Guía de Seguridad de Windows Server 2003 Capítulo 5: Directiva de línea de base de controladores de dominio\nLa seguridad de la función de servidor de controladores de dominio es uno de los aspectos más importantes que se debe abordar para cualquier entorno con equipos que ejecuten Microsoft® Windows Server™ 2003 con Service Pack 1 (SP1) y el servicio de directorio de Active Directory®. Cualquier problema en la seguridad de un controlador de dominio podría afectar enormemente a los equipos cliente, servidores y aplicaciones que dependan de controladores de dominio para la autenticación, de la directiva de grupo y de un directorio LDPA (Protocolo ligero de acceso a directorios) central.\nDada su importancia, los controladores de dominio siempre se deben almacenar en ubicaciones físicas seguras a las que sólo pueda tener acceso personal administrativo autorizado. En caso de que se deban almacenar en ubicaciones no seguras, como sucursales, se pueden ajustar varias configuraciones de seguridad para limitar el daño potencial de las amenazas físicas.\nDirectiva de línea de base de controladores de dominio\nA diferencia de otras directivas de función de servidor que se han descrito anteriormente en esta guía, la directiva de grupo de la función de servidor de controladores de dominio es una directiva de línea de base como la directiva de línea de base de servidores miembro (MSBP) definida en el capítulo 4, "Directiva de línea de base de servidores miembro". La directiva de línea de base de controladores de dominio (DSBP) está vinculada a la unidad organizativa (UO) Controladores de dominio y tiene prioridad sobre la directiva predeterminada de controladores de dominio. La configuración de directiva incluida en la DCBP fortalecerá la seguridad general de todos los controladores de dominio de cualquier entorno.\nLa mayor parte de la DCBP se copia de la MSBP. Por lo tanto, debe revisar minuciosamente el capítulo 4, "Directiva de línea de base de servidores miembro", para comprender completamente las distintas configuraciones de directiva que se incluyen también en la DCBP. Este capítulo sólo incluye las configuraciones de la DCBP que difieren de las de la MSBP.\nLas plantillas de controladores de dominio están diseñadas exclusivamente para tratar las necesidades de seguridad de los tres entornos definidos en esta guía. En la tabla siguiente se muestran los archivos .inf de controlador de dominio que se incluyen con esta guía para los entornos Cliente heredado (LC), Cliente de empresa (EC) y Seguridad especializada: Funcionalidad limitada (SSLF). Por ejemplo, el archivo EC-Domain Controller.inf es la plantilla de seguridad para el entorno Cliente de empresa.\nTabla 5.1 Plantillas de seguridad de línea de base de controladores de dominio\nNota: las operaciones del dominio se podrían ver enormemente afectadas si un objeto de directiva de grupo (GPO) configurado de forma incorrecta se vincula a la UO Controladores de Dominio. Sea extremadamente precavido al importar estas plantillas de seguridad y compruebe que toda la configuración de directiva importada sea correcta antes de vincular un GPO a la UO Controladores de dominio.\nLa configuración de la directiva de auditoría para los controladores de dominio es casi la misma que la especificada en MSBP. Para obtener más información, consulte el capítulo 4, "Directiva de línea de base de servidores miembro". La configuración de directiva de MSBP garantiza que toda la información de auditoría de seguridad pertinente se registre en los controladores de dominio.\nTabla 5.2 Configuración recomendada para la directiva de auditoría\nAuditar el acceso del servicio de directorio\nEsta configuración de directiva determina si se debe auditar el acceso de los usuarios a un objeto de Active Directory que tiene especificada una lista de control de acceso al sistema (SACL) propia. Si configura Auditar el acceso del servicio de directorio, puede especificar si desea auditar los aciertos, los errores o no auditar el tipo de evento. Las auditorías de aciertos generan una entrada de auditoría cuando un usuario obtiene acceso correctamente a un objeto de Active Directory que tiene una SACL especificada. Las auditorías de errores generan una entrada de auditoría cuando un usuario no consigue obtener acceso a un objeto de Active Directory que tiene una SACL especificada.\nSi habilita Auditar el acceso del servicio de directorio en la DCBP y configura listas SACL en objetos del directorio, se puede generar un elevado número de entradas en los registros de seguridad de los controladores de dominio. Sólo debe habilitar esta configuración si realmente va a utilizar la información creada.\nAuditar el acceso del servicio de directorio se configura en Sin auditoría en los entornos LC y EC, y para que se registren eventos de error en el entorno SSLF.\nLa tabla siguiente incluye eventos de seguridad importantes que la configuración Auditar el acceso del servicio de directorio inserta en el registro de seguridad.\nTabla 5.3 Eventos de acceso del servicio de directorio\nId. de evento\nHa tenido lugar una operación genérica de objeto.\nLa DCBP especifica una serie de asignaciones de derechos de usuario para los controladores de dominio. Además de la configuración predeterminada, se modificaron otras configuraciones de derechos de usuario para reforzar la seguridad de los controladores de dominio en los tres entornos definidos en esta guía.\nEn esta sección se proporcionan detalles sobre la configuración recomendada de derechos de usuario para la DCBP que difiere de la configuración de MSBP. Para obtener un resumen de la configuración recomendada en esta sección, consulte el libro de Microsoft Excel® "Windows Server 2003 Security Guide Settings" que se incluye con la versión descargable de esta guía.\nLa tabla siguiente resume la configuración recomendada de asignaciones de derechos de usuario para DCBP. En las secciones siguientes a esta tabla se proporciona información adicional sobre cada configuración.\nTabla 5.4 Configuración recomendada de asignaciones de derechos de usuario\nTener acceso a este equipo desde la red\nAdministradores, Usuarios autenticados, CONTROLADORES DE DOMINIO DE EMPRESA\nAgregar estaciones de trabajo al dominio\nPermitir el inicio de sesión local\nAdministradores, operadores de servidor, operadores de copia de seguridad\nPermitir inicio de sesión a través de Servicios de Terminal Server\nCambiar la hora del sistema\nHabilitar la opción De confianza para la delegación en las cuentas de usuario y de equipo\nCargar y descargar controladores de dispositivo\nRestaurar archivos y directorios\nApagar el sistema\nEsta configuración de directiva determina los usuarios y grupos con autorización para conectarse al controlador de dominio a través de la red. Se necesita para varias operaciones de red, como la réplica de Active Directory entre controladores de dominio y las solicitudes de autenticación de usuarios y equipos en controladores de dominio, así como para el acceso a carpetas e impresoras compartidas.\nAunque los permisos asignados al grupo de seguridad Todos ya no otorgan acceso a usuarios anónimos en Windows Server 2003 con SP1, los grupos y las cuentas de invitados todavía pueden obtener acceso mediante el grupo de seguridad Todos.\nPor este motivo, al grupo de seguridad Todos se le ha quitado el derecho de usuario Tener acceso a este equipo desde la red en la DCBP para el entorno SSLF. La eliminación de este grupo proporciona una medida de seguridad adicional frente a los ataques cuyo objetivo es tener acceso como invitado al dominio. Esta configuración de directiva se ha establecido como No definida para los entornos LC y EC.\nEsta configuración de directiva especifica los usuarios que pueden agregar estaciones de trabajo a un dominio específico. Para que esta configuración de directiva tenga efecto, se debe asignar al usuario como parte de la directiva predeterminada de controladores de dominio del dominio específico. Un usuario al que se le asigna este derecho puede agregar hasta 10 estaciones de trabajo al dominio. Los usuarios a los que se le asigna el permiso Crear objetos de equipo para una UO o el contenedor Equipos en Active Directory también pueden agregar un número ilimitado de equipos al dominio, independientemente de si se les ha asignado o no el derecho de usuario Agregar estaciones de trabajo al dominio.\nDe forma predeterminada, todos los usuarios del grupo Usuarios autenticados pueden agregar hasta 10 cuentas de equipo a un dominio Active Directory. Estas nuevas cuentas de equipo se crean en el contenedor Equipos.\nEn las redes basadas en Windows, por el término entidad principal de seguridad se entiende un usuario, grupo o equipo al que se le asigna automáticamente un identificador de seguridad para controlar el acceso a los recursos. En un dominio Active Directory, cada cuenta de equipo es una entidad de seguridad principal con capacidad para autenticar y obtener acceso a los recursos. Sin embargo, es posible que algunas organizaciones deseen limitar el número de equipos de un entorno de Active Directory para poder realizar un seguimiento de los mismos, crearlos y administrarlos de forma coherente. Si los usuarios tienen permiso para agregar equipos al dominio, los esfuerzos de seguimiento y administración pueden verse dificultados. Además, los usuarios podrían realizar actividades cuyo seguimiento resulte más complicado, ya que pueden crear equipos de dominio adicionales no autorizados.\nPor estos motivos, el derecho de usuario Agregar estaciones de trabajo al dominio sólo se debe asignar al grupo Administradores en la DCBP para el entorno SSLF. Esta configuración de directiva se ha establecido como No definida para los entornos LC y EC.\nEsta configuración de directiva especifica los usuarios que pueden iniciar sesiones interactivas en el controlador de dominio. Los usuarios que no tengan este derecho aún pueden iniciar una sesión interactiva remota en el controlador de dominio si se les ha asignado el derecho de usuario Permitir inicio de sesión a través de Servicios de Terminal Server.\nDebe restringir el número de cuentas que pueden iniciar sesión en las consolas de controlador de dominio para evitar el acceso no autorizado a los sistemas de archivos y servicios del sistema de los controladores de dominio. Un usuario que pueda iniciar una sesión en la consola de un controlador de dominio podría aprovecharse malintencionadamente del equipo y poner probablemente en peligro la seguridad de todo el dominio o bosque.\nDe forma predeterminada, se asigna el derecho de usuario Permitir el inicio de sesión local a los grupos Opers. de cuentas, Operadores de copia de seguridad, Opers. de impresión y Opers. de servidores en los controladores de dominio. Los usuarios de estos grupos no deben necesitar iniciar sesión en un controlador de dominio para realizar las tareas de administración y deben poder efectuar sus tareas desde otras estaciones de trabajo. Sólo los usuarios del grupo Administradores deben realizar tareas de mantenimiento en los controladores de dominio.\nSi asigna el derecho de usuario Permitir el inicio de sesión local sólo al grupo Administradores, el acceso físico e interactivo al controlador de dominio está limitado únicamente a los usuarios en los que se tiene mucha confianza, lo que aumenta la seguridad. Por este motivo, el derecho de usuario Permitir el inicio de sesión local sólo se asigna al grupo Administradores en la DCBP para el entorno SSLF. Esta configuración de directiva se establece para incluir los grupos Opers. de servidores y Operadores de copia de seguridad para los entornos LC y EC.\nEsta configuración de directiva especifica los usuarios que pueden iniciar sesión en el controlador de dominio mediante una conexión a Escritorio remoto.\nDebe restringir el número de cuentas que pueden iniciar sesión en las consolas de controlador de dominio a través de Servicios de Terminal Server para evitar el acceso no autorizado a los sistemas de archivos y servicios del sistema de los controladores de dominio. Un usuario que pueda iniciar una sesión en la consola de un controlador de dominio a través de los Servicios de Terminal Server puede aprovecharse del sistema y poner probablemente en peligro la seguridad de todo el dominio o bosque.