Hardening de Cuentas Windows con PowerShell: 8 medidas de seguridad en una sola ejecución

Las credenciales comprometidas son el vector de ataque número uno en incidentes de seguridad, por delante de exploits y malware, y la mayoría de sistemas Windows funcionan sin ningún hardening de cuentas aplicado. La configuración por defecto no impone restricción de intentos, no exige longitud mínima de contraseña y mantiene cuentas innecesarias activas, lo que convierte el hardening de cuentas Windows en una de las medidas defensivas más urgentes y rentables de aplicar contra credential stuffing, password spraying, Pass-the-Hash y Kerberoasting.

En este hub editorial de ciberseguridad documentamos cómo un único script de PowerShell aplica 8 medidas de hardening en segundos, alineadas con el CIS Benchmark nivel 1 para Windows y el estándar NIST SP 800-63B de gestión de credenciales digitales, sin instalar ningún software adicional. Todas las guías técnicas de protección del sistema operativo están recogidas en el núcleo técnico de Windows seguro: hardening, red, navegador, servicios y mitigación de Mimikatz en 2026.

📅 2026 · 🕐 10 minutos de lectura

📌 ¿Qué es el hardening de cuentas Windows?

El hardening de cuentas Windows protege credenciales, evita accesos no autorizados y reduce la superficie de ataque configurando la política de seguridad local del sistema operativo.

• ✔ Protege credenciales frente a ataques de fuerza bruta, diccionario y password spraying mediante política de bloqueo de cuentas.
• ✔ Elimina cuentas innecesarias (Invitado, Administrador predecible) que amplían la superficie de ataque.
• ✔ Activa la política de auditoría para detectar intentos de acceso sospechosos en el registro de eventos de Windows.
• ✔ Bloquea el acceso físico sin autenticación desactivando el inicio de sesión automático (autologon).
• ✔ Reduce el riesgo de Pass-the-Hash, Pass-the-Ticket y Kerberoasting al limitar las cuentas con privilegios elevados.

Complementa este hardening con la guía completa para crear contraseñas seguras y difíciles de hackear en 2026 — las políticas de contraseñas del script solo son eficaces si los usuarios generan claves que resistan los ataques de diccionario y fuerza bruta actuales.

🚨 ¿Por qué es importante el hardening de cuentas Windows?

⚙️ Las 8 medidas del hardening de cuentas Windows

1. 🔒 Política de contraseñas robusta: mínimo 12 caracteres, historial de 5, caducidad 90 días (NIST SP 800-63B + CIS L1).
2. ⏱️ Política de bloqueo de cuentas: bloqueo automático a los 5 intentos durante 30 minutos (MITRE T1110).
3. 🚫 Desactivar cuenta Invitado: elimina el acceso anónimo al sistema sin contraseña (T1078).
4. 🔑 Desactivar cuenta Administrador integrada: elimina el objetivo predecible de los atacantes (T1078).
5. 🛑 Desactivar inicio de sesión automático (autologon): evita el acceso físico sin autenticación (T1552).
6. 🔐 Activar política de auditoría completa: registra todos los eventos de acceso (auditpol).
7. 🆕 Detección de cuentas nuevas (evento 4720): alerta inmediata si se crea una cuenta.
8. ⬆️ Detección de elevación (eventos 4728/4732): alerta si alguien se añade a Administrators.

Esta metodología de hardening por script con tareas programadas reactivas es la misma que aplicamos en el script completo para endurecer Windows 11 con 7 tareas programadas en 2026 — ambos scripts son complementarios y pueden ejecutarse juntos para un hardening integral del sistema.

⚙️ Script completo: Hardening de cuentas Windows con 7 tareas programadas

📋 Checklist previo a la ejecución

📅 Las 7 tareas programadas del script

📥 Cómo instalar el script — un solo comando

Abre PowerShell como administrador y pega este comando. El script se descarga, instala y ejecuta automáticamente:

Invoke-WebRequest -Uri "https://seguridadenmipc.com/wp-content/uploads/2026/06/Hardening-Cuentas.txt" -OutFile "$HOME\hardening-cuentas.ps1" -UseBasicParsing; Set-ExecutionPolicy -Scope Process -ExecutionPolicy Bypass -Force; & "$HOME\hardening-cuentas.ps1"

↩️ Script de reversión

Si necesitas deshacer el hardening, ejecuta este script. Elimina primero las 7 tareas programadas para que el hardening no se reaplique en el siguiente disparador.

