Cómo implementar estaciones de trabajo con acceso privilegiado (PAW) para técnicos

Las estaciones de trabajo con acceso privilegiado (PAW, por sus siglas en inglés) son equipos dedicados a tareas administrativas sensibles. Ofrecen un entorno seguro y aislado para las personas con privilegios elevados, y las protegen frente a amenazas y vectores de ataque.

Separar los dispositivos de uso diario de las PAW reduce la superficie de ataque y mitiga el riesgo de movimiento lateral derivado del phishing, el malware o las amenazas basadas en el navegador.

Si prefieres una explicación visual del tema, consulta cómo implementar estaciones de trabajo con acceso privilegiado (PAW) para técnicos.

Cómo implementar PAW paso a paso

Desplegar PAW requiere varios pasos y, en su mayoría, funciones de seguridad nativas de Windows, directivas de grupo y PowerShell. Los pasos siguientes te permiten crear endpoints administrativos reforzados y gobernados por políticas.

📌 Requisitos previos:

• Windows 10/11 edición Enterprise o Pro
• Acceso a la consola de administración de directivas de grupo y a PowerShell
• Opcional: acceso a NinjaOne para la monitorización posterior al despliegue

Paso 1: define los casos de uso y la segmentación de las PAW

Definir los casos de uso de las PAW ayuda a construir un modelo zero trust para el acceso administrativo. Este paso crea una frontera entre los dispositivos de uso diario y las estaciones de trabajo destinadas a operaciones privilegiadas.

📌 Caso de uso: separa los dispositivos de uso diario de las estaciones de trabajo usadas para operaciones privilegiadas

(A) Identifica los roles privilegiados

Haz una lista de los usuarios del equipo que necesitan acceso elevado o privilegiado. Haz una lista de los usuarios del equipo que necesitan acceso elevado o privilegiado. Para evitar el robo de credenciales, conviene segmentar los roles con el modelo de seguridad por niveles:

Modelo de seguridad por niveles actualizado

• Nivel 0 (el más alto)
  • Control directo de la identidad corporativa (Active Directory, controladores de dominio, Azure AD/Entra ID). Estos usuarios necesitan las PAW físicas más restringidas.

• Nivel 1
  • Servidores corporativos, administración de bases de datos e infraestructura en el cloud. Estos usuarios acceden a datos sensibles, pero no a «las llaves del reino».

• Nivel 2
  • Dispositivos de usuario final y soporte estándar. Estos administradores gestionan estaciones de trabajo y tareas de help desk.

Regla fundamental: el acceso solo fluye hacia abajo, nunca hacia arriba. Un administrador de nivel 0 usa una PAW de nivel 0 para gestionar los niveles 0, 1 y 2. Un administrador de nivel 2 no puede acceder a una PAW de nivel 0.

(B) Define la finalidad de cada PAW

Asigna las PAW según los niveles para aislar y proteger las operaciones privilegiadas.

• Nivel 0: gestión de identidades
  • Los administradores del nivel 0 se encargan de administrar Active Directory (AD), los controladores de dominio (DC) y otros componentes del sistema. Los usuarios de nivel 0 tienen los privilegios de acceso más altos y pueden crear o modificar cuentas de usuario, gestionar políticas de seguridad y controlar la configuración de red.

• Nivel 1: administración de servidores

• • Los administradores del nivel 1 se encargan de los servidores de infraestructura, el despliegue de aplicaciones y el mantenimiento. Tienen autoridad para gestionar servicios, pero no pueden acceder a las funciones de identidad del nivel 0.

• Nivel 2: soporte al usuario final
  • Los administradores del nivel 2 prestan soporte al usuario final y realizan el mantenimiento rutinario, incluidas instalaciones de software y resolución de problemas. Estos privilegios son limitados para no afectar a los servidores ni al funcionamiento de toda la red.

💡 Consejo: no debe haber movimiento lateral entre niveles. Es decir, los administradores de recursos de nivel 0 nunca deberían iniciar sesión en sistemas de nivel 1 o 2 desde la misma PAW.

(C) Limita el uso para reforzar la seguridad

Conviene reforzar las PAW para evitar que se vean comprometidas, añadiendo restricciones de software y políticas de uso:

• Sin navegación por internet
  • Bloquea el tráfico HTTP y HTTPS, o limítalo a servicios internos de actualización aprobados, ya que el acceso a internet es un vector de ataque importante.

• Sin clientes de correo
  • El correo electrónico es un vector de alto riesgo para el phishing y el malware. En su lugar, usa una estación de trabajo aparte o una sesión de infraestructura de escritorios virtuales (VDI) para acceder al correo.

• Sin aplicaciones personales
  • Prohíbe las aplicaciones no aprobadas: chats, software de productividad, reproductores multimedia, navegadores, etc.

Paso 2: aplica directivas de grupo para el refuerzo y las restricciones de aplicaciones

Los objetos de directiva de grupo (GPO) son un método escalable y aplicable para implementar una configuración de seguridad coherente en todas las PAW. Este paso garantiza que el comportamiento del sistema queda bloqueado, que las funciones de alto riesgo están desactivadas y que los mecanismos de control de acceso se aplican de forma uniforme.

📌 Caso de uso: estandariza el refuerzo de las estaciones de trabajo mediante ajustes de GPO aplicables

📌 Requisito previo: privilegios de administrador

1. Pulsa Win + R, escribe gpedit.msc y pulsa Intro.
2. Recorre las rutas siguientes y activa o desactiva la función, según lo que necesites.
   • Para bloquear el acceso a almacenamiento extraíble:
     • Configuración del equipo > Plantillas administrativas > Sistema > Acceso de almacenamiento extraíble
   • Para desactivar la cuenta de administrador local:
     • Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas locales > Opciones de seguridad
   • Para activar Credential Guard y Device Guard:
     • Configuración del equipo > Plantillas administrativas > Sistema > Device Guard

Paso 3: activa BitLocker y el cifrado del dispositivo

En este paso se activa y se impone BitLocker con estándares de cifrado robustos alineados con las políticas de seguridad de la organización.

📌 Caso de uso: cifra las unidades de sistema de la PAW con cifrado robusto para impedir el acceso no autorizado a los datos del disco y a las credenciales

📌 Requisito previo: privilegios de administrador

Para activar BitLocker con PowerShell, sigue estos pasos:

1. Pulsa Win, escribe PowerShell y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro:
   • Enable-BitLocker -MountPoint "C:" -EncryptionMethod XtsAes256 -UsedSpaceOnly -TpmProtector -RecoveryPasswordProtector

Comprobación de la integridad del hardware

Para obtener la máxima seguridad, usa hardware compatible con TPM 2.0 y Arranque seguro. Si es posible, elige dispositivos Secured-core PC. Así protegerás la PAW frente a ataques a nivel de firmware (rootkits) que el antivirus convencional podría no detectar.

💡 Nota: crea una copia de la clave de recuperación por si la necesitas en el futuro. Para ello, sigue estos pasos:

1. Pulsa Inicio, escribe BitLocker y selecciona Administrar BitLocker en la lista de resultados.
2. Selecciona Hacer copia de seguridad de la clave de recuperación junto a la unidad que quieras copiar.
3. Elige dónde quieres guardar la copia de la clave.
4. Pulsa Finalizar.

⚠️ Advertencia: una configuración incorrecta del TPM puede provocar fallos de arranque o un cifrado irrecuperable (para más información, consulta: aspectos a tener en cuenta).

Paso 4: configura el aislamiento de red y del firewall

Controla de forma estricta las comunicaciones de red de la PAW para minimizar su superficie de ataque.

📌 Caso de uso: impide que las PAW accedan a internet, pero permite la conectividad con los servidores internos de gestión y la infraestructura de actualizaciones

📌 Requisito previo: privilegios de administrador

1. Pulsa Win, escribe PowerShell y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro:
   • New-NetFirewallRule -DisplayName "Block Internet" -Direction Outbound -RemoteAddress 0.0.0.0/0 -Action Block

Tras bloquear el tráfico de salida, crea reglas de permiso específicas para la infraestructura crítica:

• Endpoints de actualización
• Servidores RMM o de gestión
• Sistemas de registro o monitorización
• Servidores DNS y resolución de nombres interna

Valora también colocar las PAW en su propia VLAN (red de área local virtual) dedicada. Permite el tráfico únicamente hacia:

• Servicios administrativos internos
• Infraestructura de actualizaciones controlada

Las VLAN ofrecen fronteras aplicables a nivel de red.

Paso 5: restringe el acceso a las aplicaciones

Este paso garantiza que solo puedan ejecutarse las herramientas administrativas de confianza, bloqueando aplicaciones innecesarias o potencialmente peligrosas que podrían servir como vectores de ataque.

📌 Caso de uso: impide la ejecución de software no esencial o de alto riesgo en las PAW

📌 Requisito previo: privilegios de administrador

Consejo profesional: no te quedes fuera

Antes de cambiar AppLocker a «Aplicar reglas», configúralo en «Solo auditoría» durante 3-5 días.

• Revisa el Visor de eventos: ve a Registros de aplicaciones y servicios > Microsoft > Windows > AppLocker.
• Identifica los bloqueos: busca entradas que señalen herramientas administrativas críticas (como plugins concretos de RMM, agentes de NinjaOne o diagnósticos especializados) que se habrían bloqueado.
• Ajusta las reglas: añade excepciones para estas herramientas antes de activar la restricción estricta, para no dejar inservible tu propio flujo de trabajo.

Para configurar AppLocker:

1. Pulsa Win + R, escribe gpmc.msc y pulsa Intro.
2. Recorre la siguiente ruta:

Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de control de aplicaciones > AppLocker

• • Permitir:
    • MMC
    • PowerShell
    • Consolas administrativas
  • Denegar:
    • Navegadores, clientes de correo, redes sociales y aplicaciones de mensajería

Paso 6: configura el acceso remoto y la obligatoriedad de MFA

Imponer MFA (autenticación multifactor), acceso por VPN y una gestión controlada de las sesiones garantiza que las conexiones administrativas remotas sean seguras y queden limitadas a usuarios autorizados.

