unidad 2

Servidores con Software Propietario Antes de ver la información respecto al software propietario es necesario comprender bien lo que significa y compararlo con su contraparte. 2.1 Características del software propietario Definición: Cualquier programa informático en el que el usuario tiene limitaciones para usarlo, modificarlo o redistribuirlo (esto último con o sin modificaciones). Para la Fundación para el Software Libre (FSF) este concepto se aplica a cualquier software que no es libre o que sólo lo es parcialmente (semilibre), sea porque su uso, redistribución o modificación está prohibida, o requiere permiso expreso del titular del software. Caracteristicas: -Facilidad de adquisición ( puede venir preinstalado con la compra del pc, o encontrarlo fácilmente en las tiendas ). - Existencia de programas diseñados específicamente para desarrollar una tarea. - Las empresas que desarrollan este tipo de software son por lo general grandes y pueden dedicar muchos recursos, sobretodo económicos, en el desarrollo e investigación. - Interfaces gráficas mejor diseñadas. - Más compatibilidad en el terreno de multimedia y juegos. - Mayor compatibilidad con el hardware. - No existen aplicaciones para todas las plataformas ( Windows y Mac OS ). - Imposibilidad de copia. - Imposibilidad de modificación. - Restricciones en el uso ( marcadas por la licencia). - Imposibilidad de redistribución. - Por lo general suelen ser menos seguras. - El coste de las aplicaciones es mayor. - El soporte de la aplicación es exclusivo del propietario. - El usuario que adquiere software propietario depende al 100% de la empresa propietaria. 2.2 Características de instalación para servidores Vamos a tomar de ejemplo windows server 2008 , es mucho mejor para esta seccion que es instalación y configuración mirarlo en un vídeo así que aquí esta: 2.3 Administracion de recursos 2.3.1 Tipos de recursos -Hardware Impresoras Memoria Ram Procesador Almacenamiento -Software Programas 2.3.2 Administración de los recursos. Permite realizar tres conjuntos de tareas para administrar los recursos de almacenamiento en servidores locales o remotos: Administración de cuotas. Establece un límite de espacio máximo o de advertencia en un volumen o en un árbol de carpetas. Permite crear y aplicar plantillas de cuotas con propiedades de cuota estándar. Administración del filtrado de archivos. Define reglas de filtrado que supervisan o bloquean los intentos de guardar determinados tipos de archivos en un volumen o un árbol de carpetas por parte de los usuarios. Permite crear y aplicar plantillas de filtrado con exclusiones de archivos estándar. Administración de informes de almacenamiento. Genera informes integrados que permiten llevar un seguimiento del uso de cuotas, de las actividades de filtrado de archivos y de los patrones de uso del almacenamiento. También puede aplicar directivas de cuotas y de filtrado de archivos cuando se aprovisiona una carpeta compartida o por medio de una interfaz de línea de comandos. 2.3.3 Administración de las cuentas de usuario y de equipo. Las cuentas de usuario y las cuentas de equipo de Active Directory representan una entidad física como una persona o un equipo. Las cuentas de usuario también se puede utilizar como cuentas de servicio dedicadas para algunas aplicaciones. Las cuentas de usuario y de equipo (así como los grupos) se denominan también principales de seguridad. Los principales de seguridad son objetos de directorio a los que se asigna automáticamente identificadores de seguridad (SID), que se utilizan para tener acceso a los recursos del dominio. Una cuenta de usuario o de equipo se utiliza para: Autenticar la identidad de un usuario o equipo. Una cuenta de usuario permite que un usuario inicie una sesión en equipos y dominios con una identidad que puede ser autenticada por el dominio. Para obtener información acerca de la autenticación, vea Control de acceso en Active Directory. Cada usuario que se conecta a la red debe tener su propia cuenta de usuario y su propia contraseña única. Para aumentar la seguridad, debe evitar que varios usuarios compartan una misma cuenta. Autorizar o denegar el acceso a los recursos del dominio. Después de que el usuario haya sido autenticado, se le autoriza o deniega el acceso a los recursos del dominio según los permisos explícitos asignados a dicho usuario en el recurso. Para obtener más información, vea Información de seguridad para Active Directory. Administrar