Comportamiento de acciones y sesiones nulas de IPC$ en Windows

En este artículo se describe el uso compartido de comunicación entre procesos (IPC$) y el comportamiento de sesión null en Windows.

Número de KB original: 3034016

Acerca de las acciones de IPC$

El recurso compartido IPC$ también se conoce como una conexión de sesión nula. Con esta sesión, Windows permite a los usuarios anónimos realizar determinadas actividades, como enumerar los nombres de las cuentas de dominio y los recursos compartidos de red.

El servicio Windows Server crea el recurso compartido IPC$. Este recurso compartido especial existe para permitir conexiones de canalización con nombre posteriores al servidor. Las canalizaciones con nombre del servidor se crean mediante componentes integrados del sistema operativo y por cualquier aplicación o servicio instalado en el sistema. Cuando se crea la canalización con nombre, el proceso especifica la seguridad asociada a la canalización. A continuación, se asegura de que el acceso solo se concede a los usuarios o grupos especificados.

Configuración del acceso anónimo mediante la configuración de la directiva de acceso de red

El recurso compartido IPC$ no se puede administrar ni restringir en las siguientes versiones de Windows:

• Windows Server 2003
• Windows Server 2008
• Windows Server 2008 R2

Sin embargo, un administrador tiene controles sobre las canalizaciones con nombre habilitadas. Se puede acceder de forma anónima mediante el acceso a la red: Canalizaciones con nombre a las que se puede acceder de forma anónima. Si la configuración de directiva está configurada para no tener entradas, como un valor Null, no se puede acceder a canalizaciones con nombre de forma anónima. Además, debe asegurarse de que ninguna aplicación o servicio del entorno dependa del acceso anónimo a las canalizaciones con nombre en el servidor.

Windows Server 2003 ya no impide el acceso anónimo a los recursos compartidos ipc$. La siguiente configuración de directiva de seguridad define si el grupo Todos se agrega a una sesión anónima:

Acceso a la red: Permitir que todos los permisos se apliquen a usuarios anónimos

Si esta configuración está deshabilitada, los únicos recursos a los que puede acceder un usuario anónimo son esos recursos concedidos al grupo Inicio de sesión anónimo.

En Windows Server 2012 o una versión posterior, hay una característica para determinar si las sesiones anónimas deben estar habilitadas en los servidores de archivos. Se determina comprobando si hay canalizaciones o recursos compartidos marcados para el acceso remoto.