Gestión del Registro de Windows
— Caso Práctico Empresarial

Windows Registry Editor Version 5.00

; ----- 1. Bloquear instalación de MSI por usuarios no admin -----
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Installer]
"DisableMSI"=dword:00000001            ; Bloquea MSI para no-admins
"EnableUserControl"=dword:00000000     ; Sin control de usuario sobre MSI
"AlwaysInstallElevated"=dword:00000000 ; CRÍTICO: Nunca elevar automáticamente

; ----- 2. Deshabilitar ejecución desde directorios de usuario -----
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Safer\CodeIdentifiers]
"DefaultLevel"=dword:00011000          ; 0x11000 = Restringido
"PolicyScope"=dword:00000001
"TransparentEnabled"=dword:00000001

; ----- 3. Bloquear ejecución desde Downloads y Temp -----
[HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Windows\Safer\CodeIdentifiers\0\Paths\{guid-downloads}]
"Description"="Bloquear Descargas"
"ItemData"="%USERPROFILE%\\Downloads\\*.exe"
"SaferFlags"=dword:00000000             ; 0 = Deshabilitado/Bloqueado

; ----- 4. Bloquear autorun de dispositivos USB -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000FF   ; 255 = Bloquear autorun en todo
"NoAutorun"=dword:00000001

# AppLocker - Configuración para TechSoluciones S.L.
# Requiere Windows 10/11 Pro o Enterprise + AppIDSvc activo

# 1. Activar servicio AppLocker
Set-Service -Name AppIDSvc -StartupType Automatic
Start-Service AppIDSvc

# 2. Crear reglas base (permitir Windows y Archivos de Programa)
$policy = @"
<AppLockerPolicy Version="1">
  <RuleCollection Type="Exe" EnforcementMode="Enabled">
    <FilePathRule Id="1" Name="Permitir Windows" Action="Allow" UserOrGroupSid="S-1-1-0">
      <Conditions><FilePathCondition Path="%WINDIR%\*"/></Conditions>
    </FilePathRule>
    <FilePathRule Id="2" Name="Permitir Archivos de Programa" Action="Allow" UserOrGroupSid="S-1-1-0">
      <Conditions><FilePathCondition Path="%PROGRAMFILES%\*"/></Conditions>
    </FilePathRule>
  </RuleCollection>
  <RuleCollection Type="Msi" EnforcementMode="Enabled">
    <!-- Solo administradores pueden instalar MSI -->
  </RuleCollection>
</AppLockerPolicy>
"@

Set-AppLockerPolicy -XmlPolicy $policy
Write-Host "[OK] AppLocker configurado correctamente" -ForegroundColor Green

Windows Registry Editor Version 5.00

; ----- 1. Eliminar clic derecho en el escritorio -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoViewContextMenu"=dword:00000001      ; Sin menú contextual en escritorio
"NoTrayContextMenu"=dword:00000001      ; Sin menú contextual en bandeja
"NoDesktop"=dword:00000000             ; 1 para ocultar completamente el escritorio

; ----- 2. Bloquear barra de tareas -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"LockTaskbar"=dword:00000001           ; Bloquea posición y tamaño
"NoTaskGrouping"=dword:00000001         ; Sin agrupación de tareas
"TaskbarNoPinnedList"=dword:00000001    ; Sin cambiar programas anclados

; ----- 3. Iconos del sistema en escritorio -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
"{20D04FE0-3AEA-1069-A2D8-08002B30309D}"=dword:00000001 ; Ocultar "Este equipo"
"{5399E694-6CE5-4D6C-8FCE-1D8870FDCBA0}"=dword:00000001 ; Ocultar Panel de control
"{645FF040-5081-101B-9F08-00AA002F954E}"=dword:00000000  ; Mostrar Papelera de reciclaje

; ----- 4. Bloquear menú Inicio personalización -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoChangeStartMenu"=dword:00000001     ; No modificar menú Inicio
"NoRecentDocsMenu"=dword:00000001      ; Sin documentos recientes
"ClearRecentDocsOnExit"=dword:00000001  ; Limpiar historial al cerrar sesión

; ----- 5. Configuración visual uniforme -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\Shell\Bags\1\Desktop]
"IconSize"=dword:00000030              ; Tamaño de icono: 48px (mediano)
"Mode"=dword:00000001                  ; Vista de iconos

# Crear accesos directos corporativos para todos los usuarios nuevos
# Usar C:\Users\Default\Desktop para que se copie a nuevos perfiles

$escritorioComun = "C:\Users\Public\Desktop"

# Eliminar todos los iconos existentes
Get-ChildItem $escritorioComun -Filter "*.lnk" | Remove-Item -Force

# Crear acceso directo a sistema de tickets IT
$WshShell = New-Object -comObject WScript.Shell
$Shortcut = $WshShell.CreateShortcut("$escritorioComun\Soporte IT.lnk")
$Shortcut.TargetPath = "https://soporte.techsoluciones.local"
$Shortcut.Save()

Write-Host "[OK] Escritorio corporativo configurado" -ForegroundColor Green

Windows Registry Editor Version 5.00

; ----- 1. Configuración de perfiles de usuario -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"DeleteRoamingCache"=dword:00000001     ; Limpia caché perfil itinerante al cerrar
"SlowLinkTimeOut"=dword:00000002        ; Tiempo límite enlace lento (ms)

