Para el que no le guste leer, os dejo un pequeño video de todos los pasos que aparecen en este mismo artículo:

1. Lo primero con lo que nos encontramos cuando intentamos cifrar una unidad de sistema operativo en una máquina que no tiene TPM es con el mensaje de error “Este equipo debe tener un dispositivo de seguridad del Módulo de plataforma segura (TPM) compatible, pero no se encontró ningún TPM. Póngase en contacto con el administrador del sistema para habilitar Bitlocker”
2. Para evitar que nos aparezca este mensaje tendremos que abrir las políticas de grupo de la máquina, o bien hacerlo desde el directorio activo si la máquina fuese parte del mismo.
   1. Para eso debemos ejecutar: “gpedit.msc” y
   2. Navegar a: Configuración del equipo –> Componentes de Windows –> Cifrado de unidad Bitlocker –> Unidades del sistema operativo
   3. Una vez en unidades del sistema operativo tendremos que seleccionar la política “Requerir autenticación adicional al iniciar”  
   4. Habilitaremos esta política. (Cómo podemos ver esta política nos permite usar Bitlocker en máquinas sin TPM pero además podemos configurar requerimientos para máquinas que sí tienen Bitlocker, cómo forzar a que tengan o no pin en el arranque etc…)
3. Una vez que hemos habilitado la política debemos forzar la actualización de las políticas o bien esperar a que se actualicen solas, para evitar esperar ejecutaremos: gpupdate /target:Computer /force
4. Ahora volveremos a intentar cifrar el contenido del disco de sistema:
5. Al comenzar el proceso de Bitlocker y darse cuenta que no tiene chip TPM nos aparece la esta pantalla. Aquí forzaremos a que nos pida una clave en el inicio que será almacenada en una llave USB.
6. A continuación le indicaremos en que dispositivo externo vamos a guardar la calve, en mi caso es una llave USB que se llama Bitlocker
7. Una vez finalizado esto nos pedirá que guardemos la clave de recuperación (recordad que esto por políticas también se puede ocultar para que directamente esto se guarde sólo en el directorio activo y que no tengamos que guardarlo, o imprimirlo nosotros mismos.
8. Finalmente estaremos listos para empezar a cifrar el disco
9. En este punto nos pedirá un reinicio. 

   NOTA: Es importante que en este primer reinicio no quitemos la llave USB, de hacerlo en el siguiente arranque no será capaz de encontrar la clave que usará para cifrar el disco y fallará con este error: “No se encuentra la clave de inicio o la contraseña de recuperación de Bitlocker en el dispositivo USB. Compruebe que tiene el dispositivo USB correcto y que el dispositivo USB está conectado al equipo en un puerto USB activo, reinicie el equipo e inténtelo de nuevo. Si el problema persiste, póngase en contacto con el fabricante del equipo para obtener instrucciones de actualización de BIOS.”
   
   

   Si nos pasa esto verémos también los eventos ID: 24630 y ID: 24609 ambos con Origen: Bitlocker-Driver.

   
   
   Si nos aparece esté mensaje de error tendremos que empezar nuevamente con el procedimiento desde el paso 4.

10. Si no hemos recibido el mensaje de error estaremos felizmente cifrando el disco.
11. Ya tenemos la partición de sistema operativo cifrada ahora sólo hay que reiniciar la máquina para ver el comportamiento.
    1. Si no tenemos el pendrive pinchado nos dará un mensaje de error en el arranque de la máquina.
    2. Si lo tenemos pinchado directamente arrancará la máquina.
12. Si hibernamos el sistema también nos hace falta tener la llave USB pinchada para poder recuperar el ordenador.

Si has llegado hasta aquí y te preguntas que es lo que se guarda en la llave USB, se trata de un fichero cifrado con extensión BEK (Bitlocker Encryption Key) que contiene la clave de cifrado del disco, no dudes en hacer una copia de este fichero y dejarlo en un sitio bien seguro, por si algún día necesitas recuperar el contenido del disco.