otros principales de seguridad. Active Directory crea un objeto de principal de seguridad externo en el dominio local para representar cada principal de seguridad de un dominio de confianza externo. Para obtener más información acerca de los principales de seguridad externos, vea Cuándo se debe crear una confianza externa. Auditar las acciones realizadas con la cuenta de usuario o de equipo. La auditoría puede ayudarle a supervisar la seguridad de las cuentas. Para obtener más información acerca de la, vea Introducción a la auditoría. Cuentas de usuario El contenedor Usuarios ubicado en Usuarios y equipos de Active Directory incluye tres cuentas de usuario integradas: Administrador, Invitado y Asistente de ayuda. Estas cuentas de usuario integradas se crean automáticamente al crear el dominio. Cada cuenta integrada tiene una combinación diferente de derechos y permisos. La cuenta Administrador tiene los derechos y permisos más amplios sobre el dominio, mientras que la cuenta Invitado tiene derechos y permisos limitados. En la siguiente tabla se describe cada una de las cuentas de usuario predeterminadas en los controladores de dominio que ejecutan Windows Server 2003. Cuenta de usuario predeterminada Descripción Cuenta Administrador La cuenta Administrador tiene control total sobre el dominio y puede asignar derechos de usuario y permisos de control de acceso a los usuarios según sea necesario. Sólo debe utilizar esta cuenta para aquellas tareas que requieran credenciales administrativas. Se recomienda configurarla con una contraseña segura. Para obtener más información, consulte Contraseñas seguras. Para conocer otras consideraciones acerca de la seguridad de las cuentas con credenciales administrativas, vea Prácticas recomendadas de Active Directory. La cuenta Administrador es un miembro predeterminado de los grupos Administradores, Administradores de dominio, Administradores de organización, Propietarios del creador de directivas de grupo y Administradores de esquema en Active Directory. La cuenta Administrador nunca se puede eliminar ni quitar del grupo Administradores, pero es posible cambiarle el nombre o deshabilitarla. Como es sabido que la cuenta Administrador existe en muchas versiones de Windows, si le cambia el nombre o la deshabilita dificultará el acceso a ella a usuarios malintencionados. Para obtener más información acerca de cómo cambiar el nombre de una cuenta de usuario o deshabilitarla, vea Cambiar el nombre de una cuenta de usuario local o Deshabilitar o habilitar una cuenta de usuario. La cuenta Administrador es la primera cuenta que se crea cuando se instala un nuevo dominio con el Asistente para instalación de Active Directory. Importante Aunque la cuenta Administrador esté deshabilitada, puede seguir usándose para obtener acceso a un controlador de dominio con el modo a prueba de errores. Cuenta Invitado La cuenta Invitado sólo la utilizan los usuarios que no poseen una cuenta real en el dominio. Un usuario con su cuenta deshabilitada (pero no eliminada) también puede utilizar la cuenta Invitado. La cuenta Invitado no requiere ninguna contraseña. Puede asignar derechos y permisos para la cuenta Invitado de la misma forma que para cualquier cuenta de usuario. De forma predeterminada, la cuenta Invitado es miembro del grupo integrado Invitados y del grupo global Invitados del dominio, que permite a un usuario iniciar una sesión en un dominio. La cuenta Invitado está deshabilitada de forma predeterminada, y se recomienda que permanezca así. Cuenta Asistente de ayuda (se instala con una sesión de Asistencia remota) Se trata de la cuenta principal que se utiliza para establecer una sesión de Asistencia remota. La cuenta se crea automáticamente al solicitar una sesión de Asistencia remota, y tiene limitado el acceso al equipo. El servicio Administrador de sesión de Ayuda de escritorio remoto administra la cuenta Asistente de ayuda, que se eliminará automáticamente si no hay solicitudes de Asistencia remota pendientes. Para obtener más información acerca de Asistencia remota, vea Administrar Asistencia remota. Proteger cuentas de usuarios Si un administrador de red no modifica ni deshabilita los derechos y permisos de las cuentas integradas, cualquier usuario o servicio malintencionado podría usarlos para iniciar una sesión, de manera ilegal, en un dominio mediante la identidad Administrador o Invitado. Una práctica recomendable de seguridad para proteger estas cuentas