LA SEGURIDAD EN WINDOWS XP:

Control de acceso a los usuarios

Windows XP Professional ofrece eficaces características de seguridad que ayudan a las empresas a proteger sus datos confidenciales y proporcionan soporte para administrar los usuarios de la red. Una de las características más importantes de Windows XP Professional es el uso de objetos de directiva de grupo (GPO). Los objetos de directiva de grupo permiten a los administradores aplicar un único perfil de seguridad a varios equipos o aprovechar la tecnología de tarjeta inteligente para autenticar usuarios.

Mejoras de seguridad

Windows XP Professional incluye distintas características con las que las empresas pueden proteger archivos, aplicaciones y otros recursos seleccionados. Estas características incluyen listas de control de acceso (ACL), grupos de seguridad y directiva de grupo, y también las herramientas necesarias para que las empresas las configuren y administren. En su conjunto, ofrecen una infraestructura de control de acceso eficaz y flexible para las redes empresariales.

Windows XP dispone de miles de opciones relacionadas con la seguridad que se pueden implementar individualmente. El sistema operativo Windows XP también incluye plantillas de seguridad predefinidas que las empresas pueden implementar sin modificaciones o utilizar como base para una configuración de seguridad más personalizada. Las empresas pueden aplicar las plantillas de seguridad en los siguientes casos:

� Cuando crean un recurso, como una carpeta o archivo compartido, y aceptan la configuración predeterminada de la lista de control de acceso o implementan una configuración predeterminada.

� Cuando sitúan usuarios en los grupos de seguridad estándar, como Usuarios, Usuarios avanzados y Administradores, y aceptan la configuración predeterminada de la ACL que se aplica a dichos grupos de seguridad.

� Cuando utilizan las plantillas de directiva de grupo básica, compatible, segura o de alta seguridad que se incluyen en el sistema operativo.

Todas las características de seguridad de Windows XP (ACL, grupos de seguridad y directiva de grupo) tienen configuraciones predeterminadas que pueden modificarse y adaptarse a las necesidades de cada organización. Las empresas también pueden utilizar herramientas adecuadas para implementar y modificar el control de acceso. Muchas de ellas, como los complementos de Microsoft Management Console, son componentes de Windows XP Professional.

Permisos y configuración en Windows XP Profesional:

Protección de Carpetas y archivos con permisos: 1.- Creación de Usuarios:

En principio vamos a crear cuatro usuarios, Adan, Eva, Ping y Pong : Inicio/Panel de Control/Cuentas de usuario/ Crear una cuenta nueva/Adan/ x Limitada. Cambiar una cuenta/Cambiar la contraseña/adan Crear una cuenta nueva/Eva/ x Limitada. Cambiar una cuenta/Cambiar la contraseña/eva Crear una cuenta nueva/Ping/ x Limitada. Cambiar una cuenta/Cambiar la contraseña/ping Crear una cuenta nueva/Pong/ x Limitada. Cambiar una cuenta/Cambiar la contraseña/pong (Ponemos las contraseñas con el mismo nombre de los usuarios, para su fácil recuerdo.)

La forma de crear usuarios es mediante Administración de equipos : Formas de entrar en Administración de equipos : a) Inicio/Panel de control/Rendimiento y mantenimiento/Herramientas administrativas/Administración de equipos b) Inicio/Ejecutar/compmgmt.msc c) Botón derecho sobre Mi PC/Administrar.

Vamos a Usuarios locales y grupos/Usuarios/Botón derecho/Usuario nuevo ...

2.- Creación de Grupos:

Ahora vamos a Administración de equipos y vamos a meter a Adan y Eva en el grupo Biblios y a Ping y Pong en el grupo Pinipones.

Vamos a Usuarios locales y grupos/Grupos/Botón derecho/Grupo nuevo ... /Nombre del grupo: Biblios/Agregar ... /Seleccionar Usuarios :

Tipos de Objetos (Marcar Todos)

Avanzadas.... Buscar ahora Elegir Adan Aceptar

Agregar Avanzadas .... Buscar ahora Elegir Eva

Aceptar

(Se podrían haber agregado los dos a la vez, pulsando, sin soltar, la tecla Ctrl) Si ahora vuelves a Administración de equipos/Usuarios locales y grupos/Usuarios y pulsas con el botón derecho sobre Adan y luego Propiedades observarás que es Miembro del Grupo Biblios

3.- Partición NTFS:

Con XP podemos tener los discos formateados con FAT32 o con NTFS. Se utiliza NTFS para proteger los archivos y carpetas con permisos, o sea, podemos establecer quién puede ver, leer, escribir, ejecutar esas carpetas o archivos. También con NTFS podemos poner cuotas a los discos y cifrar archivos.

Vamos a utilizar NTFS, este tipo de formato para las particiones lo podemos realizar mientras instalamos Windows XP, o instalar XP con FAT32 y una vez instalado convertirlo a NTFS. Es mejor que la partición se cree NTFS en vez de ser convertida. (Ver convert en Ayuda de Windows) Hay programas como Partition Magic que nos permite pasar de un tipo de partición a otra sin perder datos.

XP no tiene herramienta para la conversión inversa, es decir de NTFS a FAT, el mencionado Partition Magic si lo puede conseguir, pero es una operación que entraña algún riesgo, por lo que es conveniente hacer copias de seguidad de nuestros trabajos antes de realizarla.

Suponemos que con Partition Magic u otro programa hemos creado una partición R: con FAT32 y ahora la vamos a pasar a NTFS. (Habría sido mejor crearla de principio NTFS).