Ya no nos quedan excusas para ponernos a cifrar todos nuestros equipos, sean antiguos o nuevos con o sin TPM,. Espero que os haya sido de utilidad.

Enjoy

Monaguillo…t

Estos días de Navidad se concentra uno fenomenal en la oficina

Así es fácil, ni un alma ha pasado por delante de mi sitio en toda la mañana .

He pensado, ¿porqué no aprovechar a rehacer mis entornos de pruebas que hace tiempo que llevo dandole vueltas?. Dicho y hecho.

Lo primero, ha sido crearme un Windows 7 en un VHD y arrancar desde él. Antes de ponerme a instalar nada he preferido cifrar todo el contenido (tanto los datos cómo el sistema operativo con Bitlocker) y aquí ha llegado mi primer problema y el motivo de este post. Una vez aplicado Bitlocker en la partición de sistema en cada uno de los reinicios de la máquina me encuentro con que me pide cambiar el fichero de paginación, y da lo mismo lo que haga aquí en cada reinicio me lo vuelve a pedir.

Resulta que el problema, se debe a que Bitlocker no está soportado en VHD’s , y uno de los motivos es porque el fichero de paginación debería estar en el disco de sistema pero al ser un VHD no le permite tenerlo ahí. La manera de resolver este pequeño contratiempo es:

1. Modificar el la ubicación del fichero de paginación para que esté en una partición física y no en el VHD

    

2. Al realizar bitlocker en la partición de sistema nos crea la clave “PageFileOnOsVolume” que la podemos encontrar en “HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\Memory Management “ El valor por defecto que le pone es 1.

Este valor significa que intentará poner el pagefile en la partición de Sistema Operativo y cómo va a fallar, nos pedirá en cada arranque que se lo metamos a mano. Para solucionar este problema es tan sencillo cómo poner el valor PageFileOnOsVolume a “0” 

• Ya sólo queda reiniciar y esperar que lo hayamos hecho bien .

Podéis encontrar más información sobre esta rama de registro en: https://support.microsoft.com/kb/929820

Ahora a disfrutar de la Navidad que ya Toca

FELIZ NAVIDAD

Monaguillo..t

NOTA: Los servidores de nuestro entorno son Windows Server 2008 R2 y los clientes son Windows7.

1. Lo primero que hicimos fue crearnos una unidad organizativa donde poder añadir las máquinas que queríamos forzar a tener Bitlocker (Este paso nos lo podríamos haber ahorrado creando la política a nivel de dominio para que aplicase a todas las máquinas de nuestra infraestructura).

2. A continuación creamos la política usando GPMC.

3. La política que necesitamos aplicar para que podamos guardar la clave de recuperación de los discos fijos de nuestra máquina en el directorio activo es:

“Elegir cómo se pueden recuperar unidades fijas protegidas por Bitlocker”

Está política se encuentra bajo:

Configuración de Equipo –> Plantillas Administrativas –> Cifrado de unidad Bitlocker –> Unidades de datos fijas

4. Una vez editada la política nos aseguramos de que se aplica en los clientes (este paso nos lo podemos ahorrar pero entonces tendríamos que esperar a que la política se aplicase sola). Para ello vamos al cliente Windows 7 y lanzamos el siguiente comando:

a. gpupdate /target:computer /force

b. Con gpresult podemos ver que la política se ha aplicado

5. Una vez se ha aplicado la política ya podemos empezar a cifrar el contenido del disco que queremos, es tan sencillo cómo:

a. Abrir el explorador de archivos

b. Boton derecho sobre el disco y Activar Bitlocker

6. En este Windows 7 o en cualquier otro de nuestra red, instalamos las herramientas “Remote Server Administration Tools for Windows 7”. Os recomiendo mucho tener estas herramientas a mano ya que lo que permiten es administrar los servidores de nuestra infraestructura de forma remota. Un uso muy común de esto es la administración de Hyper-V Server o de la versión Core de Windows Server 2008 R2 ya que no tienen consolas gráficas.