consiste en cambiar sus nombres o deshabilitarlas. Dado que una cuenta de usuario con el nombre cambiado conserva su identificador de seguridad (SID), conserva también todas las demás propiedades, como su descripción, la contraseña, la pertenencia al grupo, el perfil de usuario, la información de cuenta y todos los permisos y derechos de usuario asignados. Para obtener la seguridad que proporciona la autenticación y autorización de usuarios, cree una cuenta de usuario individual para cada usuario que participe en la red, mediante Usuarios y equipos de Active Directory. Cada cuenta de usuario, incluidas las cuentas Administrador y Invitado, puede agregarse a un grupo para controlar los derechos y permisos asignados a la cuenta. Al usar las cuentas y grupos apropiados para la red se garantiza que los usuarios que se conectan a una red se puedan identificar y sólo puedan tener acceso a los recursos permitidos. Puede contribuir a defender su dominio contra posibles intrusos exigiendo contraseñas seguras e implementando una directiva de bloqueo de cuentas. Las contraseñas seguras reducen el riesgo de suposiciones inteligentes y ataques de diccionario contra las contraseñas. Para obtener más información, vea Contraseñas seguras y Practicas recomendadas de contraseñas para contraseñas. Una directiva de bloqueo de cuentas reduce la posibilidad de que un intruso ponga en peligro el dominio mediante repetidos intentos de inicio de sesión. Para ello, la directiva de bloqueo de cuentas determina cuántos intentos de inicio de sesión incorrectos puede tener una cuenta de usuario antes de ser deshabilitada. Para obtener más información, vea Aplicar o modificar la directiva de bloqueo de cuentas. Para obtener más información acerca de cómo proteger las cuentas de usuario, vea Proteger Active Directory. Opciones de cuentas Cada cuenta de usuario de Active Directory tiene varias opciones de cuenta que determinan cómo se autentica en la red a un usuario que ha iniciado una sesión con esa cuenta de usuario en particular. Puede usar las siguientes opciones para configurar los valores de contraseña e información específica de la seguridad para cuentas de usuario: Opción de cuenta Descripción El usuario debe cambiar la contraseña en el siguiente inicio de sesión Obliga a un usuario a modificar su contraseña la próxima vez que inicie una sesión en la red. Utilice esta opción cuando desee asegurarse de que el usuario va a ser la única persona que va a saber su contraseña. El usuario no puede cambiar la contraseña Impide al usuario cambiar su contraseña. Utilice esta opción cuando desee controlar una cuenta de usuario, como una cuenta temporal o una cuenta de invitado. La contraseña nunca caduca Impide que caduque una contraseña de usuario. Se recomienda que las cuentas de servicio tengan habilitada esta opción y que se utilicen contraseñas seguras. Para obtener más información acerca de contraseñas seguras, vea Contraseñas seguras. Almacenar contraseñas utilizando cifrado reversible Permite al usuario iniciar una sesión en una red de Windows desde equipos Apple. Si un usuario no va a iniciar una sesión desde un equipo Apple, no debe utilizar esta opción. Para obtener más información, vea Almacenar contraseñas usando cifrado reversible. Cuenta deshabilitada Impide que los usuarios inicien una sesión con la cuenta seleccionada. Muchos administradores usan cuentas deshabilitadas como plantillas para cuentas de usuario comunes. Para obtener más información, vea Deshabilitar o habilitar una cuenta de usuario. La tarjeta inteligente es necesaria para un inicio de sesión interactivo Es necesario que un usuario posea una tarjeta inteligente para iniciar una sesión en la red de manera interactiva. El usuario también debe tener un lector de tarjetas inteligentes conectada al equipo y un número de identificación personal (PIN) para la tarjeta inteligente. Si esta opción está seleccionada, la contraseña de la cuenta de usuario se establece automáticamente en un valor aleatorio y complejo, y se establece la opción de cuenta La contraseña nunca caduca. Para obtener más información sobre tarjetas inteligentes, vea Iniciar una sesión en un equipo con una tarjeta inteligente y Proceso de autenticación. Se confía en la cuenta para su delegación Esta opción permite a un servicio que se ejecute con esta cuenta realizar operaciones en nombre de otras cuentas de usuario de la red. Un servicio que se ejecute con una cuenta de usuario (denominada