# ============================================================
# Revertir Hardening de cuentas Windows
# ============================================================

# 1. ELIMINAR PRIMERO las 7 tareas programadas
$tareas = @(
    "Hardening-Cuentas-Inicio",
    "Hardening-Cuentas-Logon",
    "Hardening-Cuentas-Horaria",
    "Hardening-Cuentas-Desbloqueo",
    "Hardening-Cuentas-NuevaCuenta",
    "Hardening-Cuentas-Elevacion",
    "Hardening-Cuentas-Auditoria"
)
foreach ($t in $tareas) {
    if (Get-ScheduledTask -TaskName $t -ErrorAction SilentlyContinue) {
        Unregister-ScheduledTask -TaskName $t -Confirm:$false
        Write-Host "[OK] Tarea $t eliminada." -ForegroundColor Green
    }
}

# 2. Restaurar politica de contrasenas por defecto
net accounts /minpwlen:0         | Out-Null
net accounts /maxpwage:unlimited | Out-Null
net accounts /uniquepw:0         | Out-Null

# 3. Restaurar politica de bloqueo por defecto
net accounts /lockoutthreshold:0 | Out-Null

# 4. Reactivar cuenta Administrador integrada
net user administrator /active:yes | Out-Null

# 5. Desactivar politica de auditoria
auditpol /set /category:* /success:disable /failure:disable | Out-Null

Write-Host ""
Write-Host "[OK] Hardening revertido. Reinicia el equipo." -ForegroundColor Green

🔎 Cómo comprobar que el hardening está activo

Get-Content C:\Logs\hardening-cuentas.log -Tail 30

✅ Checklist post-instalación

🆚 Sistema sin hardening vs con hardening de cuentas Windows

Para completar el hardening del sistema, combina este script con el manual técnico de Windows Defender: detección de malware y acceso controlado a carpetas en 2026 — las 8 reglas ASR de Defender bloquean los vectores de ejecución de malware que explotan las cuentas comprometidas para escalar privilegios.

🏁 Conclusión

El hardening de cuentas Windows con PowerShell permite aplicar ocho medidas de la política de seguridad local en segundos, reduciendo drásticamente el riesgo de accesos no autorizados por fuerza bruta, password spraying o credential stuffing. Las 7 tareas programadas garantizan que el endurecimiento se mantenga activo de forma permanente, y las tareas reactivas por eventos 4720 y 4728/4732 convierten este script en una solución de detección temprana ante creación de cuentas no autorizadas o escalaciones sospechosas.

❓ Preguntas frecuentes

¿Es seguro ejecutar este script?

👉 Sí, si se ejecuta como administrador siguiendo las recomendaciones previas. Todos los comandos usan herramientas nativas de Windows documentadas oficialmente y son completamente reversibles mediante el script de reversión incluido.

¿Puede bloquearse mi acceso al sistema?

👉 No de forma accidental. El script comprueba automáticamente cuántas cuentas de administrador activas hay antes de desactivar la cuenta Administrator integrada. Si solo hay una, omite ese paso y muestra un aviso.

¿Por qué 7 tareas programadas y no solo una?

👉 Cada tarea cubre un vector distinto. Las tareas reactivas por eventos 4720 y 4728/4732 se disparan en el mismo instante en que ocurren esas acciones y dejan rastro inmediato en el CSV, algo que hasta ahora solo ofrecían soluciones EDR empresariales.

¿Las 7 tareas ralentizan el equipo?

👉 No. Cada ejecución dura menos de 5 segundos en background como SYSTEM en modo oculto. La carga combinada suma menos de 2 minutos de CPU al día.

¿Qué hago si el CSV muestra una cuenta nueva que no reconozco?

👉 Señal potencial de compromiso. Verifica con net user, desactiva la cuenta sospechosa con net user NOMBRE /active:no, cambia las contraseñas de todas las cuentas admin, desconecta el equipo de la red y ejecuta un análisis completo con el manual técnico de Windows Defender: detección de malware y acceso controlado a carpetas en 2026.

¿Cómo desactivo el hardening si quiero revertirlo?

👉 Ejecuta el script de reversión incluido en esta guía: elimina las siete tareas y revierte todos los cambios en un solo paso.