7. Una vez instaladas las herramientas hay que activarlas, para eso debemos ir a las características de Windows 7 y activarlas.

Las que necesitamos son: Las de Directorio Activo más las de Bitlocker Viewer

8. Una vez tenemos las herramientas hay que registrar la siguiente DLL

Regsvr32.exe BdeAducExt.dll

9. Finalmente podemos entrar en la consola de Directorio Activo

a. Al pulsar sobre la máquina con botón derecho propiedades

b. Ir a la pestaña Bitlocker

c. Vemos las claves de recuperación de esta máquina

d. Estas claves de recuperación sólo las veremos siempre y cuando seamos administradores de dominio.

Podemos encontrar inforamción adicional en los siguiente enlaces:

https://technet.microsoft.com/es-es/library/ee449438(WS.10).aspx
https://technet.microsoft.com/es-es/library/dd875531(WS.10).aspx
Herramientas: https://www.microsoft.com/downloads/en/details.aspx?displaylang=en&FamilyID=7d2f6ad7-656b-4313-a005-4e344e43997d

Espero que os sea de utilidad

Enjoy

Monaguillo…t

Pues bien, este fin de semana largo he podido empezar a jugar con mi flamante LG-E900 de 16GB y aunque ya os iré contando las conclusiones que me merece este excelente dispositivo, lo primero que me encontré no fue nada positivo.

La dirección MAC de la tarjeta WIFI del dispositivo sencillamente NO ESTÁ en ninguna parte (supongo que al grupo de producto se le pasó añadir esta información en el dispositivo, avisados quedan, esperemos verlo añadido en una próxima actualización).

Este problema que para muchos es insignificante para mí es todo un trastorno ya que TODAS las WIFI’s que administro (casa, suegros, padres….algún que otro amigo), las tengo protegidas con MAC, y claro no saberme la MAC de mi dispositivo evita que me pueda conectar, provocando un aumento considerable en la factura del teléfono (especialmente estos días iniciales de pruebas, cómo excusa no es mala espero que no me regañen mucho J).

Evidentemente hay muchas maneras de conseguir esta información, pero después de darle alguna vuelta esta ha sido la más sencilla que he encontrado.

1. Lo primero que hice fue quitar la protección MAC de mi router (el Clásico Comtrend de telefónica)

(buff que cantidad de cacharros tengo admitidos en mi red, toca hacer limpieza!!!)

2. El segundo paso fue conectar mi Windows Phone a mi red.

Nota: Es importante tener habilitado el DHCP en el router, para luego poder descubrir la nueva entrada.

3. Mirar en el apartado de DHCP la nueva entrada añadida, aquí quedará registrada la nueva MAC.

Ya sólo queda añadir ésta a la lista de MAC's admitidas y volver a dejarlo todo cómo estaba al principio. Aprovechando que Windows Phone 7 tiene el OneNote preinstalado he creado una NOTA con la MAC del dispositivo para cuando tenga que añadirlo en las distintas WIFI’s que gestiono .

Cómo ya he dicho hay otras formas de averiguar esto mismo, como por ejemplo la captura de trazas de red en modo promiscuo, pero ésta era con diferencia la más sencilla que encontré.

Enjoy

Monaguillo..t

Desde hoy la podréis descargar AQUÍ.

Las novedades que trae consigo el Service Pack 1 están, en su mayoría, relacionadas con las tecnologías de virtualización:

1. RemoteFX, nos permitirá aprovecharnos de la potencia gráfica de los servidores de virtualización, para poder recrear la acceleración gráfica por hardware, incluyendo soporte para contenido en 3D y Aero, desde una conexión y un dispositivo remoto.
2. Dynamic Memory, es una nueva característica de Hyper-V que permite cambiar en caliente la memoria asignada a las distintas máquinas virtuales de manera que podamos aumentar la densidad de máquinas virtuales que corren en dicho servidor.