también cuenta de servicio) que sea de confianza para la delegación puede suplantar a un cliente para tener acceso a los recursos del equipo donde se ejecuta el servicio o de otros equipos. En un bosque establecido en el nivel funcional de Windows Server 2003, esta opción se encuentra en la ficha Delegación y sólo está disponible para cuentas a las que se han asignado nombres principales de servicio (SPN), establecidos mediante el comando setspn de las herramientas de soporte de Windows. Se trata de un función importante para la seguridad y debe asignarse con precaución. Para obtener más información, vea Permitir que se considere a un usuario de confianza para la delegación y Delegar la autenticación. Esta opción sólo está disponible en controladores de dominio que ejecuten Windows Server 2003 en los que las funciones de dominio están establecidas en modo mixto o nativo de Windows 2000. En los controladores de dominio que ejecuten Windows Server 2003 donde el nivel funcional de dominio está establecido en Windows Server 2003, se utiliza la ficha Delegación para configurar los valores de delegación. La ficha Delegación sólo aparece para las cuentas que tienen un SPN asignado. Para obtener más información acerca de las funciones de dominios, vea Funcionalidad de dominios y bosques. Para obtener más información sobre cómo se configura la delegación en un dominio de Windows Server 2003, vea Permitir que se considere a un usuario de confianza para la delegación. La cuenta es importante y no se puede delegar Permite el control sobre una cuenta de usuario, como una cuenta Invitado o temporal. Esta opción se puede utilizar si esta cuenta no puede ser asignada para delegación por otra cuenta. Usar tipos de cifrado DES para esta cuenta Proporciona compatibilidad con el Estándar de cifrado de datos (DES, Data Encryption Standard). DES admite varios niveles de cifrado, entre los que se incluyen MPPE estándar (40 bits), MPPE estándar (56 bits), MPPE de alto nivel (128 bits), IPSec DES (40 bits), IPSec DES de 56 bits e IPSec DES Triple (3DES). Para obtener más información acerca del cifrado DES, vea Cifrado de datos. No pedir la autenticación Kerberos previa Proporciona compatibilidad con implementaciones alternativas del protocolo Kerberos. Los controladores de dominio que ejecuten Windows 2000 o Windows Server 2003 pueden utilizar otros mecanismos para sincronizar la hora. Puesto que la autenticación previa proporciona seguridad adicional, tenga precaución al habilitar esta opción. Para obtener más información acerca de Kerberos, vea Autenticación Kerberos V5. Cuentas de equipo Todos los equipos que ejecutan Windows NT, Windows 2000, Windows XP o un servidor que ejecute Windows Server 2003 que se unen a un dominio tienen una cuenta de equipo. Las cuentas de equipo son similares a las cuentas de usuario y ofrecen un medio para autenticar y auditar el acceso a la red de los equipos y el acceso a los recursos del dominio. Cada cuenta de equipo debe ser única. Nota Los equipos que ejecutan Windows 95 y Windows 98 no tienen características de seguridad avanzadas y no tienen cuentas de equipo asignadas. Las cuentas de usuario y de equipo se pueden agregar, deshabilitar, restablecer y eliminar con Usuarios y equipos de Active Directory. También se puede crear una cuenta de equipo cuando se une un equipo y un dominio. Para obtener más información acerca de las cuentas de equipo y usuario, vea Uso de nombres en Active Directory y Nombres de objeto. Cuando el nivel funcional del dominio se ha establecido en Windows Server 2003, se utiliza un nuevo atributo lastLogonTimestamp para realizar un seguimiento del último inicio de sesión de una cuenta de usuario o equipo. Este atributo se replica en el dominio y puede proporcionar información importante sobre el historial de un usuario o equipo. 2.3.4 Administración de grupos. 