Si hemos instalado R: en FAT32 la podemos convertir a NTFS de esta manera: Inicio/Ejecutar/cmd C:\> convert R: /fs:ntfs /v

Reiniciamos.

Para ver como queda nuestro disco vamos a : Botón derecho sobre Mi PC/Administrar/Almacenamiento/Administración de discos.

Suponemos que ya tenemos nuestro disco R: con formato NTFS.

Ahora vamos a Mi PC/Botón derecho sobre el disco R:/Propiedades, vemos varias fichas : General-Herramientas-Hardware-Compartir-Seguridad. Si no vemos Seguridad vamos a Herramienta/Opciones de Carpeta ../Ver/Desmarcamos "Utilizar uso compartido simple de archivos" La ficha Seguridad y los permisos sólo valen para las particiones NTFS.

4.- Permisos (NTFS):

Nota: Para aplicar Permisos en un Archivo o Carpeta: Pulsémoslos con el Botón derecho/Propiedades/Seguridad.

Si no vemos la ficha Seguridad: Herramienta/Opciones de Carpeta.../Ver/Desmarcamos "Utilizar uso compartido simple de archivos" (esto lo hacemos como un Administrador)

Una vez que tenemos varios usuarios y grupos configurados y una partición NTFS vamos a crear una carpeta y un archivo con permisos.

Vamos a entrar como el usuario Adan : Inicio/Cerrar Sesión/Cambiar de usuario : Adan adan

• Vamos a Mi PC y a la partición NTFS R: • Entramos en R: Creamos una Nueva carpeta R:\CarpetadeAdan • Entramos en R:\CarpetadeAdan y Creamos un documento de WordPad, llamado

DocumentodeAdan.doc • Editamos R:\CarpetadeAdan\DocumentodeAdan.doc y escribimos dentro "Este texto ha

sido creado por Adán."

• Guardamos el documento.

Adan es el propietario de su carpeta y de su archivo, porque lo ha creado, y dispone de todos los permisos sobre ellos.

Se trata que : Eva, que pertenece al Grupo Biblios de Adán pueda leer y escribir la carpeta y el archivo. Ping que pertenece al Grupo Pinipones pueda solo leer el archivo y la carpeta.

Adán va a configurar los permisos :

Adán entra en Mi PC/Disco R: NTFS/Botón derecho/CarpetadeAdan/Propiedades/Seguridad

Agregar Tipos de objetos ... = Marcar todos Avanzadas Buscar ahora Elegir Biblios Elegir Pinipones

En caso que en Nombres de grupos o usuarios aparezca algo más : Todos, OWNER, ... lo Quitamos Si no se puede Quitar vamos a Opciones Avanzadas y desmarcamos : Heredar del objeto principal las entradas de permisos .... Ahora en caso que aún siga apareciendo algo más, le quitamos sus permisos.

Ahora Adán pulsa con el botón derecho DocumentodeAdan.doc/Propiedades/Seguridad y configura los permisos igual que con la carpeta anterior.

Adán puede hacer lo que quiera con la carpeta CarpetadeAdan y con el archivo DocumentodeAdan. Eva que pertenece al Grupo Biblios puede Leer y Escribir el archivo y la carpeta pero no puede Eliminarlos ni cambiarle los permisos. Ping que pertenece al Grupo Pinipones solo puede Leer el archivo y la carpeta pero no puede Escribir ni Eliminarlos

Para comprobarlo vamos a Inicio/Cerrar Sesión/Cambiar de usuario (o bien Tecla <Win>+L) Vamos poniendo los distintos usuario : Adan, Eva, Ping y Pong observando que en se cumplen los permisos especificados por Adán.

NOTAS :

• Heredar permisos significa que la carpeta actual toma los permisos de la carpeta a la que pertenece.

• Tengo la carpeta Superior y quiero que sus carpetas inferiores no hereden los permisos de Superior : En Superior/Propiedades/Seguridad/Opciones avanzadas/Modificar/Aplicar en : Solo ésta carpeta

• Tengo la carpeta Superior y quiero que sólo la carpeta inferior1 no herede los permisos de Superior. En inferior/Propiedades/Seguridad/Opciones avanzadas/Desmarco Heredar del objeto principal las entradas de permisos...

Cuando desmarcas Heredar del objeto principal ..... sale una ventana, pulsa Copiar. Si en nombre de usuario o grupo salen más líneas las podemos eliminar quitando antes lo de Heredar y Copiar.

Principal es la carpeta Padre Secundaria es la carpeta Hija

La carpeta Hija hereda los permisos de su Padre Si no queremos que los herede : En Padre : Aplicar en : Solo ésta carpeta. O bien en Hija : Desmarcar : Heredar del objeto principal las entradas de permisos.