Como podéis ver en el enlace de la descarga existen dos maneras de descargar la aplicación (con y sin registro), la diferencia básicamente es que si te registras, nosotros te iremos informando sobre el SP1 y de las fechas definitivas de su lanzamiento.

Enjoy

MonaGuillo..t

La webcast de hoy será impartida por mi compañero Paulo, yo estaré también intentando contestar a todas vuestras preguntas.

Para registrarte sólo tienes que hacerlo AQUÍ:

Nos vemos esta tarde.

Monaguillo..t

Noticia:  https://www.publico.es/ciencias/341402/espana-es-el-tercer-pais-del-mundo-con-mas-ordenadores-zombis

Muchos se conformarían con recomendarte un escaneo online de algún antivirus, pero por desgracia no es suficiente y lo primero que tenemos que hacer es echar un vistazo a los procesos para ver si lo que está en ejecución en nuestro PC es todo lo que creemos tener instalado.
Para ello vamos al Administrador de tareas de Windows con la combinación de teclas Ctrl+Alt+Supr, o incluso mejor vamos a utilizar una magnífica herramienta llamada Process Explorer (https://technet.microsoft.com/es-es/sysinternals/bb896653.aspx).

Vamos al menú "View", sección "select columns" y marcamos "Command line" para mostrarla. Con estas herramientas podemos ver todos los programas que están en ejecución y en qué directorio se encuentran.
También es muy muy interesante saber si hay algún programa que se intenta ocultar, para ello vamos a utilizar otra interesante herramienta llamada RootkitRevealer (https://technet.microsoft.com/es-es/sysinternals/bb897445.aspx), que detecta correctamente todos los rootkits persistentes publicados en www.rootkits.com.

Como ya sabéis, un zombie se produce por la infección de un malware "daemon" que requiere internet para poder ser controlada, así que una de las actividades principales de estos bichos está las conexiones. Así que vamos a comprobar si nuestro equipo se está conectando a sitios conocidos.
Si nos jugar con comandos, el que debemos utilizar es NETSTAT -B, que nos dirá de manera muy clara qué aplicaciones son los responsables de cada conexión activa. Si lo preferimos con interface gráfica, podemos utilizar TCPView (https://technet.microsoft.com/es-es/sysinternals/bb897437.aspx)

Ahora, sabiendo que los malware intentan arrancar junto al sistema, una de las comprobaciones que podríamos realizar es en el Registro de Windows, a través de regedit.exe. En concreto, estas claves son la clave

• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\RunOnce
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServices
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunServicesOnce
• HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ RunOnce\Setup

Por último, pero no ello menos importante; si queremos garantizar que nuestro equipo esté lo más protegido posible, debemos asegurarnos de tener el equipo 100% actualizado, contar siempre con software legal, y un buen y actualizado antivirus, por ejemplo Microsoft Security Essentials! (que es gratis)

• https://www.microsoft.com/security_essentials/

Un saludo,
Danie Alonso

Este PDC se podrá seguir por primera vez en su historia totalmente en directo (keynote y sesiones) https://www.microsoftpdc.com empezando el día 28 de Octubre a las 6 de la tarde GMT+1. Si prefieres socializar y poder comentar la jugada nosotros lo veremos en las oficinas de Microsoft. Si te apetece venir reserva tu sitio aquí.

