Windows Steady State

¿Qué es Windows Steady State?

Windows Steady State es un software gratuito de Microsoft para los sistemas operativos Windows XP y Windows Vista que permite una gestión avanzada del sistema enfocada al uso compartido del sistema, por decirlo de alguna manera permite modificar ciertos parámetros para establecer un nivel de seguridad y estabilidad adecuado al uso público de un PC con Windows como en escuelas, bibliotecas…

Su principal función es evitar que los distintos usuarios interfieran entre sí, aumentando la seguridad del sistema y las restricciones de las acciones que puede realizar un usuario; incluso nos permite que todos los cambios que haya realizado desaparezcan una vez se reinicie el PC.

Windows Steady State se puede conseguir en la siguiente dirección (previa comprobación por parte del navegador de la legalidad de nuestro sistema operativo):

http://www.microsoft.com/windows/products/winfamily/sharedaccess/default.mspx

Configuración Básica de Windows Steady State:

En la pantalla principal de Windows Steady State tenemos cuatro grandes bloques de herramientas:

-        Aplicar restricciones al equipo (Área azul)

-        Configuración actualizaciones (Área verde)

-        Protección de disco duro (Área naranja)

-        Configuración de usuarios (Área roja)

Trataremos cada bloque de forma individual viendo las distintas posibilidades que nos ofrece.

Imagen 1.1 Pantalla principal de WSS.

Establecer restricciones en el equipo (Área azul en la imagen 1.1):

Configuración de privacidad:

- No mostrar los nombres de usuario en el cuadro de diálogo "Iniciar sesión en Windows": Con esta opción evitamos que todos los usuarios salgan listados al iniciar del sistema de tal forma que el usuario sólo podrá acceder a aquellas cuentas que conoce y le restringe a la hora de poder acceder a cuentas menos restrictivas en cuanto a permisos (Administrador…).

- Impedir que inicien sesión los perfiles de usuario móviles o bloqueados que no se encuentren en el equipo: Con esta opción impedimos que el usuario pueda acceder a una cuenta de red o una existente que NO tenga perfil creado (el perfil suele crearse al iniciar por primera sesión en una cuenta y contiene todos los archivos para que dicha cuenta funcione correctamente; por defecto se guarda en C:/Documents and settings/nombre_cuenta_usuario en Windows XP y en C:/Users/nombre_cuenta_usuario en Windows Vista y 7). Un ejemplo de este tipo de cuentas es la cuenta de Invitado, creada al instalar Windows pero carece de perfil hasta que un usuario accede por primera vez.

- No almacenar en caché copias de perfiles móviles o bloqueados de usuarios que iniciaron sesión anteriormente en el equipo: Con esta opción hacemos que los dos tipos de cuentas comentadas en el anterior punto (en red y sin perfil) en el caso de que sean accedidas no conserven ningún dato en el disco duro (el perfil de la cuenta existirá de forma local durante el uso de la misma, una vez cerrada la sesión todos esos datos desaparecerán).

Configuración de seguridad:

- Quitar el nombre de usuario Administrador de la pantalla de bienvenida: Está opción es parecida a la primera configuración de privacidad que hemos visto (No mostrar los nombres…) pero con dos diferencias; sólo se aplica a la cuenta de administrador y sólo para la pantalla de bienvenida.

*Nota: En Windows podemos iniciar sesión a través de la pantalla de bienvenida o a través del diálogo “Iniciar sesión en Windows”, para diferenciarlas observa las siguientes imágenes.

Pantalla de bienvenida Cuadro de diálogo "Iniciar Sesión en Windows"

- Quitar las opciones Apagar y Desactivar del cuadro de diálogo "Iniciar Sesión en Windows" y la pantalla de bienvenida: Con esta opción imposibilitamos el apagado, hibernación, etc del diálogo “Iniciar Sesión en Windows” y la pantalla de bienvenida.

- No permitir que Windows calcule y almacene contraseñas con valores hash de LAN manager: El hash de LAN Manager es el cifrado que utilizan Windows Xp y Vista para asegurar la compatibilidad con versiones anteriores de Windows. Si se activa esta opción se aumentará la seguridad del sistema.

- No almacenar nombres de usuario o contraseñas empleadas para iniciar sesión en Windows Live ID o en el dominio: Activar esta opción supone un aumente de seguridad en el sistema ya que al no quedarse guardadas los credenciales de Windows Live ni los del usuario en el dominio se evita que los usuarios conozcan los datos de los usuarios que previamente han estado conectados en el equipo.

- Impedir que los usuarios creen carpetas y archivos en la unidad C:: Activar esta opción supone un aumento de la seguridad ya que en C: suelen ubicarse los archivos de programa y del sistema operativo y de esta forma se garantiza que no se realizarán cambios (ya sea por malware o por el mal uso del usuario) en dichos archivos.

