Administración de usuarios y grupos locales (Windows)

PRINCIPIOS DE SEGURIDAD

Windows permite restringir el acceso a un equipo a unos usuarios concretos; en consecuencia, el sistema podra pedir a cada no de los usuarios que se identifique al iniciar sesion, controlar el acceso a archivos y otros recursos personales y auditar sucesos del sistema, como por ejemplo, el inicio de sesion, el uso de archivos y el uso de otros recursos.
Dos conceptos relaciones con la seguridad del sistema:

• Autentificación: tenemos que garantizar al sistema que somos personas registradas para poder usar el sistema (login).
• Autorizacion: son los privilegios que un usuario ya registrado, tiene sobre el sistema.

Windows distingue dos tipos de privilegios de acceso: permisos (capacidad de acceder a un objeto) y derecho (capacidad para llevar a cabo una acción). El propietario de un recuso define los permisos en relacion a los usuarios que estan registrados; por regla general un recurso es propiedad del usuario que lo crea, aunque los perfiles administradores por definicion, pueden asumir la propiedad de recursos que no hayan creado. Para ello, el sistema asigna un identificador de seguridad (uid) a cada usuario.
Cualquier programa que inicie recibirá una copia de su testigo de acceso de seguridad para decidir si tiene acceso o no. Windows consulta la lista de control de acceso (ACL) del recuros para determinar a quien concede el acceso o no. Una ACL, es una enumeracion de los identificadores de seguridad (SID) y los privilegios de acceso asociados a cada uno de ellos (leer, escribir, ejecutar, etc.). Cada recuros sujeto a control de aceso posee un lista ACL.
En el proceso de borrar un usuario y crear uno nuevo, aunque los nombres sean identicos, no van a tener los mismos permisos; recordar que el sistema no usa un directorio de nombres, sino que emplea el identificador de seguridad (SID) que es exclusivo para cada usuario creado. Cuando se elimina una cuenta, su SID no se vuelve a utilizar, ni para ese usuario ni para ningun otro. Si el SID que aparece en una ficha de Seguridad no se convierte en un nombre, significa que se trata del SID de una cuenta que ha sido eliminada.
El último numero del SID se denomina RID, y es el identificador relativo del usuario (el RID del Administrador siempre es 500). Los tres grandes numeros que se observan se genera automaticamente con la instalacion de Windows, es decir, todos los SID de nuestro equipo tendrán esos bloques. Tener en cuenta que si el sistema es clonado, se van a mantener estos SID duplicados.
Podemos saber nuestro SID mediante linea de comandos, con whoami /USER. Para ver el SId de otro usuario podemos usar el comando runas /user:USUARIO cmd, para despues sacar la informacion referente al mismo.

Tipos de cuentas

Cuenta de usuario: coleccion de mucha informacion (archivos y carpetas), que permiten compartir un equipo con varias personas y mantener su propios archivos y configuraciones. Se accede a una cuenta mediante un nombre de usuario y contraseña:

• Cuenta estandar
• Administrador
• Invitado

Se recomienda no utilizar la cuenta Administrador, ya que al tener permisos totales, cualquier modificación de archivos importantes del sistema puede suponer un gran comedero de cabeza al usuario. Normalmente la pantalla de inicio muestra un listado de los usuarios que pueden logearse en el equipo.
Es muy recomendable una contraseña que sea seguro (es una de las medidas mas importantes que se pueden tomar para mantener el equipo protegido). Para el acceso a Escritorio remoto, es obligatorio que la cuenta tenga contraseña. Tener una contraseña segura es una de las medidas mas eficientes para ganar seguridad.

Cuentas locales y de dominio

Windows almacena informacon sobre las cuentas locales de usuarios y grupos de seguridad en una base de datos de seguridad. Dichos usuarios inician sesion unicamente en el equipos donde se hayan creado las cuentas locales, las cuales permiten acceder solo a los recuros del mismo equipos.
Generalmente si el equipo forma parte de un dominio todas las cuentas de usuarios deberan adminisrtarse desde el controlador de dominio.
La cuentad de Administrador: siempre existe, tiene todos los derechos sobre el equipo, permite crear cuentas, es el responsable del sistema y puede ejecutar tareas de alto nivel. Tambien tiene la posibilidad de crear cuentas que tengan permisos de administrador siempre, con contraseña cifrada aunque por defecto, puede estar deshabilitadas.

Grupos de trabajo

Un grupo se define por ser una coleccion de cuentas de usuario cuyas ventajas, es que nos permite administrar y controlar las cuentas que hay en el equipo, al igual que los permisos que tienen asignados. Los mas comunes son: administradores, usuarios estandar, invitados, usuarios de escritorio remoto, etc. Todo estos grupos se denominan grupos locales predeterminados.