Los temas más importantes que se tratarán en el PDC son:

• Cliente y Dispositivos: Aquí veremos todas las novedades y ventajas de las nuevas plataformas, cómo desarrollar y vender applicaciones para Windows Phone 7, cómo poder aprovecharnos de las novedades de rendimiento de Internet Explorer 9 y Silverlight y cómo utilizar las capacidades avanzadas de Windows 7.
• Servicios de Cloud: Aprende por qué Microsoft está apostando tan fuertemente por la nube y porqué los servicios en la nube están cambiando la manera de crear y publicar las aplicaciones.
• Herramientas: Aprende a crear las applicaciones más espectaculares aprovechandote de toda la potencia y flexibilidad de la plataforma de Microsoft

Si quieres saber más sobre el PDC o ver todas las sesiones del anterior PDC puedes hacerlo en la página PDC09 ON DEMAND

Enjoy
Monaguillo…t

1.- Ir al registro y modificar la política NC_AllowNetBridge_NLA a “1” está política se encuentra bajo:
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\Network Connections

2.- Abrir Centro de Redes y Recursos compartidos

3.- Seleccionar “Cambiar configuración del Adaptador

4.- En este punto seleccionar la red virtual que quieras utilizar en tu entorno y la red wifi, pulsando sobre el botón derecho seleccionamos “Conexiones de Puente” o “Bridge Connections” si cómo yo lo tenéis en Inglés.

En este momento nos creará una nueva conexión de Puente de Red. Una vez se haya identificado en la red veremos cómo la máquina Host ya no piensa que tiene una red wifi sino que aparecerá cómo conectada por cable. En la máquina virtual debemos seleccionar la red de cable que hemos “Puenteado” y si todo ha ido según lo previsto deberíamos poder navegar por internet o lo que queramos directamente desde nuestra máquina virtual.

Espero que os sea de utilidad

Enjoy
Monaguillo..t

Que podamos ver el fútbol sin tener que movernos de la silla de trabajo es buena noticia no sólo para los empleados (que podremos disfrutar de los partidos a pesar de tener que trabajar), sino también para los empresarios, que no tendrán que escuchar excusas inverosimiles de sus empleados para faltar al trabajo con el único objetivo de salir escopetados al bar para ver a la Roja, así que esperamos que gracias a esta iniciativa se escuchen muuuchos goles en las oficinas de toda España.

La primera duda que nos surge al pensar en el escenario que nos ocupa es, ¿podré ver esto en mi oficina o estará capado por mi Administrador? En principio, si podemos navegar por Internet desde la oficina deberíamos poder acceder sin problemas a la página de Telecinco para ver el fútbol pero aquí aparecen dos posibles problemas:

1. El administrador no nos permita instalar nada en nuestro ordenador.

2. El Administrador haya capado los Add-Ins de Internet Explorer

Si estamos en el primer caso, será el administrador el que tendrá que generar un paquete usando por ejemplo SCCM o WSUS para hacer el despliegue en todas las máquinas de la organización. Para hacer esto recomiendo leer el siguiente documento:

https://download.microsoft.com/download/C/D/5/CD5AAAE3-21F7-47A8-B7D5-39E36BAF9AC8/Silverlight%20Deployment%20Guide%20v2.docx

Si el Administrador no ha capado la instalación de complementos sería tan sencillo cómo instalar Silverlight desde https://go.microsoft.com/fwlink/?LinkId=149156

Este artículo lo escribo por si nos encontramos en el segundo caso y será también trabajo del administrador permitir que se pueda hacer uso del Complemento de Silverlight desde Internet Explorer.

Para el que no quiera seguir leyendo (no os culpo, ya os he aburrido bastante :)) he generado un pequeño video para mostrar cómo hacer esto:

Antes de comenzar debemos saber:
1. Si tenemos o no instalado el complemento de Silverlight,
2. Si está o no habilitado y si se puede o no habilitar.

Para ello debemos seguir los siguientes pasos:

1. Arrancar Internet Explorer
2. En el menú herramientas ir a “Administrar Complementos”
3. Si tenemos instalado el complemento de Silverlight nos aparecerá en esta pantalla, para que lo podamos utilizar su estado debe estar “Habilitado”. Si aparece Deshabilitado podremos intentar habilitarlo con botón derecho “Habilitar” aunque si está en gris quiere decir que estará deshabilitado por políticas y tendremos que habilitarlo también usando las políticas.