2.3.5 Administración del acceso a recursos. Control de acceso a recursos del equipo Como administrador del sistema, usted puede controlar y supervisar la actividad del sistema. Puede definir límites sobre quién puede utilizar determinados recursos. Puede registrar el uso de recursos y supervisar quién los está utilizando. También puede configurar los sistemas para minimizar el uso indebido de los recursos. Limitación y supervisión del superusuario El sistema requiere una contraseña root para el acceso del superusuario. En la configuración predeterminada, un usuario no puede iniciar sesión de manera remota en un sistema como root. Al iniciar sesión de manera remota, el usuario debe utilizar el nombre de usuario y, luego, el comando su para convertirse en root. Puede supervisar quién ha utilizado el comando su, en especial, aquellos usuarios que están intentando obtener acceso de superusuario. Para conocer los procedimientos para supervisar al superusuario y limitar el acceso al superusuario, consulte Supervisión y restricción de superusuario (mapa de tareas). Configuración del control de acceso basado en roles para reemplazar al superusuario El control de acceso basado en roles (RBAC) está diseñado para limitar las capacidades del superusuario. El superusuario (usuario root) tiene acceso a todos los recursos del sistema. Con RBAC, puede reemplazar root con un conjunto de roles con poderes discretos. Por ejemplo, puede configurar un rol para manejar la creación de cuentas de usuario y otro rol para manejar la modificación de archivos del sistema. Una vez que haya establecido un rol para manejar una función o un conjunto de funciones, puede eliminar esas funciones de las capacidades de root. Cada rol requiere que un usuario conocido inicie sesión con su nombre de usuario y contraseña. Después de iniciar sesión, el usuario asume el rol con una contraseña de rol específica. Como consecuencia, alguien que se entera de la contraseña root tiene una capacidad limitada para dañar el sistema. Para obtener más información sobre RBAC, consulte Control de acceso basado en roles (descripción general). Prevención del uso indebido involuntario de los recursos del equipo Puede prevenir que los usuarios y que usted realicen errores involuntarios de las siguientes formas: Puede evitar ejecutar un caballo de Troya si configura correctamente la variable PATH. Puede asignar un shell restringido a los usuarios. Un shell restringido previene los errores del usuario al guiar a los usuarios a las partes del sistema que necesitan para su trabajo. De hecho, mediante una configuración cuidadosa, usted puede asegurarse de que los usuarios sólo accedan a las partes del sistema que los ayudan a trabajar de manera eficiente. Puede establecer permisos restrictivos para los archivos a los que los usuarios no necesitan acceder. 2.3.6 Administracion de los servicios de impresion Cuanto mayor es la organización, mayor es la cantidad de impresoras dentro de la red y más tiempo necesita el personal de TI para instalar y administrar esas impresoras; lo cuál se traduce en mayores gastos de operación. Windows Server 2008 incluye el Gestor de Impresión, que es un complemento de MMC que permite a los administradores administrar, supervisar y solucionar problemas en todas las impresoras de la organización, incluso en las de ubicaciones remotas, desde una misma interfaz. El Gestor de Impresión ofrece detalles totalmente actualizados sobre el estado de todas las impresoras y los servidores de impresión de la red desde una consola única. El Gestor de Impresión permite encontrar impresoras con una condición de error y también puede enviar notificaciones por correo electrónico o ejecutar secuencias de comandos cuando una impresora o el servidor de impresión necesitan atención. En modelos de impresora que ofrecen una interfaz web, el Gestor de Impresión puede tener acceso a estos datos adicionales. Esto permite administrar fácilmente información como niveles de tóner y papel, aún cuando las impresoras se encuentran en ubicaciones remotas. Además, Administración de impresión puede buscar e instalar automáticamente impresoras de red en la subred local de servidores de impresión locales. El Gestor de Impresión supone para los administradores un ahorro de tiempo importante a la hora de instalar impresoras en equipos cliente, así como al administrarlas y supervisarlas. En vez de tener que instalar y configurar conexiones de impresora en equipos individuales, el Gestor de Impresión se puede usar con directivas de grupo para agregar automáticamente conexiones de impresora a la carpeta Impresoras y faxes de un equipo cliente. Esta es una manera eficaz y que ahorra tiempo cuando se agregan impresoras para muchos usuarios que requieren acceso a la misma impresora, como por ejemplo usuarios en el mismo departamento o todos los usuarios en la ubicación de una sucursal. Las opciones provistas de automatización e interfaz centralizada de control incluidas dentro del Gestor de Impresión para instalar, compartir y administrar impresoras simplifican la administración y reducen el tiempo requerido por personal de TI para implementar impresoras. 