Puntos clave
- Define primero los valores estándar: usa los valores recomendados por CIS y Microsoft: umbral de bloqueo de 5 intentos, duración del bloqueo de 15 minutos y restablecimiento del contador a los 15 minutos.
- Aplícala con la directiva de grupo: configura la directiva de bloqueo de cuenta en gpedit.msc y después compruébala con gpresult /h.
- Aplícala con PowerShell: edita secpol.cfg (LockoutBadCount, LockoutDuration, ResetLockoutCount) y aplica los cambios con secedit /configure.
- Haz seguimiento con claves del Registro: registra el estado en claves personalizadas dentro de HKLMSOFTWAREOrgLockoutPolicy (LockoutThreshold, LockoutDuration, ResetCounterMinutes, LastPolicyUpdate).
- Valida con CMD y los registros: confirma la directiva con net accounts y audita los inicios de sesión fallidos con wevtutil (EventID 4625).
Una directiva de bloqueo de cuentas locales en los dispositivos que gestionas es la base de la seguridad de tu organización. Impide los intentos de inicio de sesión por fuerza bruta, ayuda a detectar cuándo alguien supera los umbrales de uso indebido de cuentas y alinea tus dispositivos con los protocolos de seguridad básicos.
En entornos empresariales, lo mejor es automatizar este proceso. Así te aseguras de que la directiva de bloqueo se aplique de forma uniforme en todos los dispositivos gestionados y de que los administradores reciban un aviso inmediato cuando un dispositivo no cumpla con ella.
Si prefieres verlo en vídeo en lugar de leerlo, echa un vistazo a Cómo configurar directivas de bloqueo de cuentas locales de forma uniforme en todos los clientes con PowerShell y directivas locales.
Guía para automatizar la directiva de bloqueo de cuentas locales
Antes de automatizar por completo las directivas de bloqueo de cuentas locales hay que dar varios pasos. Puedes empezar redactando la directiva de bloqueo de cuentas locales y subiéndola a un almacenamiento en el cloud al que puedas acceder.
Las directivas de bloqueo de cuentas se pueden aplicar mediante directivas locales o con Windows PowerShell. También puedes comprobar y verificar su estado con claves del Registro y el Símbolo del sistema.
📌 Requisitos previos:
- Necesitarás privilegios de administrador en todos los dispositivos que quieras modificar.
- Necesitas PowerShell 5.1 o posterior en todos los sistemas gestionados.
- Una Solución RMM como NinjaOne para el despliegue y el seguimiento de las directivas.
- Opcional: puedes usar herramientas de auditoría para validar el Registro y revisar los registros de eventos.
Paso 1: define los valores estándar de la directiva de bloqueo
Los administradores deben definir directivas de bloqueo estándar según las necesidades y requisitos de la organización. Estos son los valores recomendados según los benchmarks de CIS y las indicaciones de Microsoft.
- Las cuentas de los usuarios se bloquean tras 5 intentos de inicio de sesión no válidos.
- La cuenta permanecerá bloqueada durante 15 minutos.
- El contador de intentos previos al bloqueo se restablecerá tras 15 minutos de bloqueo.
Documenta tu línea base y aplica las directivas de forma uniforme en todos los dispositivos gestionados. Y asegúrate de que tus directivas de bloqueo cumplan los requisitos contractuales y normativos. Puedes subir este documento a una plataforma de uso compartido de archivos como SharePoint para que esté accesible para todo el que lo necesite.
Paso 2: aplica la directiva de bloqueo con la directiva de grupo local en sistemas independientes
📌 Caso de uso: este paso debe aplicarse en todos los dispositivos gestionados que tengan directivas de grupo.
- Abre el Editor de directivas de grupo local de una de estas formas:
- Abre el menú Inicio y busca Editar directiva de grupo para abrir el programa.
- Pulsa tecla Windows + R para abrir el cuadro de diálogo Ejecutar. Escribe gpedit.msc y pulsa Intro.
- Ve a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de bloqueo de cuenta.
- Configura las siguientes directivas:
- Umbral de bloqueo de la cuenta: 5
- Duración del bloqueo de cuenta: 15
- Restablecer la cuenta de bloqueos de cuenta después de: 15
Los valores variarán según los requisitos de tu organización y las directivas de bloqueo de los dispositivos. Aplica este cambio en todas las unidades necesarias de tu entorno gestionado.
💡Nota: para validar que la directiva se ha aplicado, abre el Símbolo del sistema con permisos elevados y usa este comando: gpresult /h C:\GPO_Lockout_Report.html. En entornos empresariales, puedes usar scripts de NinjaOne para recopilar y confirmar la aplicación de la directiva en cada endpoint.
Paso 3: aplica la configuración de bloqueo con PowerShell en sistemas independientes
- Abre el menú Inicio y busca Windows PowerShell.
- Haz clic derecho en Windows PowerShell > Ejecutar como administrador.
- Introduce este comando:
(Get-Content C:\secpol.cfg).replace("LockoutBadCount = 0", "LockoutBadCount = 5") |
Set-Content C:\secpol.cfg
(Get-Content C:\secpol.cfg).replace("ResetLockoutCount = 0", "ResetLockoutCount = 15") |
Set-Content C:\secpol.cfg
(Get-Content C:\secpol.cfg).replace("LockoutDuration = 0", "LockoutDuration = 15") |
Set-Content C:\secpol.cfg
secedit /configure /db C:\windows\security\local.sdb /cfg C:\secpol.cfg /areas SECURITYPOLICY
💡Nota: Secpol.cfg contiene los datos de tus directivas de bloqueo. Este script modifica la configuración del sistema según los datos de ese archivo. Por tanto, puede fallar si el archivo ya contiene valores distintos.
