Restringir la instalacion de software mediante políticas de grupo en Windows

En la administración de un entorno Windows es muy útil, casi imprescindible, implementar directivas de grupo que nos ayuden a establecer configuraciones en las máquinas de la red de forma centralizada. A continuación explicaremos cómo implementar una de las políticas, que desde mi punto de vista, es una de las más importantes si queremos que las estaciones de trabajo de nuestra red no se conviertan alojamiento de cuanto software cae en manos de nuestros usuarios; estamos hablando de una política que se encarga de prohibir la instalación deliberada de software en las PCs. Para el desarrollo de este artículo se utilizaron servidores de dominio instalados con Windows 2003 Enterprise Server y la consola para la Administración de las políticas de grupo para hacer más cómoda la manipulación de las mismas en este sistema operativo. Vayamos entonces a la parte práctica del asunto. Asumiendo que ya tenemos instalada en nuestro servidor la consola de administración de políticas de grupo (GPMC) podremos abrirla desde las Herramientas Administrativas que se encuentran en el Panel de Control. Una vez abierta debemos crear una nueva política haciendo clic derecho en el elemento Objetos de directiva de grupo del árbol que se muestra a la izquierda cuando seleccionamos el dominio en el que vamos a trabajar. Creada la nueva política la abrimos haciendo clic derecho sobre ella y luego seleccionamos la opción Editar del menú contextual. Con la directiva abierta nos movemos por el árbol de la izquierda hasta la rama: Configuración de usuario > Configuración de Windows > Configuración de seguridad > Directivas de restricción de software. En esta última carpeta hacemos clic derecho y seleccionamos la opción Nuevas directivas de restricción de software para crear una nueva plantilla; en la que deberemos eliminar el contenido de la carpeta Reglas adicionales, que crea el sistema automáticamente. Luego de borrar su contenido debemos hacer clic derecho en la carpeta Reglas adicionales y seleccionar la opción Regla de nueva ruta. En la ventana que nos mostrará debemos definir en el cuadro de texto Ruta de acceso el valor *setu* y en el Nivel de seguridad debe estar seleccionada la opción No permitido. Aceptamos las opciones y tendremos nuestra primer restricción de software. Luego debemos hacer el mismo proceso pero definiendo la Ruta de acceso con el valor *instal*, quedando como se muestra a continuación en la imagen. Para hacer efectiva la política sólo nos queda vincularla a la unidad organizativa que se aplicará. Teniendo en cuenta que será funcional sólo para los usuarios que estén dentro de la OU que enlacemos, no así para los equipos. Con esta directiva estaremos diciéndole al sistema operativo que no permita la ejecución de archivos que contengan las palabras instal o setu en cualquier parte del nombre. Como seguramente está imaginando con solo cambiar el nombre del ejecutable se salta esta política, por lo que ésta se complementa con la acción de establecer a los usuarios que se aplicará la directiva sólo como miembros del grupo Usuarios para evitar que el sistema operativo les de acceso de escritura en la carpeta %PROGRAMFILES% donde se guardan las instalaciones de los programas. Continuar leyendo

Desinstalar paquetes MSI con errores ( WSUS3, Nero 7, etc.)

En ocasiones sucede que no podemos desinstalar algunos programas que fueron instalados en paquetes MSI. Esto puede ocurrir por varios motivos, lo más común es que cambiemos de ubicación o eliminamos el paquete de instalación original o que no se completen las tareas de desinstalación requeridas por el paquete para eliminar el software de nuestro ordenador. Un ejemplo claro de esto es el WSUS3 que para proceder con la desinstalación necesita contactar con la base de datos y su repositorio de actualizaciones para que ésta se realice; de otra forma nos devuelve un error y nunca podremos desinstalarlo. También la versión 7 de Nero presenta problemas al desinstalarse si se ha eliminado la instalación de la carpeta temporal de Windows (C:\Windows\Temp), donde se guarda por defecto cuando instalamos el producto. Herramienta de limpieza de Windows Installer Los paquetes MSI o Windows Installer son un estándar de instalación desarrollado por Microsoftpara su sistema operativo Windows. Esta empresa ha desarrollado una aplicación que nos permite quitar del sistema instalaciones de este tipo que por cualquier motivo no se desinstalen de la forma tradicional. La Herramienta de limpieza de Windows Installer nos permite, mediante una interfaz gráfica, eliminar una instalación, de la base de datos que guarda el sistema operativo con la información de cada paquete MSI. Esta herramienta está disponible para su descarga directa en este vínculo. MSIZAP También podemos utilizar para el mismo objetivo, pero desde la línea de comandos, la herramienta MsiZap.exe para desinstalar nuestras paquetes MSI. Continuar leyendo

