracing
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MyComputer\NameSpace
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Group Policy
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Accessibility
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\EFS
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\PerHwIdStorage
• HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Ports
• KEY_LOCAL_MACHINE\System
• HKEY_LOCAL_MACHINE\SYSTEM\Clone
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet005
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet006
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet007
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet008
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet009
• HKEY_LOCAL_MACHINE\SYSTEM\ControlSet010
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\AppMgmt\Security
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SCardSvr\Security
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum
• HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Hardware Profiles
• HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\SystemCertificates\Root\ProtectedRoots
Debería realizarse también una copia de seguridad de los ficheros existentes en las siguientes rutas:
• %ProgramFiles%\Common Files\SpeechEngines\Microsoft\TTS20
• %ProgramFiles(x86)%\Common Files\SpeechEngines\Microsoft\TTS20
• %SystemRoot%\ServiceProfiles\LocalService
• %SystemRoot%\ServiceProfiles\NetworkService
• %SystemDirectory%\wbem\mof
• %SystemDrive%\inetpub\logs\wmsvc
• %SystemRoot%\SysWOW64\inetsrv\Config\Export
• %SystemDirectory%\config\RegBack\default
• %SystemDirectory%\config\systemprofile\ntuser.dat
• %SystemDirectory%\config\RegBack\sam
• %SystemDirectory%\config\RegBack\security
• %SystemDirectory%\config\RegBack\software
• %SystemDirectory%\config\RegBack\system
Forefront UAG 2010: Security Policy Template
La descarga de la plantilla puede realizarse desde el centro de descargas de Microsoft:
Platilla fortificación Forefront UAG 2010. El fichero zip descargado contiene la plantilla en formato XML que será utilizado para su aplicación a través del asistente de configuración de seguridad. El proceso a emplear será igual al indicado en el artículo sobre
fortificación a través de plantillas en Forefront TMG 2010.