\nSi asigna el derecho de usuario Permitir inicio de sesión a través de Servicios de Terminal Server sólo al grupo Administradores, el acceso interactivo al controlador de dominio está limitado únicamente a los usuarios en los que se tiene mucha confianza, lo que aumenta la seguridad. Por esta razón, sólo se asigna el derecho de usuario Permitir inicio de sesión a través de Servicios de Terminal Server al grupo Administradores en la DCBP para los tres entornos definidos en esta guía. Aunque para iniciar una sesión en un controlador de dominio a través de los Servicios de Terminal Server es necesario disponer de forma predeterminada de acceso administrativo, la configuración de directiva ayuda a proteger la red de acciones malintencionadas o que pueden pasar inadvertidas y que podrían ponerla en peligro.\nComo medida de seguridad adicional, la DCBP deniega a la cuenta predeterminada de administrador el derecho de usuario Permitir inicio de sesión a través de Servicios de Terminal Server. Esta configuración evita que usuarios malintencionados intenten obtener acceso a un controlador de dominio mediante la cuenta Administrador predeterminada. Para obtener más detalles acerca de esta configuración de directiva, consulte el capítulo 4, "Directiva de línea de base de servidores miembro".\nEsta configuración de directiva especifica los usuarios que pueden ajustar la hora del reloj interno de un equipo. Sin embargo, no es necesaria para cambiar la zona horaria ni otras características de presentación de la hora del sistema.\nSincronizar la hora del sistema resulta esencial para el funcionamiento de Active Directory. Tanto una réplica adecuada de Active Directory como los procesos de generación de vales de autenticación que utiliza el protocolo de autenticación Kerberos dependen de la sincronización horaria de todo el entorno.\nUn controlador de dominio cuyo reloj no esté sincronizado con la hora del sistema de otros controladores de dominio del entorno podría interferir en el funcionamiento de los servicios de dominio. Si solamente los administradores pueden modificar la hora del sistema, se reduce al mínimo la posibilidad de que la hora del sistema de un controlador de dominio sea inexacta.\nDe forma predeterminada, el grupo Opers. de servidores puede modificar la hora del sistema de los controladores de dominio. A causa de los problemas que podrían producirse si los miembros de este grupo modifican de forma incorrecta el reloj de un controlador de dominio, únicamente se asigna en la DCBP el derecho de usuario Cambiar la hora del sistema al grupo Administradores para los tres entornos definidos en esta guía.\nPara obtener más información sobre el servicio de hora de Microsoft Windows®, consulte la página que contiene información técnica de consulta sobre el servicio de hora de Windows en www.microsoft.com/technet/prodtechnol/windowsserver2003/library/TechRef/\na0fcd250-e5f7-41b3-b0e8-240f8236e210.mspx (en inglés).\nEsta configuración de directiva especifica los usuarios que pueden cambiar la configuración De confianza para la delegación para un usuario u objeto de equipo en Active Directory. La delegación de autenticación es una capacidad que las aplicaciones cliente/servidor de varios niveles emplean y que permite que un servicio de cliente, como una aplicación, utilice las credenciales de un cliente para la autenticación en un servicio de servidor, como una base de datos. Para que esta autenticación sea posible, el cliente y el servidor deben ejecutarse con cuentas de confianza para delegación.\nUn uso incorrecto de este derecho de usuario podría permitir que usuarios no autorizados suplantasen a otros usuarios de la red. Un atacante podría aprovechar este derecho de usuario para obtener acceso a recursos de red como si fuese otro usuario, lo que podría dificultar la determinación de lo que ha ocurrido tras un incidente de seguridad.\nEl derecho de usuario Habilitar la opción De confianza para la delegación en las cuentas de usuario y de equipo sólo se asigna al grupo Administradores de los controladores de dominio del entorno SSLF. Esta configuración de directiva se ha establecido como No definida para los entornos LC y EC.\nNota: aunque la directiva predeterminada de controladores de dominio asigna este derecho de usuario al grupo Administradores, la DCBP implementa solamente este derecho en el entorno SSLF porque se basa originalmente en la MSBP. La MSBP asigna a este derecho un valor nulo.\nEsta configuración de directiva especifica los usuarios que pueden cargar y descargar controladores de dispositivos y, si es necesario, cargar y descargar dispositivos Plug and Play.\nUna administración descuidada de los controladores de dispositivos de los controladores de dominio aumenta las posibilidades de que errores o código malintencionado afecten de forma negativa al funcionamiento de los controladores de dominio. Si en la DCBP se restringen las cuentas que pueden cargar y descargar controladores de dispositivos a solamente los usuarios en los que más se confía, se reduce al mínimo el potencial de que los controladores de dispositivos se utilicen para poner en peligro los controladores de dominio.\nDe forma predeterminada, se asigna el derecho de usuario Cargar y descargar controladores de dispositivo al grupo Opers. de impresión. Como se ha indicado antes, no se recomienda crear recursos compartidos de impresoras en los controladores de dominio, lo que elimina la necesidad de que el grupo Opers. de impresión deba tener capacidad para cargar y descargar controladores de dispositivos. Por lo tanto, sólo se asigna el derecho de usuario Cargar y descargar controladores de dispositivo al grupo Administradores en la DCBP para los tres entornos definidos en esta guía.\nEsta configuración de directiva especifica los usuarios que pueden evadir los permisos de archivo y directorio durante un proceso de restauración. Se puede establecer cualquier entidad de seguridad válida principal como propietaria de un objeto.\nUna cuenta con capacidad para restaurar archivos y directorios del sistema de archivos de un controlador de dominio puede modificar fácilmente los archivos ejecutables. Los usuarios malintencionados pueden explotar esta capacidad para inutilizar un controlador de dominio, además de para poner en peligro la seguridad de un dominio o de todo un bosque.\nDe forma predeterminada, el derecho de usuario Restaurar archivos y directorios se asigna a los grupos Opers. de servidores y Operadores de copia de seguridad. Si este derecho de usuario se quita de estos grupos y sólo se asigna al grupo Administradores, se reduce la probabilidad de que se ponga en peligro un controlador de dominio debido a modificaciones inadecuadas del sistema de archivos. Por lo tanto, sólo se asigna el derecho de usuario Restaurar archivos y directorios al grupo Administradores en la DCBP para los tres entornos definidos en esta guía.\nEsta configuración de directiva especifica los usuarios que pueden apagar el equipo local.\nCualquier usuario malintencionado con capacidad para apagar los controladores de dominio puede iniciar fácilmente un ataque por denegación de servicio (DoS) con un grave impacto sobre todo el dominio o bosque. Un atacante podría aprovechar este derecho de usuario para iniciar una elevación del ataque de privilegios en una cuenta de controlador de dominio cuando se reinicien los servicios. El éxito de un ataque de elevación de privilegios contra un controlador de dominio pone en peligro la seguridad de un dominio o de todo el bosque.\nDe forma predeterminada, el derecho de usuario Apagar el sistema se asigna a los grupos Administradores, Opers. de servidores, Opers. de impresión y Operadores de copia de seguridad. En entornos seguros, ninguno de estos grupos, salvo Administradores, requiere este derecho para realizar tareas de administración. Por esta razón, sólo se asigna el derecho de usuario Apagar el sistema al grupo Administradores en la DCBP para los tres entornos definidos en esta guía.\nLa mayor parte de la configuración de las opciones de seguridad para controladores de dominio es la misma que la especificada para la MSBP. Para obtener más información, consulte el capítulo 4, "Directiva de línea de base de servidores miembro". Las diferencias entre la configuración de las directivas MSBP y DCBP se describen en las secciones siguientes.\nConfiguración del controlador de dominio\nTabla 5.5 Opciones de seguridad: recomendaciones sobre la configuración de controladores de dominio\npermitir que los operadores de servidor programen tareas\nrequisitos de firma de servidor LDAP\nrechazar cambios automatizados de contraseñas de cuentas\nControlador de dominio: permitir a los operadores de servidor programar tareas\nEsta configuración de directiva determina si los miembros del grupo Opers. de servidores pueden enviar trabajos mediante la herramienta de programación AT.\nLa configuración Controlador de dominio: permitir a los operadores de servidor programar tareas está establecida como Deshabilitado en la DCBP para los tres entornos definidos en esta guía. La repercusión de esta configuración de directiva es pequeña para la mayoría de las organizaciones. Los usuarios, incluidos los del grupo Opers. de servidores, podrán crear trabajos con el Asistente del programador de tareas, pero esos trabajos se ejecutarán en el contexto de la cuenta con la que se autentica el usuario al configurar el trabajo.\nNota: la cuenta de servicios AT se puede modificar para seleccionar otra cuenta que no sea la cuenta del SISTEMA LOCAL. Para cambiar la cuenta, abra Herramientas del sistema y haga clic en Tareas programadas y, a continuación, en la carpeta Accesorios. A continuación, seleccione Cuenta de servicios AT en el menú Opciones avanzadas.\nControlador de dominio: requisitos de firma de servidor LDAP\nEsta configuración de directiva determina si el servidor LDAP requiere una firma antes de negociar con los clientes LDAP. El tráfico de red no firmado ni cifrado es susceptible de sufrir ataques con intervención humana en los que un intruso captura paquetes entre el servidor y el cliente y los modifica antes de reenviarlos al cliente. En el caso de un servidor LDAP, un atacante podría hacer que un cliente tomara decisiones en función de registros falsos del directorio LDAP.\nSi todos los controladores de dominio ejecutan Windows 2000 o Windows Server 2003, configure la opción Controlador de dominio: requisitos de firma de servidor LDAP como Requiere firma. En caso contrario, deje esta configuración de directiva como No está definido, que es la configuración de la directiva DCBP para los entornos LC y EC. Esta configuración de directiva se establece como Requiere firma en la DCBP para el entorno SSLF, porque todos los equipos de este entorno ejecutan Windows 2000 o Windows Server 2003.\nControlador de dominio: no permitir los cambios de contraseña de cuenta de equipo\nEsta configuración de directiva determina si los controladores de dominio rechazarán las solicitudes de los equipos miembro de cambiar las contraseñas de las cuentas de equipos. Si se habilita esta configuración de directiva en todos los controladores de dominio de un dominio, las contraseñas de las cuentas de los equipos de los miembros del dominio no podrán cambiarse y serán más susceptibles a los ataques.\nLa configuración Controlador de dominio: no permitir los cambios de contraseña de cuenta de equipo está establecida como Deshabilitado en la DCBP para los tres entornos definidos en esta guía.\nConfiguración de seguridad de red\nTabla 5.6 Opciones de seguridad: recomendaciones sobre la configuración de seguridad de red\nno almacenar valor de hash de LAN Manager en el próximo cambio de contraseña\nSeguridad de red: no almacenar valor de hash de LAN Manager en el próximo cambio de contraseña\nEsta configuración de directiva determina si el valor de hash de LAN Manager (LM) para la contraseña nueva se almacena al cambiar la contraseña. El hash de LM es relativamente débil y propenso a ataques en comparación con el hash de Windows NT®, más seguro desde el punto de vista criptográfico.\nPor este motivo, la DCBP habilita la configuración Seguridad de red: no almacenar valor de hash de LAN Manager en el próximo cambio de contraseña en los tres entornos definidos en esta guía.\nNota: puede que los sistemas operativos antiguos y algunas aplicaciones de terceros no permitan habilitar esta configuración de directiva. Por ejemplo, se producirán errores en Windows 95 y Windows 98 si no está instalada la extensión de cliente de Active Directory. Asimismo, será necesario cambiar la contraseña de todas las cuentas si se habilita esta configuración de directiva.