Reinstalar WSUS 3 sin perder el contenido descargado

Recientemente necesité reinstalar la versión 3 del servidor de actualizaciones de Windows (WSUS) ; pero me preocupó la idea de tener que descargar nuevamente todo el contenido de updates que ya tenía almacenado en mi servidor; por lo que me dí a la tarea de buscar una forma de reinstalarlo manteniendo las actualizaciones descargadas. Aquí comparto con ustedes una manera sencilla de lograr esto. Lo que describiré a continuación puede ser útil en las siguientes tareas:

• Mudar el servicio WSUS 3 de un servidor a otro.
• Reinstalar el sistema operativo del servidor donde está el servicio de actualizaciones WSUS 3.
• Reinstalar el servicio WSUS 3 sin modificar el sistema operativo.

Pues bien, para realizar la reinstalación de WSUS 3 sin perder el contenido descargado debemos realizar, en el orden que se muestran, los siguientes pasos:

1. Copiar todo el contenido de la carpeta WSUSContent para una ubicación segura. Ya sea otro servidor, un dispositivo externo, etc. En caso que no vayamos a reinstalar el sistema operativo podemos copiar el contenido de la carpeta para otra partición o simplemente en una carpeta diferente en el mismo servidor.
2. Una vez que tenemos el contenido salvado procedamos a eliminar completamente la instalación actual de WSUS 3 o reinstalar el sistema operativo del servidor, según sea el caso.
3. Instalamos WSUS 3. Es importante destacar que luego de instalarlo y antes de la primera sincronización debemos copiar en la carpeta WSUSContent de la instalación que acabamos de realizar y que en este momento se encuentra vacía; todo el contenido de la carpeta WSUSContent que habíamos salvado previamente en el paso 1. Este es el punto más importante y el que evita que tengamos que descargar nuevamente todas las actualizaciones.
4. Ahora podemos configurar el servidor con nuestras preferencias y realizar la primera sincronización. Este proceso puede demorar varias horas, en dependencia del ancho de banda disponible.
5. Será necesario aprobar todas las actualizaciones sincronizadas para que comiencen a distribuirse al resto de las computadoras de nuestra red.

Con estos pasos tendremos nuestro servidor WSUS 3 funcionando y actualizado con los últimos parches de seguridad, service packs, actualizaciones críticas y todo lo que Microsoft nos envía a través de este servicio. Este procedimiento fue comprobado con Windows Server Update Services (WSUS) versión 3.0, instalado en un servidor con sistema operativo Windows 2003 Enterprise Edition SP2. Continuar leyendo

Cómo migrar tus aplicaciones de PHP4 a PHP5

En la versión 5 se han mejorado significativamente las capacidades de PHP. Pero muchos desarrolladores todavía no pueden hacer uso de sus bondades por el poco soporte que aún existe para esta versión. Zend nos anuncia que dejará de dar soporte a la versión 4 dentro de muy poco tiempo y con esto nos obliga a migrar hacia la última versión estable del lenguaje, PHP 5. Es por esto que en este artículo relacionamos los aspectos a tener en cuenta para una correcta migración. Lea el artículo completo en www.maestrosdelweb.com Continuar leyendo

Listado de contraseñas de fábrica

Navegando, navegando he encontrado este listado de contraseñas por defecto que traen de fábrica algunos equipos y sistemas. Esta lista me ha parecido muy buena por la utilidad que tiene. Más de una vez me ha pasado a mí y a otros administradores de red que conozco que cuando vamos a configurar algún equipo de red no existen los manuales ni la documentación que entrega el fabricante. Este listado lo encontré en la Bitácora de Javier Gutiérrez Chamorro. Gracias a él por esta recopilación tan genial!!! Continuar leyendo

Publicar páginas PHP sobre Internet Information Services

En este artículo explico con unos pocos pasos, cómo preparar un servidor con Internet Information Services sobre Windows 2003 para publicar en él páginas PHP utilizando PHP for Windows. Clic aquí para ver el artículo publicado en Maestros del Web Continuar leyendo