Si el archivo aún no existe en el sistema o no estás seguro de los valores que contiene, ejecuta este comando para generarlo antes de intentar leerlo o modificarlo: secedit /export /cfg C:\secpol.cfg
- Documenta lo que ocurra y guarda un registro de los errores que se produzcan. Te servirá para generar pistas de auditoría.
Paso 4: haz seguimiento y confirma la directiva con claves del Registro
Las directivas de bloqueo no son fáciles de consultar desde el Registro de Windows. Sin embargo, puedes registrar la directiva y su estado de aplicación mediante claves personalizadas.
- Abre el Editor del Registro de una de estas formas:
- Abre el menú Inicio y busca Editor del Registro para abrir el programa.
- Pulsa tecla Windows + R para abrir el cuadro de diálogo Ejecutar. Escribe regedit y pulsa Intro.
- Ve a esta ruta: HKEY_LOCAL_MACHINE\SOFTWARE\Org\LockoutPolicy.
- Puedes registrar la actividad y el estado de aplicación con estas claves personalizadas:
- LockoutThreshold (DWORD)
- LockoutDuration (DWORD)
- ResetCounterMinutes (DWORD)
- LastPolicyUpdate (String)
💡Nota: hace falta escribir un script automatizado que registre en estos valores del Registro el umbral de bloqueo del equipo, la duración, los minutos de restablecimiento del contador y la fecha de la última actualización de la directiva. Por sí solos, estos valores no cambian las directivas de bloqueo.
Sin embargo, puedes usar un script personalizado desde tu herramienta RMM para revisar periódicamente la información de estas claves y asegurarte de que las directivas de tu organización se están actualizando. Si cambias las directivas de bloqueo, también tendrás que actualizar los valores del Registro.
Paso 5: valida la directiva de bloqueo con CMD y los registros de seguridad
Para las auditorías y las pruebas de cumplimiento, los administradores pueden usar el Símbolo del sistema para validar las directivas de bloqueo de los dispositivos gestionados.
- Abre el menú Inicio y busca Símbolo del sistema.
- Haz clic derecho en el Símbolo del sistema y selecciona > Ejecutar como administrador.
- Escribe este comando:
net accounts
El Símbolo del sistema mostrará la directiva de bloqueo actual del sistema. Este es un ejemplo de lo que verás, entre otros ajustes:
Umbral de bloqueo: 5 intentos de inicio de sesión no válidos
Duración del bloqueo: 15 minutos
Ventana de observación del bloqueo: 15 minutos
Una vez comprobada la directiva de bloqueo actual del dispositivo, también puedes consultar los intentos de inicio de sesión fallidos con este comando: wevtutil qe Security "/q:*[System[(EventID=4625)]]" /c:5 /f:text
Te mostrará los últimos intentos fallidos de inicio de sesión en el dispositivo (si los hay). Resulta muy útil en las auditorías y para demostrar el cumplimiento de la seguridad de tu organización y su eficacia.
⚠️ Aspectos a tener en cuenta
| Problemas | Posibles consecuencias | Soluciones |
| El script no se aplica. | El dispositivo no tendrá la directiva de bloqueo correcta. | Busca errores de sintaxis o un formato incorrecto en secedit. Comprueba también si tienes los permisos adecuados. |
| La directiva no se aplica. | El dispositivo no tendrá la directiva de bloqueo correcta. | Ejecuta el Símbolo del sistema con permisos elevados y usa gpresult para verificar la aplicación de la directiva. |
| La directiva vuelve a su estado anterior. | El dispositivo no tendrá la directiva de bloqueo correcta. | Comprueba si hay cambios manuales o software de terceros que restablezcan las directivas. |
| Faltan los registros de auditoría. | El dispositivo no tendrá la directiva de bloqueo correcta. | Asegúrate de que la directiva de registro de auditoría esté bien configurada y de que los límites de retención sean suficientes. |
Otros aspectos a considerar al automatizar las directivas de bloqueo de cuentas locales
- Activa el registro de auditoría para los bloqueos de cuenta.
- Acuérdate de deshabilitar las cuentas de administrador local que no necesites. También puedes aleatorizar sus contraseñas para reforzar aún más la seguridad.
- Registra la aplicación de la directiva y su marca de tiempo en cada endpoint para los registros de auditoría.
Servicios de NinjaOne para automatizar la directiva de bloqueo de cuentas locales
Las herramientas RMM de NinjaOne refuerzan la aplicación de tu directiva de bloqueo. Permiten:
- Desplegar scripts de aplicación basados en PowerShell de forma remota en todos los endpoints que los necesiten.
- Monitorizar las claves del Registro y el estado de las tareas programadas con automatizaciones y campos personalizados.
- Avisar a los administradores cuando la directiva no se aplique o falten los valores del Registro esperados.
- Auditar los resultados de los scripts y los registros de cumplimiento desde el panel centralizado de NinjaOne.
- Etiquetar los endpoints que no cumplen la directiva para flujos de trabajo de corrección y creación de tickets.
Refuerza la seguridad de tu organización automatizando las directivas de bloqueo en tus endpoints
Automatizar las directivas de bloqueo de cuentas locales en todos los clientes mejora la postura de seguridad, garantiza la coherencia y satisface los requisitos de cumplimiento. Puedes hacerlo con el editor de directivas locales y Windows PowerShell, y usar las claves del Registro y el Símbolo del sistema para verificar que las directivas se aplican de forma uniforme en todos los dispositivos.=
Temas relacionados:
