Las amenazas de ciberseguridad evolucionan constantemente, así que los proveedores de servicios gestionados (MSP) y los administradores de TI deben mantener sus endpoints protegidos para salvaguardar a sus clientes y sus operaciones. Ante esta situación, el Center for Internet Security (CIS) creó los CIS Benchmarks, que establecen los estándares para una ciberseguridad más sólida. Sin embargo, aplicar sus recomendaciones de configuración puede llevar mucho tiempo y dar lugar a errores.
Para facilitar mucho esta tarea de fortalecimiento de endpoints, conviene plantearse un enfoque automatizado. Sigue leyendo y descubre cómo usar scripts de PowerShell junto con ediciones del registro, scripts de CMD y despliegues de directivas de grupo para proteger los dispositivos de todos tus sistemas.
¿Quieres más información? Mira nuestra guía visual: Fortalecimiento de endpoints con scripts para MSP: CIS Benchmarks con PowerShell.
Cómo automatizar los CIS Benchmarks para fortalecer los endpoints de un MSP
En entornos Windows, los MSP y los profesionales de TI tienen que aplicar cientos de ajustes de configuración para cumplir los estándares del sector definidos por los CIS Benchmarks, por lo que no se recomienda hacerlo manualmente uno por uno. Aquí tienes algunos ejemplos de cómo usar PowerShell para automatizar estas configuraciones alineadas con CIS, además de otras alternativas para distintas necesidades y entornos.
📌 Requisitos previos:
- Windows 10 u 11 en edición Pro o Enterprise
- Privilegios de administrador
- Conocimientos de los CIS Benchmarks (nivel 1 o 2)
- Opcional: acceso a Active Directory, Intune o NinjaOne
💡Consejo: revisa Aspectos a tener en cuenta antes de continuar.
📌 Estrategias de despliegue recomendadas:
Haz clic para elegir un método | 💻 Ideal para usuarios individuales | 💻💻💻 Ideal para empresas |
| Método 1: aplicar los ajustes de los CIS Benchmarks con PowerShell | ✓ | ✓ |
| Método 2: usar el Editor del Registro para imponer la configuración | ✓ | |
| Método 3: usar CMD para ajustes y validación del sistema | ✓ | |
| Método 4: centralizar la aplicación con directivas de grupo (GPO) | ✓ |
Método 1: aplicar los ajustes de los CIS Benchmarks con PowerShell
PowerShell puede automatizar directamente, mediante scripts, las directivas de seguridad locales, los servicios, los ajustes de auditoría y las configuraciones del sistema. Por eso resulta sencillo aplicar cientos de controles CIS y crear módulos reutilizables para despliegues masivos. A continuación tienes varios scripts de PowerShell para los CIS Benchmarks que puedes combinar en módulos o usar con DSC (Desired State Configuration) para un despliegue repetible.
📌 Casos de uso:
- Automatizar el fortalecimiento al incorporar dispositivos nuevos
- Desplegar rápidamente controles de seguridad en endpoints de entornos sin dominio
📌 Requisitos previos:
- PowerShell 5.1 o posterior (comprueba tu versión de PowerShell)
- Privilegios de administrador
Scripts de ejemplo:
- Desactivar el protocolo heredado SMBv1 (evita que se exploten vulnerabilidades antiguas de SMB)
Disable-WindowsOptionalFeature -Online -FeatureName SMB1Protocol -NoRestart
- Desactivar la cuenta de invitado (reduce el riesgo de accesos no autorizados)
Set-LocalUser -Name "Guest" -Enabled $false
- Exigir complejidad de contraseñas (modifica y vuelve a aplicar la directiva de seguridad local)
secedit /export /cfg c:\secpol.cfg (gc c:\secpol.cfg).replace
(«PasswordComplexity = 0″,»PasswordComplexity = 1») | Set-Content c:\secpol.cfg
secedit /configure /db c:\windows\security\local.sdb /cfg c:\secpol.cfg /areas SECURITYPOLICY
- Activar el registro de auditoría (garantiza el seguimiento de los intentos de inicio de sesión correctos y fallidos)
auditpol /set /subcategory:»Logon» /success:enable /failure:enable
Método 2: usar el Editor del Registro para imponer la configuración
Para un fortalecimiento más preciso, puedes editar directamente el Registro de Windows. Muchos controles CIS se corresponden directamente con claves concretas del registro, así que automatizar esas modificaciones también es una opción válida. A continuación tienes ediciones del registro que puedes aplicar mediante archivos .reg o PowerShell (Set-ItemProperty), o desplegar con NinjaOne o GPO.
📌 Casos de uso:
- Aplicar ajustes que no están disponibles en las directivas de grupo
- Reforzar el fortalecimiento basado en GPO con medidas locales
📌 Requisito previo: acceso de administrador a los endpoints de destino
Ejemplos de modificaciones del registro:
- Desactivar la ejecución automática de Windows (mitiga la ejecución de malware desde dispositivos USB)
[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\
CurrentVersion\Policies\Explorer] «NoDriveTypeAutoRun»=dword:000000ff
- Restringir la enumeración anónima de SID (evita el sondeo de cuentas de usuario)
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\
Control\Lsa] «RestrictAnonymousSAM»=dword:00000001
Método 3: usar CMD para ajustes y validación del sistema
Los scripts de CMD son ideales para sistemas antiguos y para cambios rápidos en el sistema. También resultan útiles para validar configuraciones en entornos más antiguos que quizá no cuenten con PowerShell ni con herramientas modernas. Aquí tienes algunos scripts de CMD que puedes encadenar con los comandos taskkill, net stop o sc config para fortalecer aún más los servicios.
📌 Casos de uso:
- Fortalecer sistemas sin conexión
- Ejecutar tareas rápidas de corrección durante llamadas de soporte o sesiones remotas
📌 Requisito previo:
- Acceso a CMD
- Privilegios de administrador
Comandos de ejemplo:
- Desactivar Asistencia remota (reduce la superficie de ataque del soporte remoto)
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Remote Assistance" /v fAllowToGetHelp /t REG_DWORD /d 0 /f
- Desactivar NetBIOS sobre TCP/IP (mitiga los riesgos de movimiento lateral)
wmic nicconfig where «IPEnabled=true» call SetTcpipNetbios 2
- Exportar la configuración de seguridad actual para revisarla o guardarla
secedit /export /cfg C:\cfg.txt
Método 4: centralizar la aplicación con directivas de grupo (GPO)
Los MSP también pueden usar GPO para centralizar la configuración de cientos de ajustes CIS en los sistemas unidos al dominio. Es el enfoque más escalable en entornos de Active Directory.
📌 Casos de uso:
- Mantener una base de seguridad sólida en las redes de los clientes
- Aplicar los controles de alta seguridad del nivel 2 de CIS
- Gestionar entornos híbridos junto con Intune o NinjaOne
📌 Requisitos previos:
- Acceso a la consola de administración de directivas de grupo (GPMC)
- Un entorno de Active Directory
- Privilegios administrativos
Pasos:
- Abre la consola de administración de directivas de grupo (GPMC) en un controlador de dominio o en el sistema de gestión. Pulsa tecla Windows + R, escribe «gpmc.msc» y pulsa Intro.
- Crea o edita una GPO dirigida a tu base de seguridad.
- Configura las directivas en: Configuración del equipo > Configuración de Windows > Configuración de seguridad
- Algunas directivas relevantes para CIS que puedes configurar:
- Directiva de contraseñas (en Directivas de cuenta): exige complejidad, caducidad e historial
- Asignación de derechos de usuario (en Directivas locales): restringe «Iniciar sesión localmente» y deniega el acceso
- Opciones de seguridad: desactiva las respuestas LM y el acceso anónimo
- Directivas de auditoría: activa el registro avanzado
- Windows Defender y configuración del firewall: estandariza la protección
- Ejecuta gpupdate /force en un símbolo del sistema con privilegios elevados en los equipos cliente para aplicar la directiva.
- Opcional: usa el Microsoft Security Compliance Toolkit o los archivos de importación de GPO de CIS para agilizar la configuración.