2.4 Medicion y desempeño 2.4.1 Desempeño El sistema está optimizado para que las búsquedas tengan una respuesta muy rápida (si el servidor y la red lo permiten). El interfaz está optimizado para facilitar y hacer más eficiente la labor de los bibliotecarios. Por ejemplo, para devolución de libros se requiere un solo paso.Para prestar un libro se requieren dos pasos: ingresar el código del usuario e ingresar el número del ítem a prestar (o código de barras). 2.4.2 Herramientas de medicion El Monitor de confiabilidad y rendimiento de Windows es un complemento de Microsoft Management Console (MMC) que combina la funcionalidad de herramientas independientes anteriores, incluidos Registros y alertas de rendimiento, Server Performance Advisor y Monitor de sistema. Proporciona una interfaz gráfica para personalizar la recopilación de datos de rendimiento y sesiones de seguimiento de eventos. También incluye el Monitor de confiabilidad, un complemento de MMC que lleva un seguimiento de los cambios producidos en el sistema y los compara con los cambios de estabilidad del sistema, proporcionando una vista gráfica de su relación. 2.4.3 Indicadores de desempeño Indicadores del Rendimiento de un Computador Los indicadores del rendimiento de un computador son una serie de parámetros que conforma una modelo simplificado de la medida del rendimiento de un sistema y son utilizados por los arquitectos de sistemas, los programadores y los constructores de compiladores, para la optimización del código y obtención de una ejecución más eficiente. Dentro de este modelo, estos son los indicadores de rendimiento más utilizados: 4.1 Turnaround Time El tiempo de respuesta. Desde la entrada hasta la salida, por lo que incluye accesos a disco y memoria, compilación, sobrecargas y tiempos de CPU. Es la medida más simple del rendimiento. En sistemas multiprogramados no nos vale la medida del rendimiento anterior, ya que la máquina comparte el tiempo, se produce solapamiento E/S del programa con tiempo de CPU de otros programas. Necesitamos otra medida como es el TIEMPO CPU USUARIO. 4.2 Tiempo de cada ciclo ( ) El tiempo empleado por cada ciclo. Es la constante de reloj del procesador. Medida en nanosegundos. 4.3 Frecuencia de reloj (f) Es la inversa del tiempo de ciclo. f = 1/ . Medida en Megahertz. 4.4 Total de Instrucciones (Ic) Es el número de instrucciones objeto a ejecutar en un programa. 4.5 Ciclos por instrucción (CPI) Es el número de ciclos que requiere cada instrucción. Normalmente, CPI = CPI medio. 2.4.4 Roadmap Un RoadMap (que podría traducirse como hoja de ruta) es una planificación del desarrollo de un software con los objetivos a corto y largo plazo, y posiblemente incluyendo unos plazos aproximados de consecución de cada uno de estos objetivos. Se suele organizar en hitos o "milestones", que son fechas en las que supuestamente estará finalizado un paquete de nuevas funcionalidades. Para los desarrolladores de software, se convierte en una muy buena práctica generar un Roadmap, ya que de esta forma documentan el estado actual y posible futuro de su software, dando una visión general o específica de hacia adónde apunta a llegar el software. La expresión Roadmap se utiliza para dar a conocer el "trazado del camino" por medio del cual vamos a llegar del estado actual al estado futuro. Es decir, la secuencia de actividades o camino de evolución que nos llevará al estado futuro. 2.5 Seguridad e integridad. 2.5.1 Seguridad por software. La seguridad del sistema de software, un elemento de la seguridad total y programa de desarrollo del software, no se puede permitir funcionar independientemente del esfuerzo total. Los sistemas múltiples simples y altamente integrados están experimentando un crecimiento extraordinario en el uso de computadoras y software para supervisar y/o controlar subsistemas o funciones seguridad-críticos. A especificación del software el error, el defecto de diseño, o la carencia de requisitos seguridad-críticos genéricos pueden contribuir a o causar un fallo del sistema o una decisión humana errónea. Para alcanzar un nivel aceptable de la seguridad para el software usado en usos críticos, la ingeniería de la seguridad del sistema de software se debe dar énfasis primario temprano en la definición de los requisitos y el proceso del diseño conceptual del sistema. el software Seguridad-crítico debe entonces recibir énfasis de la gerencia y análisis continuos de la ingeniería a través del desarrollo y ciclos vitales operacionales del sistema. 