Los Administradores pueden cambiar los permisos de cualquier carpeta pero antes tienen que hacerse propietario de ella : 1.) Entrar como Administrador. 2.) Propiedades/Seguridad/Opciones avanzadas/Propietario/Cambiar propietario a : Administrador(Juan)

Opciones avanzadas : 1.) X Heredar del objeto ...... = Las subcarpetas que se creen a partir de ahora heredan los permisos de su carpeta Padre. 2.) X Reemplazar las entradas ..... = Las subcarpetas que ya estén creadas con otros permisos, cambian sus permisos a las que tiene su carpeta Padre.

a) Aplicar en ... Si queremos aplicar los permisos sólo a la carpeta actual y/o a sus subcarpetas y/o archivos

b) Aplicar estos permisos a objetos y/o contenedores sólo dentro de este contenedor. = Si queremos que sólo se apliquen a la carpeta actual o queremos que sus subcarpetas

también hereden los permisos. (o sea si marcamos, los permisos se aplican a las subcarpeta y acaban. Si no lo marcamos se heredan de subcarpetas a subcarpetas)

Ejercicio propuesto : Adan debe copiar la Calculadora (C:\Windows\System32\calc.exe) en la CarpetadeAdan de manera que sólo Adan tenga Control total sobre la Calculadora. Eva puede sólo verla y ejecutarla, pero no puede Cambiar nombre ni Eliminarla. Y los Pinipones pueden verla cuando entren en la CarpetadeAdan, pero no pueden Ejecutarla ni Cambiar nombre ni Eliminarla ni nada. Se supone que la Calculadora se puede copiar, en caso contrario el Administrador le copiaría la calculadora en su carpeta.

Resultado :

CarpetadeAdan Adan tiene : Control total sobre la CarpetadeAdan Permisos especiales : Desmarcado : Heredar del objeto .... Opciones avanzadas/Modificar/Aplicar sólo en esta carpeta. Eva tiene : Lectura y Escritura, Mostrar el contenido de la carpeta, Leer. Pinipones tiene : Lectura y Escritura, Mostrar el contenido de la carpeta, Leer.

Archivo calc.exe Adan tiene : Control total Eva tiene : Lectura y ejecución, Leer. Pinipones tiene : Permisos especiales (Opciones avanzadas) Modificar = Leer Datos

El Administrador puede entrar en todas las carpetas aunque sus propietarios no le hayan dado:

Entra Adan, crea una carpeta: R:\Secretos y dentro un archivo misecreto.txt

Quita a todos, salvo a él, de la ventana de permisos, nadie puede ver ni entrar en su carpeta, ni el Administrador (por el momento).

Entra el Administrador, intenta leer el archivo misecreto.txt. No puede porque no tiene permisos.

Se hace propietario de la carpeta: Propiedades / Seguridad / Opciones avanzadas / Propietario / el Administrador se hace propietarios de la Carpeta. Ahora puede ponerse los permisos como Control Total. En estos momentos puede acceder a la carpeta de Adán pues ésta ha cambiado de propietario.

¿Porqué los Administradores se pueden hacer propietarios? Porque está configurada en la Directiva de grupo. permiso.

Vamos a realizar lo siguiente Inicio/Ejecutar/gpedit.msc Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de seguridad/Directivas locales/Asignación de derechos de usuarios/ Take owner of files or other objects 5.- Las directivas de Equipo local: Las directivas a un equipo se configuran desde el comando “gpedit.msc” que se encuentra en “Wundows/system32” Estas directivas se dividen en dos partes fundamentales:

• Configuración del Equipo: Donde se configuran las políticas de todo el equipo. • Configuración del Usuario: Donde se configuran las políticas del usuario iniciado.

� Configuración del Equipo: En esta sección, podemos Asignarle o denegarle derechos a los distinto usuarios o grupos en un equipo. Esta configuración se encuentra siguiendo la ruta: Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de seguridad/Directivas locales/Asignación de derechos de usuarios y, por defecto solo puede ser configurada por los usuarios del Grupo Administradores.

Veamos un ejemplo:

Ping es miembro de Pinipones y el Grupo Pinipones NO tienen derecho a cambiar la hora : Entra como Ping e intenta cambiar la hora del ordenador = (Reloj/Botón derecho/Ajustar fecha y hora). NO PUEDE, porque como Usuario normal y corriente tiene restringido este derecho. Vamos a darles derecho a los Pinipones para que pueda cambiar la hora : Entramos como un Administrador. Inicio/Ejecutar/gpedit.msc (Directiva de grupo) Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de seguridad/Directivas locales/Asignación de derechos de usuarios/Change the system time : (Doble clic) : Agregar usuario o grupo/Tipos de objetos ... (Marcas todos)/Avanzadas ... /Buscar ahora/Elegir Pinipones. Ahora entramos como Ping y observamos que podemos cambiar la hora : (Reloj/Botón derecho/Ajustar fecha y hora)

Asignación de otros derechos que le podemos otorgar a los Grupos : Recordemos que se configura con el comando “gpedit.msc” en la ruta “Directiva Equipo Local/Configuración del equipo/Configuración de Windows/Configuración de seguridad/Directivas locales/Asignación de derechos de usuarios/” • Bypass traverse checking (Saltarse la comprobación de recorrido)

Aunque no le demos permiso de Recorrer carpeta a un usuario, éste podrá hacerlo si está configurado en esta Directiva.

• Perform volume maintenance tasks (Realizar tareas de mantenimiento de volúmenes) = Para que pueda Limpiar y Desfragmentar discos.

• Shut Down System (Apagar el Sistema) = Para que pueda apagar el ordenador.

• Take owner of files or other objects (Tomar posesión de archivos y otros objetos) = Para que pueda hacerse propietario de cualquier carpeta protegida con permisos.

• Denegar el acceso desde la red a este equipo Para evitar que algún usuario entre en el equipo a través de la red.

• Inicio de sesión local Los usuarios aquí configurado pueden acceder en el equipo local.