⚠️ Aspectos a tener en cuenta
| Riesgos | Posibles consecuencias | Cómo revertirlos |
| Efectos imprevistos de los scripts por errores tipográficos o de lógica |
|
|
| Fortalecimiento excesivo mediante GPO o PowerShell (por ejemplo, desactivar servicios necesarios) | Fallos en aplicaciones críticas para el negocio o en herramientas remotas |
|
| Bloqueo de usuarios legítimos por directivas de inicio de sesión demasiado restrictivas | Las cuentas de usuario y de administrador pueden quedar bloqueadas por intentos de inicio de sesión fallidos o por reglas de contraseña excesivamente estrictas |
|
¿Qué es un CIS Benchmark?
Los CIS Benchmarks son un conjunto de buenas prácticas prescriptivas para proteger los sistemas y los datos de TI. Ofrecen orientación para reducir vulnerabilidades y fortalecer las configuraciones del sistema. Además, estos estándares:
- Están desarrollados por expertos, desde profesionales de ciberseguridad hasta proveedores y especialistas en la materia
- Se aplican a una gran variedad de sistemas, como Windows, Linux, macOS, dispositivos de red, navegadores y plataformas en el cloud
- Se presentan como ajustes de configuración detallados, con valores recomendados, justificaciones y pasos de corrección
- Abordan habitualmente:
- Se dividen en dos niveles:
- Nivel 1: seguridad básica, adecuada para sistemas de uso general y centrada en reducir al mínimo el impacto en el usuario.
- Nivel 2: fortalecimiento avanzado para entornos de alta seguridad, que puede afectar a la usabilidad o a la funcionalidad
- Están alineados con estándares como HIPAA, NIST, PCI-DSS e ISO 27001
- Se revisan periódicamente para reflejar las amenazas, vulnerabilidades y actualizaciones de plataforma actuales
- Son de acceso público en www.cisecurity.org/cis-benchmarks
Adoptar estas recomendaciones ayuda a definir bases de seguridad, minimizar riesgos y demostrar diligencia debida ante todas las partes implicadas.
Otras consideraciones para los MSP al implementar los CIS Benchmarks
La automatización de los CIS Benchmarks va más allá de ejecutar scripts o aplicar GPO. Si los MSP y los equipos de TI quieren fortalecer la seguridad de endpoints con éxito, deben tener en cuenta algunos factores del entorno, de cumplimiento y operativos para evitar problemas.
- Pruebas antes del despliegue: los CIS Benchmarks pueden alterar considerablemente el comportamiento del sistema. Los scripts sin probar pueden desactivar servicios necesarios o restringir actividades legítimas de los usuarios, así que pruébalos siempre en entornos de prueba.
- Elección del nivel del benchmark: ten en cuenta que el nivel 1 se centra en el fortalecimiento esencial sin afectar a la usabilidad, por lo que resulta adecuado para la mayoría de los entornos empresariales. El nivel 2, en cambio, está pensado para sistemas de alta seguridad. Por ello, una aplicación más estricta puede perjudicar la experiencia del usuario o el funcionamiento de las aplicaciones.
- Plantillas de base: Microsoft ofrece GPO de base de seguridad que pueden solaparse con los CIS Benchmarks. Aunque resultan útiles, estas plantillas no las sustituyen por completo. Opta siempre por CIS como estándar principal cuando se exija un cumplimiento estricto.
- Registro de auditoría: registrar todos los cambios garantiza la trazabilidad y el cumplimiento cuando los auditores o los equipos de seguridad piden pruebas de los scripts aplicados y de las entradas del registro modificadas.
Guía de inicio rápido
NinjaOne ofrece potentes capacidades de scripting para el fortalecimiento de endpoints, especialmente con PowerShell. La plataforma incluye varias funciones clave que facilitan un fortalecimiento al estilo de los CIS Benchmarks:
1. Amplia biblioteca de scripts: NinjaOne cuenta con una completa biblioteca de automatización con numerosos scripts de seguridad y fortalecimiento del sistema, entre ellos:
- Establecer la directiva de contraseñas
- Desactivar protocolos TLS y SSL débiles
- Activar o desactivar el Firewall de Windows
- Auditar el estado del firewall
- Establecer los requisitos mínimos de contraseña
- Desactivar las herramientas de administrador local
2. Compatibilidad con scripts de PowerShell: la plataforma admite de forma nativa los scripts de PowerShell, lo que permite a los MSP crear scripts personalizados para implementar los CIS Benchmarks.