Habilitar Silverlight por Políticas

Cómo administradores podremos usar las políticas del directorio activo para habilitar o deshabilitar los distintos complementos, para esto debemos abrir las políticas del directorio activo o bien acceder a las políticas locales de la máquina.

Los pasos a seguir son:

1. Inicio, ejecutar y escribir gpedit.msc (esto sería para sacar las políticas locales, si quisiésemos hacerlo a nivel del directorio activo deberíamos hacerlo usando la consola de GPMC

2. Navegar a:

Configuración del Equipo --> Plantillas Administrativas --> Componentes de Windows –> Internet Explorer --> Características de Seguridad --> Administración de Complementos

Las cuatro políticas disponibles son:

· Lista de complementos
· Denegar complementos a menos que se permitan específicamente en la lista de complementos
· Todos los procesos
· Lista de procesos

Para nuestro caso nos centraremos en las dos primeras.

Si lo que queremos es añadir un complemento debemos:

1. Abrir la política de Lista de complementos
2. Habilitar la polícita
3. Pulsar sobre Mostrar… en la lista de complementos

En este punto tenemos dos campos, Nombre de valor y Valor. El Nombre de Valor referenciará al CLSID del complemento que queremos permitir o denegar (más adelante explicaré cómo localizar estos CLSIDs). En el campo valor podemos utilizar 3 posibles valores:

· 0 – Indica que este complemento está deshabilitado, además evita que un usuario puede administrar este complemento desde el interfaz de complementos.

· 1 – Indica que el complemento está habilitado y que el usuario no podrá modificar el complemento

· 2 – Esto indica que el complemento está habilitado y que además el usuario puede deshabilitar o habilitar el complemento si el usuario lo desea.

Si habilitamos la política “Denegar complementos a menos que se permitan específicamente en la lista de complementos” lo que estamos haciendo es prohibir que ningún complemento que no esté en la lista de complementos anteriores se pueda ni instalar ni utilizar. Si por el contrario no habilitamos esta política entonces podremos utilizar e instalar todos los complementos que no estén especificados previamente en la lista de complementos.

En nuestro caso para poder habilitar el complemento de Silverlight pero ninguno más pondríamos:

En el campo “Nombre de Valor” el CLSID “DFEAF541-F3E1-4c24-ACAC-99C30715084A” que es el que corresponde a Silverlight, además este CLSID es el mismo para todas las versiones de Silverlight con lo que si Silverlight actualiza su versión esta política que hemos generado siempre seguirá funcionando.

En el campo Valor tendremos que poner 1 o 2 si lo que queremos es habilitarlo teniendo que decidir si le daremos o no control al usuario para poder deshabilitarlo.

¿Cómo encontrar los CLSID’s de los complementos?

Existen diversas maneras de encontrar los CLSID’s, podremos:

1. Buscar en Internet, aunque curiosamente esta opción fue la peor para buscar el CLSID de Silverligth, sólo sabiendo cual era el CLSID fuí capaz de encontrarlo en Internet.

2. Buscar en el registro en la rama:
HKEY_CLASSES_ROOT\MIME\Database\Content Type\
Aquí encontraremos los CLSIDs de la mayoría de las aplicaciones instaladas en nuestras máquina.

3. Ir a los complementos de Internet Explorer y deshabilitar el complemento que queremos buscar su CLSID, una vez que está deshabilitado vamos a la rama de registro:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Ext\Settings
Debajo de Settings nos creará una carpeta con el nombre del CLSID que hemos deshabilitado.

Si has llegado hasta aquí espero que no estés teniendo problemas para ver los partidos de España, ahora sólo queda que España gane el mundial!!!!!!
AUPA LA ROJA!!!!

Enjoy
Monaguillo…t