� Configuración del Usuario: En esta sección, podemos habilitar o denegar la Configuraciones del Sistema al usuario que está logueado en ese momento (current user) en un equipo, por medio de las Plantillas Administrativas. Este último ítem contiene parámetros que sólo se pueden usar para configurar usuarios, y solo se puede configurar entrando como ese usuario, y no es imprescindible ser Administrador para hacerlo, por lo que son políticas de seguridad sin restricciones de uso salvo la de poder loguearse como el usuario local. Para evitar que los usuarios accedan a la edición de estas políticas se deberá evitar que cualquiera que no sea del grupo Administradores pudiera ejecutar “gpedit.msc”. Existirían dos formas para restringir el uso de este comando:

• Una forma sencilla y mas casera, pensando que el usuario común no tenga conocimientos avanzados, sería la de desinstalar el comando luego del uso. Se puede configurar una política de seguridad para el equipo que solo los usuarios del Grupo Administrador pueden “agregar o quitar Programas”, por lo que al usuario común le será imposible utilizar el comando (que estará desinstalado) y tampoco reinstalarlo.

• Otra forma mas avanzada sería colocar el comando en una partición NTFS y configurar la denegación total a aquellos usuarios que no sean del Grupo Administrador. Como solo se puede configurar entrando como el usuario local, el Administrador deberá (previamente a la configuración de la política) darle (o al grupo al que pertenece) el permiso NTFS para el control total del comando provisoriamente para poder loguearse como ese usuario, cambiar las políticas y luego, logueado nuevamente como Administrador, volverle a denegar el acceso al comando en cuestión.

Descripción de las Principales Plantillas Administrativas: Las Plantillas Administrativas tienen una serie compleja de configuraciones. Tomaremos las que consideramos de mayor utilidad para la configuración de un puesto de trabajo local con un acceso a una red workgroup.

• Menú Inicio y barra de tareas • Escritorio • Panel de control • Sistema • Componentes de Windows

Dentro de cada ítem, existen también una larga serie de sub-ítems. Volveremos a discriminar todos aquellos que no sirvan específicamente a la configuración de seguridad para un equipo local con acceso a una red pequeña. Principales configuraciones para el Menú Inicio y barra de tareas: Descripción general: Contiene la configuración que le permite agregar, quitar o deshabilitar elementos del menú Inicio, barra de tareas y área de notificación. Componentes Principales: 1 Quitar carpetas del usuario del menú Inicio: Oculta todas las carpetas de la sección del usuario (sección superior) del menú Inicio. Aunque otros elementos aparecerán, las carpetas estarán ocultas. Esta configuración se ha creado para utilizarla con carpetas redirigidas. Las carpetas redirigidas aparecen en la parte principal (inferior) del menú Inicio. Sin embargo, la versión de la carpeta original, del usuario sigue apareciendo en la parte superior del menú Inicio. Como la apariencia de dos carpetas con el mismo nombre puede confundir a los usuarios, puede utilizar esta configuración para ocultar las carpetas de usuario. Esta configuración oculta todas las carpetas de usuario, no sólo las asociadas con las carpetas redirigidas. Si habilita esta configuración, no aparecerán carpetas en la sección superior del menú Inicio. Si los usuarios agregan carpetas al directorio Menú Inicio en sus perfiles de usuario, las carpetas aparecerán en el directorio pero no en el menú Inicio. Si deshabilita esta configuración o no la configura, Windows 2000 y Windows XP mostrarán carpetas a ambos lados del menú Inicio.

2 Quitar vínculos a Windows Update: Impide que los usuarios se conecten al sitio Web Windows Update. Esta configuración impide que los usuarios puedan acceder al sitio Web Windows Update en http://windowsupdate.microsoft.com. Esta configuración también quita el hipervínculo hacia Windows Update desde el menú Inicio y desde el menú Herramientas de Internet Explorer. Windows Update, la extensión en línea de Windows, ofrece actualizaciones de software para mantener actualizado el sistema del usuario. El Windows Update Product Catalog determina qué archivos del sistema, correcciones a seguridad y actualizaciones de Microsoft necesitan los usuarios y muestra una lista de las versiones más recientes que pueden descargarse. 3 Quitar el icono Mis documentos del Menú Inicio: Quita el icono Mis documentos del Menú Inicio y sus submenús. Esta configuración sólo quita el icono. No impide que el usuario utilice otro métodos para tener acceso al contenido de la carpeta Mis documentos. 4 Quitar el menú Documentos del menú Inicio: Quita el menú Documentos del menú Inicio. El menú Documentos contiene vínculos hacia los archivos que no son de programa que los usuarios han abierto más recientemente. Este menú aparece para que los usuarios puedan abrir fácilmente los documentos. Si habilita esta configuración, el sistema guardará accesos directos a documentos pero no los mostrará en el menú Documentos. Si más tarde la deshabilita o la establece como No configurada, los accesos directos a documentos que se guardaron mientras la configuración estaba habilitada aparecerán en el menú Documentos. 5 Quitar programas del menú Configuración: Impide que Panel de control, Impresoras y Conexiones de red se ejecute. Esta directiva quita las carpetas Panel de control, Impresoras y Conexiones de red de la Configuración del menú Inicio, de Mi PC y del Explorador de Windows. También impide que los programas representados por estas carpetas (como Control.exe) se ejecuten. Sin embargo, los usuarios pueden iniciar elementos del Panel de control utilizando otros métodos, como por ejemplo hacer clic con el botón secundario sobre el escritorio para iniciar Pantalla o hacer clic con el botón secundario sobre Mi PC para iniciar Sistema. 6 Quitar Conexiones de red del menú Inicio:

Impide que los usuarios ejecuten Conexiones de red.