3. Gestión de vulnerabilidades: NinjaOne incluye un script Vulnerability Importer que ayuda a importar y gestionar datos relacionados con la seguridad.
4. Scripts personalizados: puedes crear y desplegar scripts de PowerShell personalizados en varios endpoints para aplicar recomendaciones concretas de los CIS Benchmarks.
Resolución de problemas
Fallos en los scripts de PowerShell
La directiva de ejecución puede ser demasiado restrictiva, o los scripts pueden estar bloqueados por la configuración del sistema o del antivirus. Comprueba tu directiva de ejecución actual con este comando:
Get-ExecutionPolicy -List
Si es necesario, configúrala como RemoteSigned con este comando:
Set-ExecutionPolicy RemoteSigned -Scope LocalMachine
Así se permitirán los scripts locales y se exigirán firmas en los remotos. También deberías comprobar si hay soluciones antivirus o de seguridad de endpoints que puedan bloquear la ejecución de scripts, como Defender o CrowdStrike.
Los ajustes de GPO no se aplican
Esto puede ocurrir si el endpoint no pertenece a la unidad organizativa (OU) correcta, o si los filtros WMI o de seguridad impiden la aplicación de la directiva. Confirma que el ajuste se aplica a la OU en la que está el dispositivo en Usuarios y equipos de Active Directory. También conviene validar los filtros WMI de la GPO para asegurarte de que el sistema cumple los criterios.
Ajustes en conflicto
Las directivas de grupo pueden sobrescribir en el siguiente ciclo de actualización los ajustes locales aplicados con PowerShell o el registro. Define bien tu jerarquía de configuración. Usa PowerShell o el registro para el primer despliegue y, después, pasa a GPO para que la aplicación sea permanente.
Errores en el registro de seguridad
Los ajustes del registro de auditoría pueden saturar los logs si son demasiado detallados. Puedes afinarlos para centrarte en las categorías críticas, como los eventos de inicio de sesión, el uso de privilegios, la integridad del sistema y la gestión de cuentas. También puede ser útil establecer límites de retención y de tamaño.
Servicios de NinjaOne que ayudan a reforzar la aplicación de los CIS Benchmarks
NinjaOne puede mejorar la escalabilidad y la eficacia de la implementación de los CIS Benchmarks al ofrecer a los MSP potentes funciones de automatización, monitorización e informes.
| Servicio de NinjaOne | Cómo puede ayudar | Caso de uso ideal |
| Despliegue de scripts | Ejecuta de forma remota scripts de PowerShell o CMD en varios dispositivos para automatizar el fortalecimiento | Despliegue inicial de controles CIS, como desactivar SMBv1 o establecer directivas de auditoría |
| Plantillas de directivas | Despliega plantillas de configuración reutilizables que incluyen ediciones del registro y ajustes de servicios | Estandarizar las bases de seguridad en varios clientes o tipos de dispositivos |
| Informes de auditoría | Genera informes de cumplimiento y configuración que muestran qué dispositivos están alineados | Demostrar el cumplimiento de CIS en auditorías o revisiones con clientes |
| Motor de automatización | Programa scripts y directivas para que se ejecuten automáticamente durante la incorporación o de forma periódica | Aplicar controles CIS a endpoints nuevos o reinstalados sin esfuerzo manual |
| Alertas | Recibe avisos cuando falten ajustes relacionados con CIS o estén mal configurados o modificados | Vigilar la desviación de configuración o los cambios no autorizados |
Simplifica el fortalecimiento con una automatización inteligente
Implementar los CIS Benchmarks manualmente puede ser un proceso muy largo para los MSP y los profesionales de TI. Por eso, automatizarlo con scripts de PowerShell, modificaciones del registro, herramientas de línea de comandos y directivas de grupo ayuda a garantizar una aplicación coherente. Todo ello mejora la seguridad de endpoints y reduce los riesgos de configuraciones incorrectas.
Temas relacionados:
- Guía completa del fortalecimiento de sistemas [Checklist]
- 9 pasos esenciales del proceso de fortalecimiento de servidores
- Por qué las organizaciones deberían invertir en fortalecimiento de endpoints y automatización
- ¿Qué es la seguridad de endpoints y cómo funciona?
- Empieza por los fundamentos de la seguridad de endpoints y construye a partir de ahí