📌 Caso de uso: habilita un acceso RDP seguro y gobernado por políticas a los hosts privilegiados, imponiendo VPN, MFA, límites de sesión y control de acceso basado en el endpoint

📌 Requisito previo: privilegios de administrador

(A) Exigir VPN para el acceso RDP remoto (protocolo de escritorio remoto)

• Exige que todo el acceso administrativo remoto pase por un túnel VPN seguro.
• Restringe el RDP en el perímetro de la red mediante firewalls.

Esto añade una capa segura y garantiza que el cliente se encuentra en un segmento de red de confianza. Esta configuración evita que los puertos RDP queden expuestos directamente a internet.

Nota: en las PAW de nivel 0, recurre a la autenticación basada en certificados a través de la VPN. Así te aseguras de que solo el dispositivo PAW físico concreto pueda intentar conectarse a la red de gestión, lo que impide que cualquier dispositivo no autorizado llegue siquiera a ver la pantalla de inicio de sesión.

(B) Crear una regla de firewall de entrada para RDP

1. Pulsa Win, escribe cmd y haz clic en Ejecutar como administrador.
2. Copia y pega el siguiente script en la consola y pulsa Intro:
   • netsh advfirewall firewall add rule name="Allow Admin RDP" dir=in action=allow protocol=TCP localport=3389

⚠️ Resolución de problemas y aspectos a tener en cuenta

Síntomas o riesgos	Causas probables o posibles consecuencias	Soluciones o pasos para revertir
Las herramientas administrativas no se abren	Una política de AppLocker mal configurada está bloqueando las aplicaciones necesarias por falta de reglas de permiso.	Abre los registros de eventos de AppLocker en Visor de eventos > Registros de aplicaciones y servicios > Microsoft > Windows > AppLocker y busca las reglas que bloquean la ejecución.
Los ajustes de GPO «desaparecen» (desviación de políticas)	Hay anulaciones locales o GPO de dominio en conflicto que sobrescriben tus ajustes.	Ejecuta gpresult /h report.html en CMD para identificar qué política gana el conflicto.
Error de Credential Guard	La seguridad basada en virtualización (VBS) está desactivada en la BIOS.	Entra en la BIOS/UEFI y comprueba que «Virtualization Technology» y «VT-d» están activados.
Red desconectada	Las reglas de salida del firewall son demasiado restrictivas. Se bloquea el tráfico hacia los servidores internos de actualización, el DNS o los controladores de dominio.	Revisa el conjunto de reglas del firewall y crea reglas de permiso explícitas para los rangos de IP de gestión interna, los servidores WSUS, el DNS y los sistemas de autenticación.
La clave de BitLocker no se guarda	El TPM (módulo de plataforma segura) no está inicializado ni listo para el cifrado con BitLocker.	Abre TPM.msc para comprobar su estado. Si no está disponible, inicializa el TPM desde la BIOS/UEFI o desde el SO.
El RDP se bloquea de forma inesperada	Los ajustes de GPO o del registro han desactivado el acceso remoto o lo han limitado solo a redes autorizadas.	Comprueba la configuración de Escritorio remoto en Propiedades del sistema > Configuración remota.
Riesgos	Posibles consecuencias	Cómo revertirlos
Una configuración incorrecta del TPM o unas GPO erróneas pueden provocar fallos de arranque o un cifrado irrecuperable	Puedes perder datos por no tener claves de recuperación	Guarda copias de las claves de recuperación en AD o en Azure AD.

Servicios de NinjaOne para escalar el despliegue de PAW

Con NinjaOne, los MSP pueden escalar el despliegue de PAW, mantener la estandarización y reducir el riesgo sin sacrificar productividad. Concretamente, NinjaOne mejora la estrategia de PAW al:

• Desplegar líneas base reforzadas mediante scripts de políticas equivalentes a las GPO
• Ejecutar scripts de PowerShell de forma remota para validar el firewall, BitLocker o las restricciones de aplicaciones
• Monitorizar el estado y el nivel de parches de las estaciones de trabajo administrativas
• Etiquetar las PAW por separado en el inventario para informes, auditorías y cumplimiento
• Alertar sobre instalaciones de software no autorizadas o desviaciones de políticas en los endpoints PAW

Administración remota segura gracias a las PAW

Las estaciones de trabajo con acceso privilegiado separan la actividad administrativa sensible de la informática de uso general. Al aislar las credenciales y proteger los endpoints utilizados para la administración de dominios o sistemas, los MSP y los equipos de TI reducen el riesgo de que una brecha escale o de que se produzca un compromiso de identidad.

Temas relacionados:

• ¿Qué es la gestión de acceso privilegiado (PAM)?
• ¿Qué es la gestión de identidades y accesos (IAM)?
• ¿Qué es una estación de trabajo?
• Cómo activar o desactivar la red en Windows Sandbox
• Simplifica la seguridad y los permisos con el control de acceso basado en roles