Esta configuración impide que la carpeta Conexiones de red se abra. Esta configuración también quita la opción Conexiones de red de la Configuración en el menú Inicio.

El elemento Conexiones de red seguirá apareciendo en el Panel de control y en el Explorador de Windows, pero si los usuarios intentan iniciarlo, aparecerá un mensaje explicando que existe una configuración que impide dicha acción.

7 Quitar el menú Favoritos del menú Inicio: Evita que los usuarios agreguen el menú Favoritos al menú Inicio o al menú de inicio clásico. Si habilita esta configuración el elemento Mostrar Favoritos no aparecerá en el cuadro de opciones del menú Inicio Opciones Avanzadas.

Si deshabilita o no establece esta configuración el elemento Mostrar Favoritos estará disponible. Nota: el menú Favoritos no aparece en el menú Inicio de forma predeterminada. Para mostrar el menú Favoritos, haga clic con el botón secundario del mouse en el menú Inicio, señale Propiedades, haga clic en Personalizar. Si está usando el menú Inicio, haga clic en la ficha Opciones avanzadas y en Elementos del menú Inicio, seleccione el menú Favoritos. Si está usando el menú de Inicio clásico, seleccione Mostrar Favoritos en el cuadro de opciones del menú Inicio Opciones Avanzadas. 8 Quitar el menú Buscar del menú Inicio: Quita el elemento Buscar del menú Inicio, y deshabilita algunos elementos de búsqueda del Explorador de Windows. Esta configuración quita el elemento Buscar del menú Inicio y del menú contextual que aparece cuando se hace clic con el botón derecho del mouse en el menú Inicio. Además, el sistema no responde cuando los usuarios presionan la tecla de la aplicación (la tecla con el logotipo de Windows)+ F. En el Explorador de Windows, el elemento Buscar seguirá apareciendo en los botones de la barra de herramientas estándar, pero el sistema no responderá cuando el usuario presione Ctrl+F. Además, buscar no aparecerá en el menú contextual cuando se haga clic con el botón derecho del mouse sobre un icono que represente una unidad o una carpeta. Esta configuración afecta sólo a los elementos de la interfaz de usuario especificado. No afecta a Internet Explorer y no impide que el usuario use otros métodos para buscar. 9 Quitar el menú Ayuda del menú Inicio: Quita el comando Ayuda del menú Inicio. Esta configuración sólo afecta al menú Inicio. No se quitará el menú Ayuda del Explorador de Windows y no impide que los usuarios ejecuten la Ayuda. 10 Quitar el menú Ejecutar del menú Inicio: Le permite quitar el comando Ejecutar del menú Inicio, Internet Explorer, y Administrador de tareas. Si habilita esta configuración, ocurrirán los siguientes cambios: (1) Se quita el comando Ejecutar del menú Inicio. (2) El comando Nueva tarea (ejecutar) se quita del Administrador de tareas. (3) Se impedirá al usuario escribir lo siguiente en la Barra de direcciones de Internet Explorer: --- Una ruta UNC: \\<servidor>\<recurso_compartido> --- Tener acceso a unidades locales: Por ejemplo, C: --- Tener acceso a carpetas locales: Por ejemplo, \temp> Además, los usuarios con teclados extendidos no podrán seguir mostrando el cuadro de diálogo Ejecutar presionando la tecla de Aplicación (la tecla con el logotipo de Windows) + R. Si deshabilita esta configuración o no la establece, los usuarios tendrán acceso al comando Ejecutar del menú Inicio y podrán usar la barra de direcciones de Internet Explorer en el Administrador de tareas. 11 Quitar el icono Mis sitios de red del menú Inicio: Quita el icono Mis sitios de red del menú Inicio.

12 Quitar Cerrar sesión en el menú Inicio: Quita el elemento "Cerrar sesión de <nombre de usuario>" del menú Inicio e impide que los usuarios vuelvan a agregarlo. Si habilita esta configuración, el elemento Cerrar sesión de <nombre de usuario> no aparece en el menú Inicio. Esta configuración también quita el elemento Mostrar Cierre de sesión de las opciones del menú Inicio. Como resultado, los usuarios no podrán volver a agregar el elemento Cerrar sesión <nombre de usuario> en el menú Inicio. Si deshabilita esta configuración o no la configura, los usuarios pueden utilizar el elemento Mostrar Cierre de sesión para agregar o quitar el elemento Cierre de sesión de. Esta configuración sólo afecta al menú Inicio. No afecta al elemento Cerrar la sesión del cuadro de diálogo Seguridad de Windows que aparece al presionar Ctrl+Alt+Supr, y no impide que los usuarios utilicen otros métodos para cerrar la sesión. 13 Quitar e impedir el acceso al comando Apagar: Impide que los usuarios cierren o vuelvan a iniciar Windows. Esta configuración quita la opción Apagar del menú Inicio y deshabilita el botón Apagar del cuadro de diálogo Seguridad de Windows, que aparece al presionar CTRL+ALT+SUPR. Esta configuración impide que los usuarios utilicen la interfaz de usuario de Windows para apagar el sistema, aunque no les impide que ejecuten programas que cierran Windows. Si deshabilita esta configuración o no la establece, la opción de menú Apagar aparecerá y el botón Apagar estará habilitado. 14 Quitar los menús contextuales para arrastrar y colocar del menú Inicio: Impide que los usuarios utilicen el método de arrastrar y colocar para volver a clasificar o quitar elementos del menú Inicio. Si deshabilita esta configuración o no la configura, los usuarios pueden quitar o volver a clasificar los elementos del menú Inicio con sólo arrastrar y colocar el elemento en cuestión. Los usuarios podrán abrir menús contextuales haciendo clic con el botón secundario sobre un elemento del menú Inicio. Esta configuración no impide que los usuarios utilicen otros métodos para personalizar el menú Inicio o para llevar a cabo las tareas a las que se puede acceder desde los menús contextuales. 15 Impedir cambios en la configuración de la barra de tareas y del menú Inicio: Quita el elemento Barra de tareas y menú Inicio de Configuración del menú Inicio. Esta configuración también impide que el usuario abra el cuadro de diálogo Propiedades de Barra de tareas y menú Inicio. Si el usuario hace clic con el botón secundario sobre la barra de tareas y luego hace clic sobre Propiedades, aparecerá un mensaje indicándole que existe una configuración que impide dicha acción. 16 Quitar el accesos a los menús contextuales para la barra de tareas: Oculta los menús que aparecen cuando hace clic con el botón secundario sobre la barra de tareas y sobre elementos de la barra de tareas, como por ejemplo el botón Inicio, el reloj y los botones de la barra de tareas. Esta directiva no impide que los usuarios utilicen otros métodos para ejecutar los comandos que aparecen en estos menús.

