Registro y evidencia local: leer lo que el equipo guarda

El escáner autenticado entra con una cuenta y lee el registro de forma remota. Esa lectura puede salir mal por muchas razones: la cuenta no tiene permiso, el servicio que da acceso remoto al registro está detenido, un cortafuegos local lo impide. En esos casos el escáner no encuentra un valor, y lo importante es no confundir el silencio con una respuesta.

Un resultado de «acceso denegado» no demuestra que el equipo cumpla ni que falle: es ausencia de evidencia. Se anota como «sin evidencia», se pide arreglar el acceso del escáner al equipo y se vuelve a leer. Si en cambio se da por cumplido o por fallado sin dato, la cifra del informe deja de ser verificable. Abre lecturas_del_escaner para ver los cuatro resultados.

Un valor del registro tiene tres piezas: el nombre, el tipo y el dato. La mayoría de las opciones de seguridad son valores de tipo REG_DWORD, un número, y casi siempre se leen como interruptor: un dato indica activado y otro, desactivado. Para escritorio remoto, el valor UserAuthentication de la clave RDP-Tcp indica si se exige autenticación a nivel de red antes de abrir la sesión: con dato 1 se exige, con dato 0 no.

La autenticación a nivel de red obliga a identificarse antes de que el servidor cree la sesión, lo que reduce lo que ve alguien que solo prueba la conexión. Mira la tabla valores_registro, fila por fila, y compara los dos servidores de terminal.

Dos servidores con el mismo hallazgo pueden tener el dato en claves distintas, o el mismo dato con significados contrarios: por eso se cita siempre la clave completa, el nombre del valor y el dato. En el caso de un protocolo heredado de compartición de archivos, el estado del servidor se guarda como un valor en la clave de parámetros del servicio de servidor de archivos. Un dato 1 lo deja habilitado y un 0 lo deshabilita.

Un hallazgo que dice «protocolo heredado habilitado» debe llevar adjunta esa evidencia exacta, para que quien corrija sepa qué valor mirar. En la tabla valores_registro, filtra por la clave de parámetros del servidor de archivos y compara los dos servidores.

Algunos valores no son interruptores, sino niveles. El caso conocido es LmCompatibilityLevel, de la clave Lsa, que va de 0 a 5 y dice qué tipos de respuesta de autenticación envía el equipo y cuáles acepta o rechaza. Un nivel bajo deja viva una autenticación antigua y más débil; un nivel alto la rechaza. El analista no memoriza los seis niveles: los tiene en una tabla y traduce el dato a una frase que cualquiera entienda.

En la consola, niveles_lm es la tabla de traducción. Léela con el dato de chi-sql01 en la mano antes de elegir la frase.