- Impedir que los usuarios abran documentos de Microsoft Office desde Internet Explorer: Aumenta la seguridad al permitir únicamente abrir archivos de Office desde el propio programa.

- Impedir el acceso de escritura a los dispositivos de almacenamiento USB: Activar esta opción aumenta la seguridad ya que evita que un usuario pueda llevarse información/documentos de otro usuario. Bloquea la opción de escritura en el dispositivo pero no el de lectura.

Otras configuraciones:

- Activar la pantalla de bienvenida (Windows XP únicamente): Nos permite establecer si queremos usar la pantalla de bienvenida como método de acceso al sistema por parte de los usuarios.

Imagen 1.2 Ventana para establecer restricciones en el equipo.

Programar actualizaciones de software (Área verde en la imagen 1.1):

Windows Steady State tiene la posibilidad de encargarse de las actualizaciones en vez de Windows Update; dependiendo de las distintas necesidades en el sistema deberemos habilitarlo o deshabilitarlo.

1. Si no deseamos ningún tipo de actualizaciones automáticas en el sistema para instalarlas posterior y manualmente cuando las actualizaciones estén probadas y se sepa que no dan problemas (Service Pack), deberemos desactivar las actualizaciones automáticas tanto en WSS como en el centro de seguridad de Windows en el Panel de control.

2. Si queremos disponer de actualizaciones automáticas deberá estar activada la opción de actualizaciones automáticas tanto en WSS como en el centro de seguridad del Panel de Control.

*Nota: Se puede disponer de actualizaciones automáticas activando dicha opción en el centro de seguridad del Panel de Control y desactivándola en WSS, pero esto no es recomendable ya que pueden entrar en conflicto con las directivas de WSS. Es decir, si Windows intenta actualizar pero hemos activado en WSS la opción "Impedir que los usuarios creen carpetas y archivos en la unidad C:", las actualizaciones no se podrán llevar a cabo porque WSS estará bloqueando toda la unidad C:, en este caso tendría que ser WSS el que manejara directamente las actualizaciones.

En la ventana Programa actualizaciones de Software tenemos las siguientes opciones:

Programar actualizaciones:

Podemos optar entre permitir que WSS se encargue de las actualizaciones de Windows o que sea el propio sistema operativo el que lo haga (arriba ya hemos comentado las distintas casuísticas), y en el caso de que lo activemos con qué frecuencia y en qué momento queremos que se produzcan.

Seleccionar actualizaciones (Estas opciones sólo estarán activas si previamente hemos seleccionado "Usar WSS para descargar e instalar automáticamente las actualizaciones"):

En la casilla Actualizaciones del programa de seguridad podemos elegir qué programas queremos que se actualicen a través de las actualizaciones automáticas además del propio Windows; lógicamente tienen que ser programas que se actualicen normalmente a través de Windows Update, como por ejemplo Microsoft Office.

En la casilla Actualizaciones personalizadas podemos cargar nuestro propio script para otorgar mayor personalización a las actualizaciones.

Imagen 1.3 Ventana “Programar actualizaciones de software”

Proteger el disco duro. (Área naranja en la imagen 1.1):

Proteger el disco duro:

Esta opción nos permite establecer el nivel de protección del sistema operativo en cuanto a los nuevos datos y cambios que se realizan y la permanencia que tienen éstos en el sistema.

Tenemos dos opciones para la protección del disco duro:

- Desactivado: La protección del disco no está funcionando y por tanto todos los cambios que se realicen en el sistema se mantendrán de forma permanente. Esta es la opción por defecto en Windows.

- Activado: La protección del disco está funcionando; podemos establecer tres niveles de protección en función del tiempo que permanezcan los cambios realizados en el sistema.

Todos esos cambios no se guardan directamente en el disco, si no que sea crea una caché donde se conservarán hasta que tengan que ser eliminados.

1.      Quitar todos los cambios al reiniciar: Nada más reiniciar el ordenador todos los datos nuevos y cambios realizados serán borrados del sistema.

2.      Conservar los cambios temporalmente: Permite establecer una fecha y hora a partir de la cual si se reinicia el ordenador se borraran los datos nuevos y cambios realizados.

Hasta entonces todos estos datos permanecerán en la caché.

3.      Conservar todos los cambios permanentemente: Aunque a priori está opción parece que es la misma que desactivar la protección de disco (ya que todos los datos y cambios se conservan), hay una diferencia esencial ya que en el momento que seleccionemos "Desactivado" se borrará el caché con todos los datos que hayan conservado previamente. Esta opción está pensada para usarla de forma temporal para, por ejemplo, instalar actualizaciones, nuevo software, cambio de configuración en el sistema operativo…

Por último podemos escoger el tamaño del caché de los archivos (dependiendo del nivel de seguridad establecido necesitaremos más o menos espacio) y deshabilitar las notificaciones de pérdida de los cambios antes de reiniciar, cerrar sesión o apagar.