\nLa configuración del registro de eventos para controladores de dominio es la misma que la especificada en la MSBP. Para obtener más información, consulte el capítulo 4, "Directiva de línea de base de servidores miembro". La configuración de línea de base de DCBP garantiza que toda la información de auditoría de seguridad pertinente se registre en los controladores de dominio, incluido el acceso del servicio de directorio.\nComo se ha descrito en el capítulo anterior, la configuración Grupos restringidos le permite administrar la pertenencia a los grupos de Windows Server 2003 con SP1 mediante la directiva de grupo de Active Directory. En primer lugar, analice las necesidades de su organización para determinar los grupos que desea restringir. Para los controladores de dominio, los grupos Opers. de servidores y Operadores de copia de seguridad se han restringido en los tres entornos definidos en esta guía. Aunque los miembros de los grupos Opers. de servidores y Operadores de copia de seguridad tengan menos derechos de acceso que los miembros del grupo Administradores, siguen contando con eficaces capacidades.\nNota: si su organización utiliza cualquiera de estos grupos, controle con cuidado su asociación y no implemente la guía para la configuración de Grupos restringidos. Si su organización agrega usuarios al grupo de usuarios de servidores, es probable que desee implementar los permisos opcionales del sistema de archivos que se describen en la sección “Seguridad del sistema de archivos” del capítulo anterior.\nTabla 5.7 Recomendaciones sobre los grupos restringidos\nOperadores de servidores\nLa configuración Grupos restringidos se puede establecer en Windows Server 2003 con SP1 en la siguiente ubicación del Editor de objetos de directiva de grupo:\nConfiguración del equipo\_Configuración de Windows\_Configuración de seguridad\_Grupos restringidos\nPara configurar grupos restringidos para un GPO, los administradores pueden agregar el grupo que deseen directamente al nodo Grupos restringidos del espacio de nombres de GPO.\nCuando un grupo está restringido, se pueden definir sus miembros así como otros grupos a los que pertenezca. Si no especifica estos miembros de grupo, el grupo estará totalmente restringido. Los grupos se pueden restringir únicamente mediante plantillas de seguridad.\nPara visualizar o modificar el parámetro Grupos restringidos\nAbra Plantillas de seguridad de Microsoft Management Console (MMC).\nNota: Plantillas de seguridad de Microsoft Management Console (MMC) no se incluye de forma predeterminada en el menú Herramientas administrativas. Para agregarlo, inicie Microsoft Management Console (mmc.exe) y agregue el complemento Plantillas de seguridad.\nHaga doble clic en el directorio del archivo de configuración y, a continuación, en el archivo.\nHaga doble clic en el elemento Grupos restringidos.\nHaga clic con el botón secundario del mouse en Grupos restringidos.\nSeleccione Agregar grupo.\nHaga clic en el botón Examinar y, a continuación en Ubicaciones; después, seleccione las ubicaciones que desea examinar y luego haga clic en Aceptar.\nNota: normalmente, esta acción hará que un equipo local se muestre al principio de la lista.\nEscriba el nombre del grupo en el cuadro de texto Escriba los nombres de objeto que desea seleccionar y haga clic en el botón Comprobar nombres.\nHaga clic en el botón Avanzadas y, a continuación, en el botón Buscar ahora para mostrar una lista de todos los grupos disponibles.\nSeleccione los grupos que desea restringir y, a continuación, haga clic en Aceptar.\nHaga clic en Aceptar en el cuadro de diálogo Agregar grupos para cerrarlo.\nEn esta guía, todos los miembros, tanto usuarios como grupos, de los grupos Opers. de servidores y Operadores de copia de seguridad se quitaron para que estuviesen totalmente restringidos en ambos entornos. Además, para el entorno SSLF, se quitaron todos los miembros del grupo Usuarios de escritorio remoto. Microsoft recomienda restringir todos los grupos integrados que no se prevea utilizar en la organización.\nNota: la configuración de Grupos Restringidos descrita en esta sección es muy sencilla. Las versiones de Windows XP con SP1 y SP2, así como Windows Server 2003, son compatibles con diseños más complejos. Para obtener más información, consulte el artículo de Microsoft Knowledge Base sobre actualizaciones del comportamiento de Grupos restringidos ("miembro de") de los grupos locales definidos por el usuario en http://support.microsoft.com/default.aspx?kbid=810076 (en inglés).\nEn esta sección se describen modificaciones que se deben realizar manualmente en la DCBP, así como configuraciones adicionales y contramedidas que no se pueden implementar a través de la directiva de grupo.\nAdición manual de grupos de seguridad únicos a las asignaciones de derechos de usuario\nLa mayor parte de las asignaciones de derechos de usuario aplicadas a través de la directiva DCBP están correctamente especificadas en las plantillas de seguridad que acompañan a esta guía. Sin embargo, existen algunas cuentas y grupos de seguridad que no se pueden incluir en las plantillas debido a que sus identificadores de seguridad (SID) son específicos de dominios individuales de Windows Server 2003. Las tareas de derechos de usuario que se deben configurar se especifican manualmente en la tabla siguiente.\nAdvertencia: en la siguiente tabla se incluyen valores para la cuenta integrada Administrador. No hay que confundir esta cuenta con el grupo de seguridad Administradores integrado. Si se agrega el grupo de seguridad Administradores a cualquiera de los siguientes derechos de usuario de denegación de acceso, deberá iniciar la sesión localmente para corregir el error.\nAdemás, si ha cambiado el nombre de la cuenta integrada del administrador según lo recomendado en el capítulo 4, "Directiva de línea de base de servidores miembro", asegúrese de seleccionar la cuenta de administrador que acaba de cambiar al agregar la cuenta a cualquier derecho de usuario de denegación de acceso.\nTabla 5.8 Asignaciones de derechos de usuario agregadas manualmente\nDenegar el acceso desde la red a este equipo\nAdministrador integrado; Support_388945a0;\nInvitado; todas las cuentas de servicios que NO sean del sistema operativo\nDenegar el inicio de sesión como trabajo por lotes\nSupport_388945a0 e Invitado\nDenegar inicio de sesión a través de Servicios de Terminal Server\nAdministrador integrado; todas las cuentas de servicios que NO sean del sistema operativo\nImportante: “Todas las cuentas de servicio del sistema que NO sean del sistema operativo” incluye cuentas de servicio que se utilizan para aplicaciones específicas en una empresa, pero NO incluye las cuentas de SISTEMA LOCAL, SERVICIO LOCAL ni de SERVICIO DE RED (las cuentas incorporadas que el sistema operativo utiliza).\nLos controladores de dominio que ejecutan Windows Server 2003 con SP1 almacenan los datos del directorio y administran las interacciones entre el usuario y el dominio, incluidos los procesos de inicio de sesión del usuario, la autenticación y las búsquedas del directorio.\nReubicación de datos: archivos de registro y base de datos de Active Directory\nPara mantener la integridad y confiabilidad del directorio, es esencial proteger la base de datos de Active Directory y sus archivos de registro.\nPuede mover los archivos Ntds.dit, Edb.log y Temp.edb de su ubicación predeterminada, lo que ayudará a ocultarlos de un atacante si un controlador de dominio se encuentra en peligro. Si mueve los archivos a otro disco físico fuera del volumen del sistema actual, obtendrá la ventaja adicional de contar con un rendimiento mejorado del controlador de dominio.\nPor estos motivos, en esta guía se recomienda mover los archivos de base de datos y de registro de Active Directory de los controladores de dominio a un volumen de disco seccionado o seccionado/reflejado que no contenga el sistema operativo. Estos archivos se deben mover para los tres entornos definidos en esta guía.\nCambio de tamaño de los archivos de registro de Active Directory\nEs necesario que se registre una cantidad adecuada de información para poder supervisar y mantener de forma eficaz la integridad, confiabilidad y disponibilidad de Active Directory. Se necesita información de todos los controladores de dominio en el entorno.\nPuede aumentar el tamaño máximo de los archivos de registro para admitir este esfuerzo. Si existe más información del registro, los administradores podrán realizar las auditorías relevantes en caso de ataques de intrusos.\nEn esta guía se recomienda aumentar el tamaño máximo de los archivos de registro del Servicio de directorio y del Servicio de replicación de archivos de los 512 KB predeterminados a 16 MB en los controladores de dominio de los tres entornos aquí definidos.\nUso de Syskey\nEn los controladores de dominio, la información de contraseña se almacena en Active Directory. No es extraño que el software de averiguación de contraseñas tenga como principal objetivo la base de datos del Administrador de cuentas de seguridad (SAM) o los servicios de directorio para obtener acceso a las contraseñas de las cuentas de los usuarios.\nLa utilidad System Key (Syskey) proporciona una línea de defensa adicional frente al software de averiguación de contraseñas sin conexión. Syskey utiliza técnicas de cifrado de alta seguridad para garantizar la seguridad de la información de contraseñas de cuentas almacenada en SAM en el controlador de dominio.\nTabla 5.9 Modos de Syskey\nOpción Clave del sistema\nModo 1: Contraseña generada por el sistema y almacenamiento de la clave de inicio localmente\nUtiliza una clave aleatoria generada por el equipo como clave del sistema y almacena una versión cifrada de la misma en el equipo local. Esta opción proporciona un cifrado de alta seguridad de la información sobre las contraseñas en el Registro y permite al usuario reiniciar el equipo sin necesidad de que un administrador escriba la contraseña o inserte un disco.\nModo 2: Contraseña generada por el administrador e inicio con contraseña\nUtiliza una clave aleatoria generada por el equipo como clave del sistema y almacena una versión cifrada de la misma en el equipo local. La clave también está protegida por una contraseña elegida por el administrador. Cuando el equipo se encuentra en la secuencia de inicio se solicita a los usuarios la contraseña para la clave del sistema. Esta contraseña no está almacenada en ningún otro sector del equipo.\nModo 3: Contraseña generada por el sistema y almacenamiento de la clave de inicio en un disco\nUtiliza una clave aleatoria generada por el equipo y almacena la clave en un disco. El disco que contiene la clave del sistema es necesario para el inicio del equipo y debe insertarse cuando se solicite durante la secuencia de inicio. La clave del sistema no está almacenada en ningún otro sector del equipo.\nSyskey se encuentra habilitado en todos los servidores que ejecutan Windows Server 2003 con SP1 en el Modo 1 (clave ofuscada). Desde un punto de vista de la seguridad, esta configuración parece sensata en un primer momento. Sin embargo, Syskey en el Modo 1 permite a un atacante leer y alterar el contenido del directorio, lo que convertiría al controlador de dominio en fácilmente vulnerable ante un atacante que tenga acceso físico.\nExisten muchas razones para recomendar el uso de Syskey en Modo 2 (contraseña de la consola) o en Modo 3 (almacenamiento de la contraseña de Syskey en un disco) para cualquier controlador de dominio expuesto a amenazas contra su seguridad física. Sin embargo, la necesidad operativa de reiniciar los controladores de dominio suele complicar el uso de Syskey en Modo 2 ó 3. Para aprovechar la protección adicional que proporcionan estos modos de Syskey, se deben implementar los procesos operativos adecuados en el entorno para cumplir con los requisitos de disponibilidad específicos de los controladores de dominio.\nLa logística de la administración de las contraseñas o los discos de Syskey puede resultar bastante compleja, especialmente en las sucursales. Por ejemplo, puede resultar muy caro exigir al director de una sucursal o al personal administrativo local que vaya a la oficina a las 3 a.m. para escribir las contraseñas o insertar un disco para habilitar el acceso de los usuarios. Este tipo de requisitos caros pueden hacer que conseguir contratos de nivel de servicio (SLA) de gran disponibilidad sea un reto muy importante.\nComo alternativa, si decide permitir que el personal de operaciones de TI centralizado proporcione contraseñas Syskey de forma remota, necesitará disponer de hardware adicional. Algunos proveedores de hardware tienen soluciones en forma de complementos que permiten tener acceso remoto a las consolas de servidor.\nPor último, la pérdida de la contraseña o del disco Syskey imposibilita el reinicio del controlador de dominio. No existe ningún método de recuperación de un controlador de dominio en caso de pérdida de la contraseña o el disco Syskey. Si esto sucede, el controlador de dominio debe ser reconstruido.\nCon los procedimientos operativos adecuados, Syskey puede proporcionar un alto nivel de seguridad para proteger la importante información de directorio de los controladores de dominio. Por estas razones, se recomienda Syskey en Modo 2 ó 3 para los controladores de dominio en ubicaciones carentes de fuertes medidas de seguridad de almacenamiento físico. Esta configuración se aplica a los controladores de dominio de los tres entornos descritos en esta guía.\nPara crear o actualizar una clave de sistema\nHaga clic en Inicio, seleccione Ejecutar, escriba syskey y, a continuación, haga clic en Aceptar.\nHaga clic en Cifrado habilitado y, a continuación, haga clic en Actualizar.\nHaga clic en la opción que desea y, a continuación, haga clic en Aceptar.\nActive Directory integrado con DNS\nMicrosoft recomienda el uso de Active Directory integrado con DNS en los tres entornos definidos en esta guía. Parte del motivo para hacer esta recomendación se basa en que la integración de la zona de Active Directory hace que sea más sencillo garantizar la seguridad de la infraestructura DNS en un entorno que utiliza Active Directory integrado con DNS que en un entorno que no lo utiliza.\nProtección de los servidores DNS\nEs esencial proteger los servidores DNS de cualquier entorno con Active Directory. Las siguientes secciones proporcionan recomendaciones y explicaciones acerca de cómo proteger los servidores DNS.\nCuando un servidor DNS sufre un ataque, un posible objetivo del atacante es controlar la información DNS devuelta como respuesta a las consultas del cliente DNS. Si un atacante controla esta información, los clientes pueden ser redirigidos sin saberlo a equipos no autorizados. La suplantación de IP y la infección de caché son ejemplos de este tipo de ataque.\nEn el caso de la suplantación de IP, una transmisión recibe la dirección IP de un usuario autorizado para obtener acceso a un equipo o a una red. La infección de caché es un ataque en el que un host no autorizado transmite información falsa sobre otro host a la caché de un servidor DNS. El ataque provoca un redireccionamiento de los clientes a equipos no autorizados.\nSi se permite que los equipos cliente se comuniquen con equipos no autorizados, estos últimos pueden intentar obtener acceso a la información de los equipos cliente.\nNo todos los ataques tienen como objetivo la suplantación de los servidores DNS. Algunos ataques por servicio denegado pueden alterar los registros DNS en servidores DNS legítimos para proporcionar direcciones no válidas en respuesta a las consultas de los clientes. Si un servidor DNS responde con direcciones no válidas, ni los clientes ni los servidores podrán localizar los recursos que necesitan, tales como controladores de dominio, servidores web o recursos compartidos de archivos.\nPor estas razones, los enrutadores utilizados en los tres entornos definidos en esta guía están configurados de modo que se eliminen los paquetes IP suplantados, lo que garantiza que otros equipos no puedan suplantar las direcciones IP de los servidores DNS.\nConfiguración de las actualizaciones dinámicas seguras\nEl servicio de cliente DNS de Windows Server 2003 con SP1 es compatible con las actualizaciones DNS dinámicas, lo que permite a los equipos cliente agregar registros DNS directamente a la base de datos. Si un servidor DNS dinámico está configurado para aceptar actualizaciones no seguras, un atacante podría transmitir actualizaciones malintencionadas o no autorizadas de un equipo cliente compatible con el protocolo de actualizaciones dinámicas DNS.\nUn atacante podría, como mínimo, agregar entradas falsas a la base de datos DNS y, en el peor de los casos, sobrescribir o delegar entradas legítimas de la base de datos DNS. Dicho atacante podría realizar alguna de las siguientes acciones:\nDireccionamiento de los clientes a controladores de dominio no autorizados: cuando un cliente envía una consulta DNS para buscar la dirección de un controlador de dominio, un servidor DNS comprometido puede recibir instrucciones para devolver la dirección de un servidor no autorizado. A continuación, mediante otros ataques no relacionados con DNS, se puede engañar al cliente y convencerle para que transmita información segura al servidor no autorizado.\nRespuesta a consultas DNS con direcciones no válidas: los clientes y los servidores no podrán localizarse mutuamente. Si los clientes no pueden localizar los servidores, no podrán obtener acceso al directorio. Cuando los controladores de dominio no encuentran a otros controladores de dominio, se detiene la réplica del directorio, lo que crea una condición DoS que puede afectar a los usuarios de todo un bosque.\nCreación de una condición DoS: el espacio en disco de un servidor puede agotarse debido a un archivo de zona lleno de registros ficticios o a una gran cantidad de entradas que disminuyen la velocidad de la réplica.\nEl uso de actualizaciones DNS dinámicas seguras garantiza que las solicitudes de registro sólo se procesen si éstas se envían desde clientes válidos de un bosque de Active Directory. Este método limita en gran medida la posibilidad de que un atacante comprometa la integridad de un servidor DNS.\nPor estas razones, los servidores DNS de Active Directory de los tres entornos definidos en esta guía están configurados para aceptar únicamente actualizaciones dinámicas seguras.\nLimitación de las transferencias de zona a sistemas autorizados\nDebido a la importante función que desempeñan las zonas en DNS, éstas deben estar disponibles en más de un servidor DNS de la red para proporcionar niveles adecuados de disponibilidad y tolerancia a errores en las consultas de resolución de nombres. Cuando una zona se aloja en servidores adicionales, es necesario que las transferencias de zona repliquen y sincronicen todas las copias de la zona en todos los servidores configurados como host de la zona.\nAdemás, un servidor DNS sin limitaciones que pueda realizar solicitudes de transferencia de zona puede transferir toda la zona DNS a cualquiera que la solicite. Esta transferencia se puede realizar fácilmente con herramientas como Nslookup.exe. Estas herramientas pueden exponer todo el conjunto de datos DNS del dominio, incluidos los host que actúan como controladores de dominio, los servidores web integrados en el directorio o las bases de datos de Microsoft SQL Server™.\nPor estas razones, los servidores DNS integrados en Active Directory en los tres entornos aquí definidos están configurados para permitir las transferencias de zonas, pero con una limitación respecto a los equipos que pueden realizar solicitudes de transferencias.\nCambio de tamaño del registro de eventos y del registro del servicio DNS\nEs necesario que se registre una cantidad adecuada de información para poder supervisar y mantener de forma eficaz el servicio DNS. Se necesita información de todos los controladores de dominio en el entorno.\nPuede aumentar el tamaño máximo del archivo de registro del servicio DNS, lo que permitirá a los administradores realizar las auditorías relevantes ante un ataque.\nEn esta guía se recomienda aumentar el tamaño máximo del archivo de registro del servicio DNS a como mínimo 16 MB en los controladores de dominio de los tres entornos aquí definidos. Además, asegúrese de que está seleccionada la opción Sobrescribir eventos cuando sea necesario del servicio DNS para aumentar la cantidad de entradas de registro que se conservan.\nEl valor de este cambio de configuración se ha reducido en los últimos años debido a la existencia de herramientas de ataque que intentan obtener acceso al servidor mediante la especificación del identificador de seguridad (SID) de la cuenta integrada Administrador para averiguar su nombre real. Un SID es el identificador único de cada usuario, grupo, cuenta de equipo e inicio de sesión de una red. No se puede modificar en el caso de esta cuenta integrada. Sin embargo, sus grupos operativos pueden controlar fácilmente los intentos de ataques contra esta cuenta de Administrador si cambia el nombre por uno único.\nRealice los pasos siguientes para proteger las cuentas conocidas en los servidores y dominios:\nNota: se puede cambiar el nombre de la cuenta integrada Administrador desde la directiva de grupo. Esta configuración de directiva no se implementó en ninguna de las plantillas de seguridad que se proporcionan con esta guía porque cada organización debe escoger un nombre único para esta cuenta. Sin embargo, puede configurar el parámetro Cuentas: cambiar el nombre de la cuenta del administrador para cambiar el nombre de las cuentas de administrador en los tres entornos que se definen en esta guía. Esta configuración de directiva forma parte de la configuración Opciones de seguridad de un GPO.\nConfiguraciones de los Servicios de Terminal Server\nTabla 5.10 Configuración recomendada para los Servicios de Terminal Server\nLa configuración Establecer nivel de cifrado de conexión de cliente determina el nivel de cifrado para las conexiones de clientes de los Servicios de Terminal Server en el entorno. La opción Nivel alto que utiliza cifrado de 128 bits impide que los atacantes intercepten las sesiones de los Servicios de Terminal Server con un analizador de paquetes. Algunas versiones más antiguas del cliente de Servicios de Terminal Server no son compatibles con este nivel de cifrado alto. Si su red dispone de dichos clientes, configure el nivel de cifrado de la conexión para que envíe y reciba datos en el nivel de cifrado más alto permitido por el cliente.\nEstablecer el nivel de cifrado de conexión de cliente está configurada como Habilitado, y la opción de cifrado de Nivel alto está seleccionada en la DCBP en los tres entornos de seguridad definidos en esta guía.\nPuede configurar esta configuración de directiva en Windows Server 2003 en la ubicación siguiente dentro del Editor de objetos de directiva de grupo:\nConfiguración del equipo\_Plantillas administrativas\_Componentes de Windows\_\nServicios de Terminal Server\_Cifrado y seguridad.\nLos tres niveles disponibles de cifrado se describen en la tabla siguiente:\nTabla 5.11 Niveles de cifrado de Servicios de Terminal Server\nCifra los datos que se envían desde el cliente al servidor y desde el servidor al cliente con cifrado de 128 bits. Utilice siempre este nivel cuando Terminal Server se ejecute en un entorno que sólo incluya clientes de 128 bits, como los clientes de Conexión a Escritorio remoto. Los clientes que no admitan este nivel de cifrado no se podrán conectar.\nCifra los datos enviados entre el cliente y el servidor con la fuerza máxima de la clave admitida por el cliente. Emplee este nivel cuando Terminal Server se ejecute en un entorno que incluya clientes mixtos o heredados.\nCifra los datos que se envían del cliente al servidor con cifrado de 56 bits.\nImportante: los datos enviados del servidor al cliente no están cifrados.\nTabla 5.12 Configuración recomendada para los informes de errores\nDesactivar Informe de errores de Windows\nEste servicio ayuda a Microsoft a realizar un seguimiento de los errores así como a solucionarlos. Puede configurar este servicio para generar informes para los errores del sistema operativo, componentes de Windows o de programa. Sólo está disponible en Windows XP Professional y Windows Server 2003.\nEl servicio Informe de errores puede informar de dichos errores a Microsoft a través de Internet o a un recurso compartido de archivos internos. Aunque los informes de error puedan incluir datos corporativos de contenido delicado o incluso confidenciales, la directiva de privacidad de Microsoft con respecto a la notificación de errores asegura que Microsoft no utilizará dichos datos de forma incorrecta. No obstante, los datos se transmiten en HTTP de texto sin formato y podrían ser interceptados en Internet y visualizados por terceros.\nLa configuración Desactivar Informe de errores de Windows controla si el servicio Informe de errores transmite datos.\nConfiguración del equipo\_Plantillas administrativas\_Sistema\_Administración de comunicaciones de Internet\_Configuración de comunicaciones de Internet\nEstablezca el parámetro Desactivar Informe de errores de Windows como Habilitado en la DCBP para los tres entornos que se definen en esta guía.\nPara implementar la configuración necesaria de seguridad, deberá utilizar el Asistente para la configuración de seguridad (SCW) y las plantillas de seguridad que se incluyen con la versión descargable de esta guía con el fin de crear una directiva de línea de base de controladores de dominio.\nAl crear su propia directiva, asegúrese de omitir las secciones "Configuración del Registro" y “Directiva de auditoría”. Las plantillas de seguridad proporcionan esta configuración de directiva para el entorno escogido. Este enfoque es necesario para garantizar que los elementos de la directiva proporcionados por las plantillas tienen prioridad sobre los configurados por SCW.\nPara crear la directiva de línea de base de controladores de dominio\nDebe usar un equipo configurado como controlador de dominio para crear la directiva de línea de base de controladores de dominio. Puede utilizar un controlador de dominio existente o crear un equipo de referencia y utilizar la herramienta Dcpromo para crear un controlador de dominio para el equipo. Sin embargo, la mayoría de las organizaciones no quieren agregar un controlador de dominio a su entorno de producción porque puede violar su directiva de seguridad. Si utiliza un controlador de dominio existente, asegúrese de que no aplica ningún parámetro con SCW ni modifica su configuración.\nCompruebe que las funciones de servidor detectadas son adecuadas para su entorno. No quite la función de servidor de archivos, ya que es necesaria para que los controladores de dominio funcionen correctamente.\nNota: si el entorno contiene controladores de dominio en múltiples sitios, asegúrese de que está seleccionada la opción Replicación de Active Directory basada en correo.\nCompruebe que la casilla de verificación Omitir esta sección está desactivada en la sección "Seguridad de red" y, a continuación, haga clic en Siguiente. Los puertos y las aplicaciones apropiados identificados anteriormente se configuran como excepciones para el Firewall de Windows.\nNota: asegúrese de que la opción Puertos para aplicaciones RPC del sistema está seleccionada.\nIncluya la plantilla de seguridad adecuada (por ejemplo, EC-Domain Controller.inf).\nGuarde la directiva con un nombre apropiado (por ejemplo, Domain Controller.xml).\nCuando empiece a crear sus directivas, debe considerar la utilización de los servicios de implementación nativos de SCW. Puede utilizar SCW para instaurar una directiva a un solo servidor cada vez, o usar Scwcmd para instaurar la directiva en un grupo de servidores. El método nativo de implementación ofrece la ventaja de poder deshacer fácilmente las directivas implementadas desde SCW. Esta capacidad puede ser muy útil cuando se hacen varios cambios a las directivas durante el proceso de la prueba.\nscwcmd transform /p:"C:\_Windows\_Security\_msscw\_Policies\_Domain\nController.xml" /g:"Domain Controller Policy"\nUtilice la Consola de administración de directivas de grupo para vincular el objeto GPO creado recientemente a la UO Controladores de dominio y asegúrese de moverlo a un nivel superior del de la directiva predeterminada de controladores de dominio para que tenga la máxima prioridad.\nRecuerde que el GPO creado recientemente puede tardar algún tiempo en replicarse a todos los controladores de dominio, especialmente en entornos con controladores de dominio en múltiples sitios. Una vez comprobado que el GPO se ha replicado correctamente, debe realizar una última prueba para asegurarse de que el GPO aplica la configuración de directiva deseada. Para completar este procedimiento, confirme que se ha establecido la configuración apropiada y que los servicios no se ven afectados.\nEn este capítulo se ha explicado cómo reforzar la seguridad de los servidores de controladores de dominio que ejecutan Windows Server 2003 con SP1 en los tres entornos definidos en esta guía. La mayor parte de los parámetros de configuración de directiva descritos se configuraron y aplicaron mediante la directiva de grupo. La directiva de línea de base de controladores de dominio (DCBP) que complementa a la directiva predeterminada de controladores de dominio se vinculó a la UO Controladores de dominio.\nLa configuración de la directiva DCBP mejorará la seguridad general de los controladores de dominio de cualquier entorno. El uso de dos objetos GPO para garantizar la seguridad de los controladores de dominio permite conservar el entorno predeterminado y simplifica la solución de problemas.\nVarias de las configuraciones descritas no se pueden aplicar a través de la directiva de grupo. Para esta configuración, se proporcionan detalles sobre la configuración manual.\nUna vez configurada la seguridad de los controladores de dominio, se pueden hacer más seguras otras funciones de servidor. Los capítulos siguientes de esta guía se centran en cómo garantizar la seguridad de otras funciones específicas de servidor.\nLos vínculos siguientes proporcionan información adicional acerca de temas relacionados con reforzar la seguridad de los controladores de dominio en los que se ejecuta Windows Server 2003 con SP1.\nPara obtener información sobre guías recomendadas de arquitectura de sistemas Microsoft y Enterprise Data Center, consulte la página que contiene la guía sobre la arquitectura recomendada de MSA EDC en www.microsoft.com/resources/documentation/msa/edc/all/solution/\nen-us/pak/pag/default.mspx (en inglés).\nPara obtener información sobre cómo habilitar el acceso anónimo a Active Directory, consulte el artículo de Microsoft Knowledge Base que contiene una descripción de las opciones de permiso de Dcpromo en http://support.microsoft.com/?kbid=257988 (en inglés).\nPara obtener información sobre DNS en Windows 2000 DNS, consulte el documento "Windows 2000 DNS White Paper" en www.microsoft.com/windows2000/techinfo/howitworks/communications/\nnameadrmgmt/w2kdns.asp (en inglés).\nPara obtener información sobre DNS en Windows 2000, consulte el capítulo 6 de la versión en línea de la guía "TCP/IP Core Networking Guide" del kit de recursos de Windows 2000 en www.microsoft.com/windows2000/techinfo/reskit/en-us/default.asp (en inglés).\nPara obtener información acerca de DNS en Windows 2003, consulte la página que contiene información sobre los cambios en DNS en Windows Server 2003 en www.microsoft.com/windows2000/technologies/communications/dns/dns2003.asp (en inglés).\nPara obtener más información acerca de la restricción de Active Directory, consulte el artículo de Microsoft Knowledge Base sobre la restricción del tráfico de replicación de Active Directory en un puerto específico en http://support.microsoft.com/?kbid=224196 (en inglés).\nPara obtener más información acerca de la restricción del tráfico de replicación de FRS, consulte el artículo de Microsoft Knowledge Base sobre cómo restringir el tráfico de replicación de FRS en un puerto estático específico en http://support.microsoft.com/?kbid=319553.\nPara obtener más información acerca del servicio de hora de Windows, consulte la página de referencia técnica del servicio de hora de Windows en http://www.microsoft.com/technet/prodtechnol/windowsserver2003/\nlibrary/TechRef/a0fcd250-e5f7-41b3-b0e8-240f8236e210.mspx (en inglés).\nPara obtener más información acerca de la imitación de IP, consulte el artículo que contiene una introducción a la imitación IP en www.giac.org/practical/gsec/Victor_Velasco_GSEC.pdf (en inglés).


Envasado Soria - Envasados Torner\nSi eres una empresa de la zona de Soria que quiere externalizar el proceso de envasado, ponemos a tu disposición nuestra experiencia en este sector y te ofrecemos soluciones a la medida de tus necesidades.\nOfrecemos servicios de envasado a empresas de Soria.Contacta con Envasados Torner, te ofrecemos todo tipo de soluciones para tus productos.\nNuestra empresa tiene todo tipo de maquinaria especializada para poder realizar el llenado y envasado de la forma más eficiente posible. Damos servicios a empresas de Soria, somos rápidos y te aportamos la calidad que necesitas durante el proceso.En nuestra empresa también te ofrecemos la posibilidad de optar por nuestro servicio de envasado en pequeñas cantidades. Realizamos pedidos a partir de las 1000 unidades, por lo que siempre puedes contactar con nosotros y realizar tu pedido con total garantía.\nServicios de envasado para empresas de Soria\nSomos una empresa cerca de Soria especializada en servicios de envasado.\nEntre nuestros servicios de envasado a empresas de Soria destacamos los siguientes:\nBlisters termoconformado Soria\nExpositores PVC y PS Soria\nSi necesitas servicios de envasado para tu empresa en Soria, una empresa que te aporte todas las garantías que necesitas para conservar la calidad de tus productos, ponte en contacto con nosotros.


Tenga en cuenta que el diagrama de flujo de procesos es un paso anterior al modelo de procesos, utilizado para ayudar a definirlo durante el análisis del proceso. Una etapa intermedia entre el diagrama de procesos y el modelo es el llamado mapa del proceso. Vea más: 6 buenos ejemplos de mapeo de procesos en empresas BPM. 6 pasos para\n· diagrama de flujo del proceso biotecnologico by jonathan muñoz. Present.\nDiagrama esquemático del diagrama de flujo para fundición de minerales lateríticos (saprolita) a ferroníquel. .....29 Figura 9. Estructura interna de un horno de calcinación rotativa. .....31 Figura 10. Producción de ferroníquel mediante vertido controlado de ferroníquel fundido. .....36 Figura 11. Diagrama del proceso de refinación del ferroníquel en línea.....37 Figura 12 ...\n· · El diagrama de flujo (flujograma) es una herramienta utilizada para representar la secuencia e interacción de las actividades del proceso a través de símbolos gráficos. Los símbolos proporcionan una mejor visualización del funcionamiento del proceso, ayudando en su entendimiento y haciendo la descripción del proceso más visual e intuitivo.\nEl diagrama de flujo del proceso hidrometalúrgico de obtención de cinc se. Consultar precios. El Circuito de Cobre Doe Run cobre y níquel construidas recientemente utilizan dicho proceso. Hidrometalurgia .. caracteriza por resistencia variable al flujo de aire, hiperres. Consultar precios. Qué es un Diagrama de Flujo Gestión de . etapas de proceso de purificacion de metales. proceso de ...\n· El diagrama de flujo de proceso es la representación más simple y preliminar del proceso. Diagrama de flujo procedimiento de producción recibo de materia prima trazar materia prima y cortar en la cizalla inspeccionar medidas escuadre y cantidad inspeccionar la materia prima y registrar en la bitacora aceptada identificar y colocar en elrack correspondiente generar o t.\nDiagrama Schaeffler [eljqo5r6z541]\nEn el proceso de arco manual (SMAW) el valor típico es de 30%. La tabla 1 muestra algunos porcentajes de dilución por proceso de soldadura, obtenidos experimentalmente. Es de anotar que los porcentajes de dilución varían con el amperaje utilizado, pero los promedios tabulados están dentro del rango de amperaje recomendado para cada aplicación . Tabla 1. Porcentajes de dilución en ...\n· El diagrama de flujo o Flujo del proceso es un diagrama usado para representar gráficamente un proceso, sin complicaciones. De este modo queda claro el flujo de información entre los agentes que componen el proceso, su secuencia de tareas y actividades, lo que permite una visión general de lo que sucede con el fin de agilizar el flujo, intentando lograr más productividad y mejores resultados.\nDiseña tu diagrama en 5 pasos sencillos. Crea una cuenta de Canva para diseñar tu propio diagrama de flujo de proceso. Elige una opción de nuestra biblioteca de plantillas profesionales. Sube tus propias imágenes o elige entre más de 1 millón de imágenes de archivo. Arregla tus imágenes, agrega fantásticos filtros y edita el .\nMEJORAMIENTO EN EL SISTEMA DE ALMACENAMIENTO DE UN .\nEste proyecto, pretende presentar un proceso estándar que permite la eficiente recolección de productos para un pedido, mediante el correcto almacenamiento de los productos dentro de un Centro de Distribución En un principio se expone el diagnóstico del Centro de Distribución, abarcando la\nDiagrama de flujo de procesos de producción de cerdos ...\n· · All pages: 1. Nelson Ventura. Published on Sep 11, 2017. Follow. Diagrama de flujo de procesos de producción de cerdos lechones.\nConocimiento del proceso actual mediante acompañamiento a todas las operaciones del proceso y acceso a la información relevante. Procesos. Elaboración del diagrama del proceso. Personas. Observación trabajo de los Operarios. Tecnología. Revisión de las diferentes tecnologías existentes en el .


Salinha de Estar: Compras Citypharma #2 - Los (otros) esenciales UA-40840920-1\nYa os hablé de Citypharma tantas veces que ya deben estar cansados de leerlo, habiendo vuelto allí para completar los esenciales (pero no tanto como los otros) para la carita y cabello, decidí que no podría dejar de mostraros lo que traje. Sólo me falta un tónico (estoy con uno pequeño y está acabando) y una máscara de limpieza. Sugestiones son bien recibidas. :)\nVamos a la lista de lo que ha venido a parar a mi pequeño armario de cremas y similares:\n1. La Roche Posay Serozinc, porque nunca se sabe cuándo va a dar un ataque de locura en mi piel y reventar, especialmente en la zona de la barbilla;\n2. Phytobaume Repareteur, un acondicionador que nunca usé pero espero que ayude (¡y mucho!) a mi cabello que se queda seco y frágil con el agua de Francia;\n3. Uriage Isofill, que he usado como crema de noche, más hidratante y con propiedades antiedad. Compré la textura más leve, dado que la otra tiene karité y, conociéndome, sería demasiado para mi piel, y así que tenga más una semanas usado este producto, os digo mi opinión;\n4. Bioderma máscara Hydrabio, para aquel momento especial de hidratación que la piel precisa todas las semanas, especialmente en un clima frío, con un viento que seca hasta la piel con más tendencia a grasa;\n5. Avene Anti-rougeurs leche de limpieza, porque, a pesar de no tener, en este momento, la piel descontrolada, tengo tendencia a tener rojeces durante el día, especialmente cuando estoy expuesta a cambios rápidos de temperatura, como acontece aquí entre el interior y el exterior;\n6. Avene Anti-rougeurs Jour, una crema de día que ayuda a la piel sensible a controlar las rojeces y la sensación de calor en el resto, a lo largo del día. Contiene pigmentos verdes para uniformizar el tono de piel (pero no tiene color de base, atención, no camufla, apenas atenúa zonas rojas)\n7. Aqualarm, solución para ojos secos con lentes de contacto;\n8. Homeoplasmine, que viene siendo mi apoyo para evitar que los labios se agrieten e irriten, como me suele pasar todos los inviernos muy fríos o cuando tengo fiebre;\n9. Bioderma Hydrabio Brume, un agua que calma la piel en los momentos más sensibles. Ya vive obligatoriamente dentro de mi bolsa;\n10. Inca Rose máscara Extra Pure Hyaluronic, para hidratación, con propiedades rejuvenecedoras. Mi primera máscara de “tela” (no sé lo que es), estoy muy curiosa para saber como es;\n11. Roger & Gallet pastilla de jabón para el cuerpo con aroma a Figuier. (Ya que es el favorito de Penélope Cruz, vamos a ver si es tan bueno :) );\n12. Bioderma, H2O Agua Micelar, porque siempre me gustan estas versiones pequeñas, que son muy buenas para viajes.\nUna persona tiene que ir temprano y, además de eso, tener suerte en el día en que decide pasar por Citypharma. En la mayor parte de los días, está tan lleno que no se puede ver ningún producto nuevo con atención. Pero, esta vez, conseguí traer para casa la mayor parte de los items que me faltaban para cuidar la piel, más una vez, a precios que hacen llorar a las piedras de la acera (expresión portuguesa). Cuando comparé lo poco que podría haber comprado en Portugal con el total de lo que estos costaron, me quedé super satisfecha por haber esperado.\nSalí de allí con una bolsa llena y con la sensación de objetivo cumplido. Ya tengo mi batallón facial para enfrentar granos negativos. ¡Pueden venir! :)


Kurchenko tres meses exportaba a través de rusia metal producido en las zonas ocupadas de la región de donbass, en $70,6 millones – de los medios de comunicación | Noticias de Ucrania\nEn junio–agosto de 2017, sociedad de responsabilidad limitada «la Compañía de Gas de la alianza», controle el беглому ucraniana businessman sergey kurchenko, экспортировало de ocupado temporalmente las zonas de donetsk, y de lugano de las áreas de металлопродукцию para un total de $70,6 millones Sobre esto informa «ЛІГАБізнесІнформ», en referencia a los datos de las declaraciones de aduana.\nLa realizacin de la produccin de la «Compañía de Gas -, la alianza comenzó a finales de junio con Енакиевского metalúrgico de la planta, que entró en el grupo de «Метинвест» Рината Ахметова y vadim Новинского (después de que el ucraniano los activistas anunciaron el bloqueo de la región de donbass, la empresa «nacionalizado» rebeldes «ДНР». – «GORDON»). Todo el metal se han cargado a rusia южноосетинской la empresa privada sociedad anónima «Внешторгсервис». Después de esto, los productos переоформляли en «el Gas de la alianza».\nEn las declaraciones de aduana no se especifican los puntos de entrega de productos metálicos, países de destino y los compradores.\nTres meses después, la compañía exportó alrededor de 121 miles de toneladas de hierro en la suma de $34,9 millones, y alrededor de 86,8 miles de toneladas de barras de $35,7 millones de\nAdemás, «el Gas de la alianza» sigue suministrar en otros países вывезенный de la región de donbass antracita: a partir de marzo de 2017, se implementó 142 mil toneladas de carbón por $10 millones\nSobre todo de exportaciones e importaciones de las operaciones Gas-alianza» trabaja con «Внешторгсервисом». El volumen total de estas empresas desde el inicio de su actividad (desde mediados de marzo de 2017) fue de $222,6 millones, teniendo en cuenta el suministro de mineral de hierro en metalúrgicas, fábricas temporalmente en los territorios ocupados de donetsk, y de lugano de las áreas.\nEl único propietario de «Gas-Alianza» es vladimir caldas. Le pertenece a la sociedad de responsabilidad limitada «pedro oil», creada en el año 2014. En el año 2016 la última compró el ucraniano banco del estado «Укрэксимбанк» el derecho de reclamar la deuda de $ 236 millones de grivnas cerca de las estructuras kurchenko – «ВЕТЭК Medios de comunicación invest» y «Илонит de la tv». Después de la redención de los requisitos de elegibilidad de la deuda «de pedro oil» por un lado y «ВЕТЭК Medios de comunicación invest» y «Илонит de televisión» con el otro firmaron el acuerdo, que ha permitido kurchenko cerrar la deuda antes de госбанком.\nKurchenko tres meses exportaba a través de rusia metal producido en las zonas ocupadas de la región de donbass, en $70,6 millones – de los medios de comunicación 13.09.2017\nEn ucrania han comenzado a preparar la ley de криптовалютах\nEl comité de la Rada suprema de ucrania sobre la política financiera y la banca comenzó a preparar la ley de криптовалютах, escribió... Читать»\nTurquía no quiere que se intensifique el conflicto. Erdogan: los militares no sabían que el avión ruso\nEl presidente de turquía , recep tayyip erdogan, comentó el incidente con el juego de los su-24, el derribo, en la víspera de aviones turcos.... Читать»\nLos medios de comunicación: en transbaikal los chinos están comprando en el metal de los tanques rusos y Doty\nEn transbaikal asierran tanques y llevan a la chatarra. Técnica militar se corta allí en todas partes, desde mediados de la década de 2000,... Читать»


El programa Cierre de Mercados de Radio Intereconomía emitido el 7 de febrero contó con la participación de Carlos Mendoza, asociado de gestión de Altair Finance.\nLa tertulia sobre gestión del patrimonio también contó con la participación de Juan Cueto.\nSobre el giro que ha dado el acuerdo comercial entre EE.UU. y China a raíz de los tweets de Donald Trump y la incertidumbre que ha provocado en los mercados, Mendoza explica que “los mercados siempre tienden a adelantarse. Si el año pasado los dos factores que condicionaron el mal comportamiento de los mercados a nivel mundial fueron, por un lado la actitud de la Reserva Federal de subida de tipos y por otro lado de Trump contra los aranceles en Europa y China, este año empezamos muy positivamente ya que la Reserva Federal está lanzando mensajes mucho más tranquilizadores con respecto a esa subida de tipos y que Donald Trump estaba poniendo el freno al tema arancelario”.\nPuedes escuchar la entrevista a partir de 02:12:32\n“Desde Altair creemos que es un momento para mostrarse precavidos manteniendo carteras parciales o bastante defensivas como hicimos nosotros, estar en liquidez y gestionar lo mejor posible”. Bien es cierto que, en la actualidad, tal y como señala Carlos Mendoza “no vemos riesgo de recesión; son correcciones”.\n“Ahora mismo estamos muy infraponderados y confiamos en que estas correciones se materialicen entre esta semana y la que viene. Este año lo vemos positivamente y a la espera de la actitud de los Bancos Centrales – si se mantienen así o no- y del acuerdo arancelario entre Trump y China”.\nA su vez, Mendoza describe cómo el mercado está descontando que el acuerdo arancelario vaya a ser totalmente completo y positivo pero que “existen bastantes grados de ese tipo de acuerdo”, concluye Mendoza.


Visados y Embajadas: Y tú, ¿cómo llegaste a EEUU? | Spaniards.es, la Comunidad de Españoles en el Mundo\nCreado el 15 Dec 2016 - 22:48\nHe trabajado en marketing en China durante los 2 últimos años, y he estado viviendo en varios países anteriormente (Corea del Sur, Alemania, Reino Unido). Sé que hay mucha gente con mi perfil en EEUU, que son más fáciles de contratar que a una extranjera como yo, pero me resigno a pensar que es imposible encontrar algo.\nLo siento por desahogarme... voy al lío: ¿Qué os llevó a EEUU? ¿Cómo conseguisteis quedaros?\n‹ Mudarse a USA Viajó a Cuba y eeuu ›\nvoodoo1980 181 38 1115 Brooklyn, Nueva York (Estados Unidos)\npuffff.... yo empezaría por leerme todo el foro de visados y de ahí se te resolverán algunas dudas.\n16 Dec 2016 - 00:44\nIsmaelmedel 268 10 744 La Verne, California (Estados Unidos)\nPues básicamente son las opciones que mencionas, a lo que debes sumar el jaleo de los visados. Eso si, yo no me fiaría de españoles/andaluces/catalanes/madrileños por el mundo. No me parece a mi que representen bien lo que realmente significa vivir en el extranjero.\n16 Dec 2016 - 02:02\nA ver, el foro me lo he leido de pe a pa. Quizá no debería haber contado todo el rollo personal.\nSimplemente quiero saber cómo han llegado a EEUU la gente que está allí. Normalmente me meto en los perfiles y lo miro, pero muchos de vosotros no ponéis que hacéis en EEUU o cómo llegastéis.\nNo soy la típica persona de "mi sueño es vivir en EEUU, por favor decidme como puedo conseguirlo". Solo quiero saber cómo han llegado la gente del foro.\nSoy consciente que los X por el mundo no son siempre realistas, he vivido mucho tiempo fuera y en la realidad te encuentras de todo.\nDisculpad si no he sido directa con la pregunta.\n16 Dec 2016 - 05:06\nivanjm 220 6 190 Portland, OR (Estados Unidos)\n@Palomit llegue para pasar una temporada fuera de casa despues de dejar mi trabajo en spain. fui a estudiar un anyo. a la vez tenia una marca. aplique para una visa de inversor, salio mal, y aplique a una O1 debido al exito que estaba teniendo como disenyador. acabe mis estudios y pase a una O1. a los 3 meses aplique a una green card como persona de extraordinarias habilidades, la misma que le dan a los premios nobel ;-) Y aqui estoy. despues de trabajar como disenyador en Los Angeles, recibi oferta de Adidas y aqui ando. Ni casandome con nadie, ni empresas. tus propios meritos te pueden llevar lejos, solo hay q ser realista y aplicar si cumpels los requisitos.\n16 Dec 2016 - 05:16\nUn amigo (español) que estaba ya en Nueva York me informó de un programa de prácticas para recién licenciados en EE.UU. y Canadá. Me apunté. Dio la casualidad de que una ONG de Nueva York se había enterado del programa, participó como empleador, y entre los varios currículums que les llegaron me eligieron a mi (mucha suerte, ya que tenía al amigo este en Nueva York, y me eligió una empresa de Nueva York)\nCon esa beca me dieron un visado J1. Esta ONG me quería para arreglarles ordenadores, hacerles algún cambio en la web y poco más (muy buena gente, pero el trabajo un poco básico). Después, otro español que había participado también en el programa de becas (nos habíamos conocido en alguna quedada de los que participábamos en el mismo programa) y que había encontrado una empresa recientemente me informó de que buscaban gente. Hice la entrevista, me dijeron "El servidor está todo programado en Python. ¿Tú sabes de eso?" Y yo: "Ni puta idea, oiga"... "¡¡Contratado!!", me dijeron. Así que me cambié de la ONG a esta otra empresa.\nCuando se me iba a terminar el visado J1, esa misma empresa me hizo un visado H1.\nA los dos meses de tener el H1, me dio por participar en la lotería de la green card y me tocó (me enteré de que me había tocado casi un año después de que se publicasen los resultados, pero eso es otra historia, como dirían en Irma La Dulce )\n¿Por qué estoy aquí? Pues por mi novia y porque el trabajo de informático está bien (hay muchas empresas, la mayoría pequeñas, haciendo cosas interesantes) Y también un poco por el "juego" de ver hasta donde llego con el tema visados y demás.\nCopy/paste de otro post:\nYo he ido explicando mi vida y milagros en diversos comentarios... A estas alturas ya solo me falta publicar mi número de alienígena en el foro\nAquí hay algunos. Desde el comentario en sí podrás hacer clic en el título del hilo en el que lo puse y verlo completo (el hilo, digo... ) en los que hay más respuestas aparte de la mía.\nAcabo de ver el comentario de @ivanjm, que dice " llegue para pasar una temporada fuera de casa"... Me ha hecho gracia, porque yo también vine para cinco meses, y va para ocho años ya, con la tontada\n16 Dec 2016 - 05:32\n@BorrajaX @ivanjm antes de nada, muchas gracias por compartir vuestras experiencias y enhorabuena porque os haya ido tan bien.\nUna pregunta @ivanjm: fuiste a estudiar por tu cuenta pagándotelo tú, intercambio entre universidades o con becas?\nMuchas graciad de nuevo!!\n16 Dec 2016 - 05:47\n@neofito Gracias, ese es el consejo estrella. Me han pedido matrimonio ya, pero es que yo soy más tradicional, de casarme cuando llevo unos cuantos años XD\nGracias por el consejo aún así!\n@neofito Vaya, me imagino que ya me estás poniendo en tu clasificación de mujeres del foro como "ennoviada". Disculpa\n16 Dec 2016 - 17:07\nMas si ya te lo han pedido...\nTodo lo demás es una sucesión de barreras por las cuales no estás obligada a pasar. En la vida hay que tomar decisiones.\n@neofito Buen curriculum. Yo también estuve de erasmus en Alemania\nCierto es, novio no tengo. Mi chica me ha ofrecido como solución casarnos para yo poder mudarme allí. Pero llevamos más tiempo separadas que juntas, así que no me parece. Espero que así quede ya claro el tema :)\n16 Dec 2016 - 21:12\nTe noto entusiasmado, @neofito.\n16 Dec 2016 - 21:34\nviki 504 31 6844 Copenhague, Copenhague (Dinamarca)\n16 Dec 2016 - 22:41\n16 Dec 2016 - 22:46\n16 Dec 2016 - 22:47\n16 Dec 2016 - 22:53\nestáis fatal eh? jajaja\n17 Dec 2016 - 01:37\nSabía que la cosa estaba regular en el foro con respecto a años anteriores, pero ahora entiendo porque la gente sale espantada de aquí... Menuda cantidad de trolls que no aportan nada\n17 Dec 2016 - 07:44\n@Palomit No dejes que una manzana podrida contagie todo el cesto...;-)\n@Galaxy, cierto es, pero si no te interesa el tema o incluso lo detestas no comentas y listo. Es lo que hemos hecho todos por aquí\nNo sé, será que tienen mucho tiempo libre y no se les ocurre en qué emplearlo\n17 Dec 2016 - 07:47\n@Palomit no creas, no hay tantos trolls, lo que pasa es que se van cambiando el nick cada poco y parece que son más ;-)\nCada uno es libre de hacer lo que quiera, por supuesto, pero yo soy fiel al "Don't feed the troll", si todo el mundo hiciera como si no existieran y nadie les respondiera ni les siguieran la corriente, no darían tanto la lata.\n17 Dec 2016 - 08:29\nNo es troleo, son comentarios editados, este mismo incluido.\nSi queréis seguís por aquí o si no por el cómo llegaste a EEUU.\nYo tenía ganas de venir aunque no sabría explicarte bien el motivo. Una mezcla de ver si el sueño americano ese existe y de probarme a mí misma si era capaz de llegar hasta aquí sabiendo lo difícil que es.\nVaya por delante que no tengo un título universitario. Sí tengo estudios más allá del bachillerato, pero ni son oficiales, ni están relacionados con mi trabajo actual (que no voy a mencionar en detalle).\nTodo empezó a tomar forma cuando me mudé a Londres y vi que mi perfil despertaba interés.\nTras un par de intentos fallidos de que mi anterior empresa me enviara a Silicon Valley (la primera vez una reestructuración canceló mi traslado y la segunda fuimos comprados por una empresa mayor en plenas negociaciones).\nNo me gustó trabajar para la empresa que nos compró, así que tras entrevistas fallidas con otras empresas con grandes sedes en USA, acabé en mi empresa actual. Mucho más pequeña, pero también con oficinas al otro lado del charco.\nNunca pensé que habría oportunidad de que me trasladarán, pero sí que pensé que al menos viajaría aquí y eso me hacía ilusión.\nTras varios viajes un buen día se me ocurrió proponer que me trasladarán y se dio la coincidencia de que ellos andaban pensando ofrecerme un traslado también, pero pensaban que lo rechazaría por no querer mudar a la familia, etc.\nAsí que me trasladaron con una L1 hace un año (un año ya!)\nDe momento estoy contenta, he confirmado que puedo llegar hasta aquí y aún estoy viendo si el sueño americano es posible (le veo atisbos, ya que con esfuerzo este inmenso país te puede brindar oportunidades).\nVaya por delante que el sueño americano no significa que aten perros con longanizas. Significa que hay áreas que sorprendentemente aún no están explotadas y en las que si se es avispado y currante, se puede sacar provecho.\n17 Dec 2016 - 13:45\nY qué gusto ignorar al troll oficial, los hilos se hacen mucho más interesantes sin tanto scroll para evitar su vómito irrelevante de palabras.\n17 Dec 2016 - 13:47\n@RedHead Enhorabuena! Todo con el que hablo que es de allí, o vive allí me dice lo mismo. Si te lo curras en EEUU, puedes llegar lejos. En teoría debería ser así en todos lados, pero parece que allí es de los pocos sitios que es de verdad.\nEl botón de "Ignorar Usuario"es lo mejor que se ha inventado en el Spaniards. No hace falta ni esforzarse en pasar de trolls :D\nY tanto @Palomit y es que además no me produce ni curiosidad saber qué diantres ha puesto. Como solo ignoro a uno, ya sé que son sus mensajes :-D\n18 Dec 2016 - 00:26\n@Palomit por mi cuenta. Eso si, necesitarias q la escuela te tramite el visado de estudiante. Vine con ahorros, es la unica maner ade sobrevivir en Ny.\n19 Dec 2016 - 04:13\n14 Jul 2017 - 00:49


diario del cinéfilo: El estreno: Vuelve la Patrulla X... y va a por Fidel\nEl estreno: Vuelve la Patrulla X... y va a por Fidel\nHollywood vuelve a intentarlo con los mutantes más populares, la Patrulla X. Y lo hace con el recurso de la precuela. Finiquitada la trilogía cinematográfica que abriera Bryan Singer en la dirección, con dos primeras aventuras más que interesantes (y una secuela superior al primer capítulo, como versión corregida y aumentada del mismo) y un cierre algo deslavazado a cargo de Brett Ratner, que aunó aciertos y errores y liquidó a buena parte del reparto, echamos la vista atrás.\n'X-men, first class', título bastante explícito (por lo de primera clase), no solo nos mostrará los orígenes de Magneto en un campo de concentración nazi, sino cómo surge la amistad entre este y Xavier, antes de acabar como enemigos mortales. Dado que viajamos al pasado, se ha situado la acción nada menos que en plena crisis de los misiles cubanos, en la que la primera Patrulla X tendrá un papel fundamental... lo que puede ser el mayor acierto del film o su peor error.\nA los mandos de la nave mutante encontramos esta vez a Matthew Vaughn, marido de Claudia Schiffer y que está labrándose una interesante filmografía como adaptador de cómics, incluyendo una más que decente versión del soberbio 'Stardust' de Gaiman y Vess, y la polémica 'Kick ass' basada en el cómic de Millar.\nEn cuanto al reparto, Xavier es ahora James McAvoy y Magneto un semidesconocido Michael Fassbender, mientras que la televisiva January Jones de 'Mad Men' es una perfecta (al menos físicamente) Emma Frost. Ellos encabezan un reparto en el que también tienen cabida Kevin Bacon (como el malvado Sebastian Shaw), el veterano Michael Ironside, Rose Byrne o la jovencísima y magnífica actriz (Véase 'Lejos de la tierra quemada' o 'Winter's bone') Jennifer Lawrence, que sustituye a la modelo Rebecca Romijn como Mística, la que siempre va pintada de azul.\nLa verdad, pese a ser fan de los personajes, más por el cómic que por el cine, este 'reboot' no me estimula demasiado. Pero bueno, nunca se sabe (claro que por lo visto hay hasta cinco guionistas acreditados, lo que nunca es buena señal, y el cartel es lamentable).


Superestrellas Revista Qué Pasa\nLas vidas de Arenita, Edmundo Vargas, Maite Orsini y algunos otros son los dramas más intensos de nuestro presente televisivo. La telenovela más exitosa del día. Pero el mismo medio que los ha elevado a una fama pasajera, también los devora y los sacrifica. Todos saben la regla del juego: nadie es más grande que el show.\nPor Álvaro Bisama Mayo 14, 2010\nSe llamaba Edie Sedgwick e inventó la forma más contemporánea de la fama. Mal que mal, tenía a Andy Warhol al lado. Él la filmó, la fotografió, le tomó el brazo cuando el destello de un millón de flashes cayeron sobre ella con la velocidad de un blitzkrieg. Porque Edie no tenía demasiado talento, salvo ser ella misma: un objeto bello que había escapado de su hogar en California para caer como un meteorito por la Factory de Warhol, aparecer en sus películas y pasearse por los eventos de socialité de dos continentes. Así, Edie no supo ser más que Edie. Tenía algo de modelo, algo de actriz, algo de niña perdida, de pirata con patente de corso en el hotel Chelsea. Murió en 1971. Cinco años antes, Warhol la había reemplazado por Nico, ex de Delon, ex figurante de Fellini.\nY es imposible no pensar en que ella es el origen de todo. La madrina perdida de Arenita (que estalló histérica ante el reflejo que le devolvía el espejo de un baño en Valparaíso y después se lanzó en caída libre), Edmundo Varas (que insultó a un juez de garantía y trató de matarse con pastillas a los pies de la Virgen del San Cristóbal) o Maite Orsini (que fue actriz infantil y que ahora escaló varios pisos para perseguir a su ex -no dejo de pensar que Half a person de los Smiths debió haber sonado en alguna parte- y terminó golpeada o golpeando a una policía). Porque es innegable: sus vidas son los dramas más intensos de nuestro presente televisivo. Son la verdadera nueva comedia chilena, a pesar de que ninguno de ellos (Orsini, Arenita, Varas y todos los que vienen detrás suyo) esté haciendo algo que no sea ser ellos mismos. Famosos de la noche a la mañana, dejaron de vivir para sólo figurar mientras dan vueltas por un extraño limbo -o infierno- que incluye programas de farándula, estacionamientos de los canales de televisión, salones vip de discotecas y calabozos policiales.\nAsí son las cosas: mientras las teleseries vespertinas de los canales nacionales (Lobo, Martín Rivas, Manuel Rodríguez) rasguñan las migajas de un rating cada vez más esquivo, ellos imponen su penúltima verdad en noticieros de farándula como Primer Plano, Intrusos o SQP, basados en la suposición de que las cámaras nunca dejan de grabarlos, de que son el centro de su propia escena y que no basta nada más que eso para sobrevivir adentro y afuera de la pantalla. Porque su vida es la telenovela más exitosa del día. Esforzados en mantener la intensidad de su mayor minuto de gloria, navegan en el escándalo como la única narrativa que les queda. Así, la televisión los muestra desnudos y maltratados, borrachos y golpeados, con el corazón en pedacitos en la mano abierta, chocando con el resto del mundo, estrellándose con ellos mismos, tratando de abrazar la luz que perdieron cuando estuvieron cerca del cielo, cuando eran los favoritos de Quesille, Nakasone o Hernández, los productores estrella de esta década, genios en eso de machacar lo que tuvieran a mano para mantener andando sus respectivos shows.\nMetáforas improvisadas de nuestra nueva cultura chilena, Arenita, Orsini o Varas son los hijos que devora y sacrifica la televisión para mantenerse en pie, la cuota de locura que requiere para mantener aceitada su maquinaria. Hay una lección ahí: la tele es en realidad una maratón, una carrera de resistencia antes que una colección de destellos fulgurantes. Sobreviven los más aptos, los menos tontos, los que no se toman en serio a sí mismos. Sobreviven los que aprenden a no creerse estrellas, los que saben tomarse todo como un trabajo, los que agradecen a quien los sacó del agujero de donde venían. Los que se caen, en cambio, son los que no resisten y no guardan para sí ninguna porción de intimidad. Los que se caen son lo que no entienden que las cámaras se apagan en algún momento. Los que fracasan son los que hacen de la vida de los otros el decorado de su propio programa, mientras se felicitan a sí mismos porque en apenas un par de meses los saludan en la calle, les abren las puertas de las discos y los adoran los fans club de provincia.\nNosotros, el público, los vemos por el rabillo del ojo como si fueran el alargue de una teleserie que nadie sabe cómo terminar. Algunas veces son una noticia menor en un programa de farándula; otras, una nota simpática de policiales. Los shows en que se hicieron famosos prescindieron de ellos hace rato. Todos saben las reglas del juego: nadie es más grande que el show; nadie es esencial aquí; el que crea otra cosa está perdido; hay una multitud golpeando las puertas de los canales.\nPara cerrar, vuelvo a la pobre Edie Sedgwick, tan sola y tan preciosa. Like a rolling stone de Dylan quizás trata sobre ella, sobre una estrella que cae y se vuelve invisible y vaga desolada por las ruinas de su propia fantasía. Esa canción parece estar sonando como la musiquilla de las pobres esferas de Arenita, Orsini, Varas y el resto de los jóvenes que alguna vez fueron y vinieron en Yingo, Calle 7 o realities de moda. Las imágenes de su ocaso (la de Arenita grabándose para YouTube en pleno terremoto, la de Orsini con el ojo morado saliendo de una comisaría, la de Varas intentando controlar su furia asesina cualquier día) son las de una soledad que se vive a la intemperie, helada hasta los huesos.\nConsumidos por la ira, el deseo y el resentimiento, ellos dan vueltas como almas en pena por nuestros televisores. Fantasmas que no saben que son tales, su drama cada día pierde espesor, se desliza hacia la catástrofe o la risa, hacia el olvido o el clímax sanguinolento. Como Edie, como la silueta que esboza la canción de Dylan, ellos intentan atrapar lo poco que les queda de fama para acomodarlo a su escuálido presente. Mientras, sueñan con volver a tener un momento de gloria que ya no les fue concedido: animar, cantar, jugar al fútbol, envejecer haciendo notas para algún matinal. Vacíos de sí mismos, ya no tienen nada que mostrar salvo la cámara lenta de su caída libre.


lubinaspuma: TERCIADOS PARA TERMINAR LA SEMANA\nTERCIADOS PARA TERMINAR LA SEMANA\nDe improviso salimos a dar una vuelta por un pedreo cercano a ver si con suerte sacábamos algún sargo.\nEl mar con algún golpe del NW pero escaso y un viento del NE fuerza 2 a3 no hacían presagiar gran cosa pero teníamos que intentarlo.\nLa pleamar era a las 18:00 más menos asi que a las 16:00 ya estábamos bajando por el acantilado dirección a la puesta elegida.\nUna vez a pie de mar tampoco se veía tan feo, asi que preparamos todo y Oscar echo las primeras paladas mientras yo preparaba la gamba.\nEl agua tomo un buen color\nCasi sin darme tiempo a sacar la cámara y en la primera calada saco el primero, de tamaño medio que seria lo habitual del dia\nCon picadas continuas y un mar que crecía por momentos se hacia presagiar que disfrutaríamos de una buena tarde\nHoy pescamos ambos con bajos seaguar como es habitual, el con el NEOX y yo con mi apreciado FXR , el pique se resolvió con un empate técnico.\nFue otra buena tarde, muchas risas con alguna soboga que entro y como tiran, parecen caballos.\ndimos por concluido el dia poco despues de pleamar con estos 12\nY asi un dia mas y esperemos que muchos disfrutamos de otra jornada de pesca, una tarde ausente de frió y una temperatura agradable, y con unos sargos que dia a dia nos enamora mas su captura, su lucha, en esos momentos de picadas continuas uno casi se siente ausente del mundo de todo cuanto te rodea, solo existes tu el mar y los SARGOS\ncomo no hay premio sin sufrimiento toco sudar subiendo el acantilado pero arriba nos esperaba una cerveza bien fria y la satisfacion de un buen dia de pesca\nPublicado por emilio en 14:07\ncabo 20 de julio de 2012, 14:28\nvosotros como siempre sin parar de sacar...un saludo y enhorabuena\nemilio 20 de julio de 2012, 15:14\ngracias Cabo, recuerda que tienes una invitación pendiente para venirte una tarde, no dudes en avisarme si un dia te apetece pasarte. un saludo compi\nCesar 21 de julio de 2012, 14:18\nAúpa Emilio, buena pesca como siempre, y es que no falláis, que siga la racha.\nemilio 24 de julio de 2012, 4:20\ngracias Cesar, esperemos que continue la semana que biene jejeje, un abrazo\nIván.yopescoamibola 22 de julio de 2012, 6:30\nEmilio se me corta la conexión.Espero poder hac dr algo más pronto.Blogger estáque arde.\ny tanto que esta que arde jejejej, un saludo Ivan\nJose 23 de julio de 2012, 13:53\nEl otro día me tocó una subida de esas, pero sin premio sarguero.\nPero bueno, la cervecita también cayó jejeje.\nemilio 24 de julio de 2012, 4:22\njejejej bajar se baja bien eee ,eso si cuando llega la hora de suvir ostiasss , almenos merecio la pena pegarse la pateada jejej . un saludo Jose\nFelicidades emilio, fenomenal rato echasteis, y ademas acompañado de un buen rancho de sargos.\nMuy buena la entrada como todo el blog, con muy buena narracion y espectaculares fotos, y es que teneis unas zonas preciosas.\nTe hemos añadido a nuestros blogs que seguimos para asi estar pendientes a vuestras futuras entradas.\nSi algo necesitais de nosostros aqui nos tienes para lo que quieras.\nemilio 6 de agosto de 2012, 13:48\nPepe ante todo darte las gracias por unirte a mi blog y agradecer tus palabras , aquí tenéis a dos pescadores de Luarca para echaros una mano si decidís venir algún dia por esta zona de pesca. un abrazo amigo\njuanma 7 de agosto de 2012, 6:48\nQue buen rato echasteis Emilio, la verdad es que trasmite mucho sosiego este pesquero, me alegro encontrar publicaciones como esta pues te trae a casa lo vivido por otros pescadores y uno se puede poner en la piel. Sigue así y un saludo\nGelín 18 de agosto de 2012, 12:00\nAupa Emilio.Bonita subida¡¡ufff!!.\nEl esfuerzo ha merecido la pena con la pesca.\nTe tenemos incluido en nuestro blog:


Designan nuevo alcalde encargado en Cereté y definen fecha de elecciones – LA LENGUA CARIBE\nDesignan nuevo alcalde encargado en Cereté y definen fecha de elecciones\nCarlos Eduardo Sakr Espinosa, más conocido como el Pocho Sakr, es el nuevo alcalde encargado del municipio de Cereté. Es el cuarto que tiene el municipio desde que el Consejo de Estado declaró la nulidad de la elección de Salim Chagui Flórez, mandatario electo, aduciendo que estaba inhabilitado para ejercer el cargo.\nSakr fue concejal del municipio y por decreto empezará a regir los destinos hasta el próximo 5 de febrero, fecha en la cual se realizarán las elecciones para elegir al primer mandatario que terminará el período correspondiente, según el decreto de la Gobernación de Córdoba.\nHay que indicar que por esa administración han pasado Ruby Menco Contreras, quien se desempeñaba como directora administrativa con funciones de personal en la Gobernación. Sin embargo, su tiempo fue efímero pues denunció amenazas contra su vida y por ello presentó renuncia irrevocable del cargo.\nLuego de ese episodio la Gobernación designó al abogado Hernando de la Espriella Burgos, funcionario de la administración departamental y cereteano de nacimiento, quien se mantuvo al frente hasta ahora cuando se hizo el encargo de la terna del mismo movimiento que eligió al destituido mandatario.\nEduardo Lara es nuevo seleccionador de El Salvador\nEn su cuenta de Facebook exalcalde anuncia a su tío Elber como candidato a la Alcaldía de Cereté