17 Quitar y deshabilitar el botón Apagar equipo Si habilita esta configuración, el botón "Apagar equipo" se quitará del menú Inicio sencillo y el usuario no podrá apagar Windows usando la interfaz de usuario estándar para el apagado. Si deshabilita esta configuración o no la configura, el botón "Apagar equipo" permanecerá en el menú Inicio sencillo 18 Quitar nombre de usuario del menú Inicio: Quita nombre de usuario del menú Inicio Principales configuraciones para el Escritorio: 1 Ocultar y deshabilitar todos los iconos del Escritorio: Quita del escritorio los iconos, accesos directos y otros elementos predeterminados y definidos por el usuario, incluidos el Maletín, la Papelera de reciclaje, Mi PC y Mis sitios de red. Aunque se quiten los iconos y los accesos directos, el usuario puede utilizar otros métodos para iniciar los programas o para abrir los elementos que representan. Consulte también: "Elementos mostrados en la Barra de lugares" en Configuración del usuario\Plantillas administrativas\Componentes de Windows\Común. Abra el diálogo de archivo para quitar el icono Escritorio de la Barra de lugares. Esto ayudará a impedir que los usuarios guarden datos en el Escritorio. 2 Quitar el icono Mis documentos del escritorio: Quita la mayoría de los iconos Mis documentos. Esta configuración quita el icono Mis documentos del escritorio, del Explorador de Windows, de los programas que utilicen las ventanas del Explorador de Windows y del cuadro de diálogo estándar Abrir. Esta configuración no impide que el usuario utilice otros métodos para acceder al contenido de la carpeta Mis documentos. Esta configuración no elimina el icono Mis documentos del Menú Inicio. Nota: Para que los cambios efectuados en esta configuración se apliquen, debe cerrar la sesión e iniciarla de nuevo en Windows 2000. 3 Quitar icono Mi PC del escritorio: Esta configuración oculta Mi PC en el escritorio y en el nuevo menú Inicio. También oculta los vínculos a Mi PC en la vista Web de todas las ventanas del Explorador de Windows y oculta Mi PC en el panel del árbol de carpetas del Explorador. Si el usuario llega a Mi PC usando el botón "Arriba" mientras esta configuración está habilitada, verá una carpeta Mi PC vacía. Esta configuración permite a los administradores impedir que los usuarios vean Mi PC en el nombre de espacios Shell, permitiéndoles ofrecer a sus usuarios entornos de escritorio más simples. Si habilita esta configuración, Mi PC no aparecerá en el escritorio, en el nuevo menú Inicio, en el panel del árbol de carpetas del Explorador ni en las vistas Web del Explorador. Si el usuario consigue llegar a Mi PC, la carpeta aparecerá vacía. Si deshabilita esta configuración, Mi PC se mostrará normalmente, apareciendo en el escritorio, Menú Inicio, panel del árbol de carpetas y vistas Web, a no ser que otra configuración lo impida. Si no establece esta configuración, el comportamiento predeterminado es mostrar Mi PC con normalidad.