Configuración avanzada de cuentas de usuario (Área roja en la imagen 1.1):

Windows Steady State nos permite la creación y gestión avanzada de las cuentas de usuario del sistema. Tenemos tres opciones en la pantalla inicial; podemos crear una nueva cuenta de usuario o importar y exportar cuentas de usuario de otros ordenadores con WSS.

Nos centraremos en la primera opción ya que la importación/exportación únicamente consiste en guardar un archivo y abrirlo en otro PC desde WSS.

Al crear una nueva cuenta de usuario tendremos que facilitar el nombre del usuario, la contraseña, la ubicación del perfil de usuario (el perfil contiene todas las carpetas pertenecientes al usuario como el escritorio, documentos, datos referentes a la configuración de las aplicaciones…) y la imagen del usuario.

(Imagen 1.4)

Una vez creada la cuenta habrá que establecer todas las directivas de la cuenta:

Pestaña "General" (Imagen 1.4):

- Bloquear el perfil para impedir que el usuario realice cambios permanentes: Si está activada todos los cambios realizados, la caché y la configuración de la cuenta volverán a su estado original al cerrar sesión o al reiniciar.

- Medidores de tiempo…: Si quisiéramos que el usuario sólo pudiera estar conectado un determinado tiempo podemos establecer que se cierre la sesión pasados determinados minutos desde que se empezó a usar la cuenta o si el usuario se muestra inactivo durante cierto tiempo. Como opciones adicionales al cierre automático de la sesión podemos mostrar el tiempo restante para el cierre y forzar el reinicio del ordenador cuando se cierre la sesión.

En la pestaña General también se nos permite cambiar la contraseña del usuario, la imagen de usuario y eliminar el usuario.

Imagen 1.4 Creación de nueva cuenta de usuario.

Imagen 1.5 Configuración general de la cuenta de usuario.

Pestaña “Restricciones de Windows” (Imagen 1.6):

En esta pestaña se nos permite restringir el acceso a determinadas opciones del menú Inicio y del sistema en general.

- Restricciones del menú Inicio: Las restricciones son principalmente para quitar iconos de acceso a ciertas carpetas (Documentos, Panel de Control, Apagar el Equipo…) y características avanzadas del menú (Se impide hacer clic derecho o cambiar la apariencia del menú…).

- Restricciones generales: La mayoría de las opciones están enfocadas a bloquear el acceso al usuario a aplicaciones de gestión del sistema (Registro, Command Prompt, Administrador de tareas…) y a algunas acciones del sistema (Deshabilitar la reproducción automática al introducir un nuevo dispositivo, los atajos de teclado con la tecla Windows…).

Podemos establecer las restricciones que nos interesen de forma manual, pero también se da la opción de escoger niveles de restricciones predeterminados (Alta/Media/Baja/Sin restricciones).

- Ocultar unidades: Nos permite seleccionar que unidades del sistema estarán disponibles para el usuario.

Imagen 1.6 Restricciones de Windows.

Pestaña "Restricciones de características" (Imagen 1.7):

En esta pestaña se nos permite establecer restricciones relativas a Internet Explorer y a Microsoft Office.

- Restricciones de Internet Explorer: Disponemos de tres bloques de restricciones; el primero respecto a opciones generales (Zona naranja en la imagen 1.7) como bloquear el acceso a internet excepto a las páginas que escojamos, impedir la impresión, autocompletar o el acceso a favoritos.

El segundo bloque (Zona azul grisácea en la imagen 1.7) nos permite eliminar algunas opciones de los menús (especialmente interesante el quitar los menús de seguridad, privacidad y conexiones para evitar problemas de seguridad).

El tercer y último bloque nos permite bloquear las opciones de la barra de herramientas (Flecha verde en la imagen 1.7)

- Restricciones de Microsoft Office: Las restricciones que podemos imponer sobre MS Office están enfocadas principalmente impedir la ejecución de código malicioso (Se puede deshabilitar Visual Basic para aplicaciones, la ejecución de macros, complementos…)

Imagen 1.7 Restricciones de características.

Pestaña "Bloquear programas"(Imagen 1.8):

A través de esta pestaña podemos bloquear el acceso a cualquier programa para el usuario. Simplemente hay que escoger el programa de la lista de la izquierda y pulsar sobre el botón Bloquear o si el programa no aparece entre la lista de forma predeterminada pulsar sobre Examinar y elegir el ejecutable (*.exe) que queremos bloquear.

Imagen 1.8 Bloquear Software