2.5.2 Seguridad por hardware. La seguridad del hardware se refiere a la protección de objetos frente a intromisiones provocadas por el uso del hardware. A su vez, la seguridad del hardware puede dividirse en seguridad física y seguridad de difusión. En el primer caso se atiende a la protección del equipamiento hardware de amenazas externas como manipulación o robo. Todo el equipamiento que almacene o trabaje con información sensible necesita ser protegido, de modo que resulte imposible que un intruso acceda físicamente a él. La solución más común es la ubicación del equipamiento en un entorno seguro. La seguridad de difusión consiste en la protección contra la emisión de señales del hardware. El ejemplo más común es el de las pantallas de ordenador visibles a través de las ventanas de una oficina, o las emisiones electromagnéticas de algunos elementos del hardware que adecuadamente capturadas y tratadas pueden convertirse en información. De nuevo, la solución hay que buscarla en la adecuación de entornos seguros. 2.5.3 Plantillas de seguridad para proteger los equipos. Con el complemento Plantillas de seguridad para Microsoft Management Console puede crear una directiva de seguridad para un equipo o para la red. Es un lugar donde se concentra toda la seguridad del sistema. El complemento Plantillas de seguridad no introduce ningún parámetro de seguridad nuevo, simplemente organiza todos los atributos de seguridad existentes en una ubicación para facilitar la administración de la seguridad. Importar una plantilla de seguridad a un objeto de Directiva de grupo facilita la administración de dominios ya que la seguridad se configura para un dominio o una unidad organizativa de una sola vez. Para obtener más información, vea Importar una plantilla de seguridad a un objeto de directiva de grupo. Con el fin de aplicar una plantilla de seguridad al equipo local, puede utilizar Configuración y análisis de seguridad o la herramienta de línea de comandos Secedit. Para obtener más información, vea Configurar la seguridad del equipo local. Las plantillas de seguridad se pueden utilizar para definir: Directivas de cuentas Directiva de contraseñas Directiva de bloqueo de cuentas Directiva Kerberos Directivas locales Directiva de auditoría Asignación de derechos de usuario Opciones de seguridad Registro de sucesos: Configuración del registro de sucesos de aplicación, sistema y seguridad Grupos restringidos: Pertenencia a grupos importantes para la seguridad Configuración de seguridad de Servicios del sistema Inicio y permisos de los servicios del sistema Configuración de seguridad del Registro: Permisos para las claves del Registro del sistema Configuración de seguridad del Sistema de archivos Permisos de archivos y carpetas Cada plantilla se guarda como un archivo .inf de texto. De esta forma, puede copiar, pegar, importar o exportar todos o algunos de los atributos de la plantilla. Con la excepción de la Seguridad de protocolo IP y las directivas de clave pública, todos los atributos de seguridad pueden estar contenidos en una plantilla de seguridad. Plantillas nuevas y predefinidas En cada miembro de la familia Microsoft® Windows Server 2003 o en el sistema operativo Microsoft® Windows® XP hay una serie de plantillas predefinidas creadas con niveles de seguridad diferentes para adaptarse a las necesidades de una organización. Hay varias plantillas de seguridad predefinidas que pueden ayudarle a proteger su sistema en función de sus necesidades, dichas plantillas son para: Volver a aplicar la configuración predeterminada Implementar un entorno altamente protegido Implementar un entorno menos protegido pero más compatible Proteger la raíz del sistema. Para obtener más información, vea Plantillas de seguridad predefinidas. La plantilla Setup security.inf permite volver a aplicar la configuración de seguridad predeterminada. Esta plantilla se crea durante la instalación de cada equipo y se debe aplicar localmente. Puede crear una plantilla de seguridad nueva con sus propias preferencias o bien utilizar una de las plantillas de seguridad predefinidas. Antes de realizar cambios en la configuración de la seguridad, debe saber cuál es la configuración predeterminada del sistema y qué significa. Para obtener información acerca de Plantillas de seguridad, vea Plantillas de seguridad.