Nota: ocultar Mi PC y sus contenidos no oculta los contenidos de las carpetas secundarias de Mi PC. Por ejemplo, si los usuarios acceden a uno de sus discos duros, verán todas sus carpetas y archivos, incluso si está configuración está habilitada. 4 Quitar la Papelera de reciclaje del escritorio: Quita la mayoría de las ocurrencias del icono de la Papelera de reciclaje. Esta configuración quita el icono de la papelera de reciclaje del escritorio, del explorador de Windows, de programas que usen las ventanas del explorador de Windows y del diálogo estándar Abrir. Esta configuración no impide que los usuarios usen otros métodos para acceder los contenidos de la carpeta Papelera de reciclaje. Nota: para que los cambios de esta configuración tengan efecto, debe cerrar sesión y volver a iniciar sesión. 5 Quitar el elemento Propiedades del menú contextual de Mis documentos: Esta configuración oculta Propiedades del menú contextual de Mis documentos. Si habilita esta configuración, la opción propiedades no estará presente cuando el usuario haga clic con el botón secundario del mouse en Mis documentos o haga clic en Mis documentos y vaya al menú Archivo. Así mismo, Alt-Entrar no hará nada cuando esté seleccionado Mis documentos. Si deshabilita o no establece esta configuración, la opción Propiedades aparecerá normalmente. 6 Quitar el elemento Propiedades del menú contextual de Mi PC: Esta configuración oculta Propiedades en el menú contextual de Mi PC. Si habilita esta configuración, la opción Propiedades no estará presente cuando el usuario haga clic con el botón secundario del mouse en Mi PC o haga clic Mi PC y vaya el menú Archivo. Así mismo, Alt-Entrar no producirá ninguna acción cuando MI PC esté seleccionado. Si deshabilita o no establece esta configuración, la opción Propiedades se mostrará normalmente. 7 Quitar Propiedades del menú contextual de la Papelera de reciclaje: Quita la opción Propiedades del menú contextual de la Papelera de reciclaje. Si habilita esta configuración, la opción Propiedades no estará presente cuando el usuario haga clic con el botón secundario del mouse el la Papelera de reciclaje o abra la Papelera de reciclaje y haga clic en Archivo. Así mismo , Alt-Entrar no hará nada cuando la Papelera de reciclaje está seleccionada. Si deshabilita o no establece esta configuración, la opción Propiedades se mostrará con normalidad. 8 Ocultar el icono Mis sitios de red del escritorio: Quita el icono Mis sitios de red del escritorio. Esta configuración sólo afecta al icono de escritorio. No impide que los usuarios se conecten a la red o examinar equipos compartidos en la red. 9 Ocultar el icono de Internet Explorer en el Escritorio: Quita el icono de Internet Explorer del escritorio y de la opción Inicio rápido de la barra de tareas. Esta configuración no impide que el usuario inicie Internet Explorer utilizando otros métodos.

10 Prohibir al usuario cambiar la ruta de Mis documentos: Impide que los usuarios cambien la ruta hacia la carpeta Mis documentos. Como valor predeterminado, un usuario puede modificar la ubicación de la carpeta Mis documentos con sólo escribir una ruta nueva en la casilla Destino del cuadro de diálogo Propiedades de Mis documentos. Si habilita esta configuración, los usuarios no podrán escribir en una nueva ubicación de la casilla Destino. 11 No guardar la configuración al salir: Impide que los usuarios guarden ciertos cambios en el escritorio. Si habilita esta directiva, los usuarios pueden modificar el escritorio, pero algunos de los cambios, como la posición de las ventanas abiertas o el tamaño y posición de la barra de tareas no se guardarán cuando los usuarios cierren la sesión. Sin embargo, los accesos directos que se encuentren en el escritorio se guardarán siempre. Principales configuraciones del Panel de Control: 1 Prohibir el acceso al Panel de control: Deshabilita los programas del Panel de control. Esta configuración impide que Control.exe, el archivo de programa de Panel de control, se inicie. Como resultado, los usuarios no pueden iniciar Panel de control o ejecutar elementos del Panel de control. Esta configuración también quita Panel de control del menú Inicio. (Para abrir Panel de control, haga clic en Inicio, sitúe el puntero sobre Configuración y haga clic en Panel de control a continuación.) Esta configuración también quita la carpeta Panel de control del Explorador de Windows. Si los usuarios intentan seleccionar un elemento del Panel de control en un menú de contexto, aparecerá un mensaje explicando que existe una configuración que impide esta acción. 2 Ocultar subprogramas especificados del Panel de control: Oculta elementos y carpetas del Panel de control especificados. Esta configuración elimina elementos (por ej. Pantalla) del Panel de control, y carpetas (por ej. Fuentes) de la ventana del Panel de control y del menú Inicio. Puede eliminar elementos del Panel de control que haya agregado al sistema, así como elementos del Panel de control incluidos en Windows 2000. Para ocultar un elemento del Panel de control, escriba el nombre del archivo del elemento, como por ej. Ncpa.cpl (para Red). Para ocultar una carpeta, escriba el nombre de la carpeta, por ej. Fuentes. Esta configuración sólo se aplica al menú Inicio y a la ventana del Panel de control. No impide que los usuarios ejecuten elementos del Panel de control. Consulte también la configuración "Quitar Pantalla en Panel de control" de Configuración del usuario\Plantillas administrativas\Panel de control\Pantalla. Si las configuraciones "Ocultar subprogramas especificados del Panel de control" y "Mostrar sólo los subprogramas especificados del Panel de control" están activadas y aparece el mismo elemento en ambas listas, la configuración "Mostrar sólo los subprogramas especificados del Panel de control" se ignora. Nota: para buscar el nombre de archivo de un elemento del Panel de control, busque archivos que tengan la extensión .cpl en el directorio %Systemroot%\System32. Nota: para crear una lista de subprogramas no permitidos en el Panel de control, haga clic en Mostrar, luego en Agregar y escriba el nombre de archivo de panel de control (termina en .cpl), o el nombre

mostrado para el elemento en el Panel de control (por ejemplo, desk.cpl, powercfg.cpl, Impresoras y Faxes) Nota: esta configuración no afecta a las categorías que se muestran en la nueva vista por categorías del Panel de control en Windows XP. Si desea controlar qué elementos se muestran en el Panel de control, habilite la configuración "Forzar estilo clásico del Panel de control" para quitar la vista por categorías y usar esta configuración para controlar qué .cpls no se van a mostrar 3 Mostrar sólo los subprogramas especificados del Panel de control: Oculta todos los elementos y carpetas del Panel de control, excepto los especificados en esta configuración. Esta configuración elimina todos los elementos del Panel de control (como Red) y carpetas (como Fuentes) de la ventana del Panel de control y del menú Inicio. Elimina elementos del Panel de control que haya agregado al sistema y los elementos del Panel de control incluidos en Windows 2000. Los únicos elementos que aparecerán en el Panel de control son los que especifique en esta configuración. Para mostrar un elemento del Panel de control, escriba el nombre del archivo del elemento, como por ejemplo Ncpa.cpl (para Red). Para mostrar una carpeta, escriba el nombre de la carpeta, como por ejemplo Fuentes. Si no especifica ningún elemento o carpeta, la ventana del Panel de control aparecerá vacía. Esta configuración sólo afecta al menú Inicio y a la ventana del Panel de control. No impide que los usuarios ejecuten los elementos del Panel de control. Consulte también la configuración "Quitar Pantalla en Panel de control" en Configuración del usuario\Plantillas administrativas\Panel de control\Pantalla. Si las configuraciones "Ocultar subprogramas especificados del Panel de control" y "Mostrar sólo los subprogramas especificados del Panel de control" están activadas, la configuración "Mostrar sólo los subprogramas especificados del Panel de control" se ignora. Sugerencia: Para buscar el nombre de archivo de un elemento del Panel de control, busque archivos que tengan la extensión .cpl en el directorio %Systemroot%\System32. 4 Agregar o quitar programas: Contiene la configuración para controlar el comportamiento del complemento Agregar o quitar programas.

• Quitar Agregar o quitar programas • Ocultar la página Cambiar o quitar programas • Ocultar la página Agregar nuevos programas • Ocultar la página Agregar o quitar componentes de Windows • Ocultar la opción "Agregar un programa desde un CD-ROM o disquete" • Ocultar la opción "Agregar programas de Microsoft" • Ocultar la opción "Agregar programas desde la red" • Ir directamente al Asistente para componentes • Quitar la información de compatibilidad • Especificar categoría predeterminada para Agregar nuevos programas

5 Pantalla: Configuración de controles disponible en Pantalla del Panel de control o haciendo clic con el botón secundario del mouse en el escritorio de un usuario. Esto incluye las propiedades del fondo de pantalla, configuración de apariencia y propiedades del protector de pantalla. Los principales subtemas que contiene esta carpeta son:

• Quitar Pantalla en Panel de control

• Ocultar la ficha Escritorio • Impedir cambios en el papel tapiz • Ocultar la ficha Apariencia y Temas • Ocultar la ficha Configuración • Ocultar la ficha Protector de pantalla • Protector de pantalla • Nombre ejecutable del protector de pantalla • Proteger el protector de pantalla con una contraseña • Tiempo de espera del protector de pantalla • Temas del Escritorio

6 Impresoras: Administra impresoras de red y opciones de publicación. Los principales subtemas que contiene esta carpeta son:

• Buscar impresoras en un sitio Web común • Buscar impresoras en la red • Ruta predeterminada de Active Directory al buscar impresoras • Impedir la agregación de impresoras • Impedir la eliminación de impresoras

Principales configuraciones de Sistema: 1 Impedir el acceso a herramientas de edición del Registro: Deshabilita las herramientas de edición del registro de Windows, Regedt.exe y Regedit.exe. Si esta configuración se habilita y el usuario intenta ejecutar un editor del registro, aparecerá un mensaje explicando que hay una configuración que impide dicha acción. 2 Quitar el administrador de tareas: Ubicación: Configuración de usuario\Sistema\Opciones de Ctrl+Alt+Sup\ Impide que los usuarios inicien el Administrador de tareas (Taskmgr.exe). Si esta configuración está habilitada y los usuarios intentan iniciar el Administrador de tareas, aparecerá un mensaje explicando que hay una directiva que impide dicha acción. El Administrador de tareas permite a los usuarios iniciar y detener programas, controlar el rendimiento de sus equipos, ver y controlar todos los programas que se ejecutan en sus equipos, incluidos los servicios del sistema, buscar los nombres de programas ejecutables y modificar la prioridad del proceso en el que se ejecutan los programas. Principales configuraciones de Componentes de Windows: En éste punto se configuran los principales componentes de Windows, entre los que podemos detallar:

• Explorador de Windows • Programador de tareas • Windows Update • Internet Explorer. • Netmeeting • Reproductor de Windows Media.

8.- Cuotas de discos (NTFS): Esto consiste en asignar a un usuario o a un grupo una cierta cantidad de disco duro. Es decir, si el disco ( o partición) R: tiene 8 G, podemos hacer que el usuario Juan sólo pueda disponer de 1 G. Se utiliza sólo con NTFS. Para asignarlo vamos a Mi PC/disco R:/Propiedades debe salir la ficha Cuota. Podemos poner un valor de cuota de disco mediante : Limitar espacio de disco Ejemplo : 100 MB Podemos poner una advertencia cuando se acerque a esa cantidad : Establecer nivel de advertencia Ejemplo : 90 MB Podemos particularizar la cuota de disco a cada usuario mediante el botón : Valores de cuotas / Cuota / Nueva entrada de cuota ... / Ponemos o buscamos un usuario y le asignamos la cantidad de disco R: que puede utilizar. Para habilitar la utilización de cuotas de disco vamos a : Inicio/Ejecutar/gpedit.msc Configuración de equipos/Plantillas administrativas/Sistema/Cuotas de disco/Habilitar cuotas de disco