; ----- 2. Límite de tamaño de perfil -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList]
"ProfilesDirectory"="%SystemDrive%\\Users"
"DefaultUserProfile"="Default"

; ----- 3. Limpieza automática de temporales -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\VolumeCaches\Temporary Files]
"StateFlags0001"=dword:00000002        ; Habilitado para Liberador de espacio

; ----- 4. Redireccionamiento de carpetas (para perfil local pequeño) -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\User Shell Folders]
"Desktop"="\\\\servidor\\perfiles\\%USERNAME%\\Desktop"
"My Documents"="\\\\servidor\\perfiles\\%USERNAME%\\Documents"
"AppData"="%USERPROFILE%\\AppData\\Roaming"

; ----- 5. Eliminar perfiles inactivos automáticamente -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"CleanupProfiles"=dword:0000001E       ; Eliminar perfiles inactivos +30 días

; ----- 6. Perfil temporal en caso de fallo -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\System]
"ProfileErrorAction"=dword:00000001    ; 1=Perfil temp sin notif, 2=Bloquear login

# Script de mantenimiento de perfiles — TechSoluciones S.L.
# Ejecutar semanal via Tarea Programada como SYSTEM

$logFile = "C:\TechSoluciones\logs\perfiles_$(Get-Date -f yyyyMMdd).log"

function Write-Log($msg) {
    $timestamp = Get-Date -Format "yyyy-MM-dd HH:mm:ss"
    "[$timestamp] $msg" | Tee-Object -FilePath $logFile -Append
}

# 1. Limpiar carpetas temporales de usuarios
Get-ChildItem "C:\Users" -Directory | ForEach-Object {
    $tempPath = "$($_.FullName)\AppData\Local\Temp"
    if (Test-Path $tempPath) {
        $size = (Get-ChildItem $tempPath -Recurse -ErrorAction SilentlyContinue | 
                  Measure-Object -Property Length -Sum).Sum / 1MB
        Remove-Item "$tempPath\*" -Recurse -Force -ErrorAction SilentlyContinue
        Write-Log "Limpiado $($_.Name): $([math]::Round($size,2)) MB"
    }
}

# 2. Detectar perfiles corruptos
$perfiles = Get-ChildItem "HKLM:\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProfileList"
foreach ($perfil in $perfiles) {
    $estado = (Get-ItemProperty $perfil.PSPath).ProfileImagePath
    if (-not (Test-Path $estado)) {
        Write-Log "⚠️ Perfil corrupto detectado: $estado"
    }
}

Write-Log "✅ Mantenimiento completado"

Windows Registry Editor Version 5.00

; ================================================================
; HARDENING DE SEGURIDAD — TechSoluciones S.L.
; ⚠️ PROBAR EN ENTORNO DE PRUEBAS ANTES DE DESPLEGAR
; ================================================================

; ----- 1. Control de Cuentas de Usuario (UAC) -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"EnableLUA"=dword:00000001                    ; UAC habilitado (crítico)
"ConsentPromptBehaviorAdmin"=dword:00000002   ; Pedir contraseña a admins
"ConsentPromptBehaviorUser"=dword:00000000    ; 0=Denegar automáticamente a usuarios
"PromptOnSecureDesktop"=dword:00000001        ; Escritorio seguro para prompts UAC

; ----- 2. Deshabilitar cuenta Administrador local -----
[HKEY_LOCAL_MACHINE\SAM\SAM\Domains\Account\Users\000001F4]
; (Mejor usar: net user Administrador /active:no)

; ----- 3. Bloquear acceso a herramientas del sistema -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"DisableTaskMgr"=dword:00000001              ; Bloquear Administrador de tareas
"DisableRegistryTools"=dword:00000001         ; Bloquear regedit.exe a usuarios
"DisableCMD"=dword:00000002                  ; 2=Bloquear scripts CMD, no CMD interactivo

; ----- 4. Seguridad de pantalla de bloqueo -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"ScreenSaverGracePeriod"="5"               ; Segundos antes de requerir contraseña
"ForceUnlockLogon"=dword:00000001
"DontDisplayLastUserName"="1"             ; No mostrar último usuario en login
"DisableCAD"=dword:00000000               ; Requerir CTRL+ALT+DEL para login

; ----- 5. Política de contraseñas (también en secpol.msc) -----
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters]
"MaximumPasswordAge"=dword:0000005A        ; 90 días máximo
"MinimumPasswordLength"=dword:0000000A     ; 10 caracteres mínimo

; ----- 6. Deshabilitar autoplay/autorun -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoDriveTypeAutoRun"=dword:000000FF         ; Bloquear en todos los tipos de unidad

; ----- 7. Restringir acceso al Panel de Control -----
[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer]
"NoControlPanel"=dword:00000001            ; Sin Panel de Control (alternativa parcial)
"RestrictCpl"=dword:00000001               ; Solo mostrar items autorizados

# ============================================================
# BACKUP DEL REGISTRO — TechSoluciones S.L.
# Ejecutar SIEMPRE antes de aplicar cualquier política
# ============================================================

param(
    [string]$Motivo = "backup_rutinario",
    [string]$Autor = $env:USERNAME
)

$fecha    = Get-Date -Format "yyyyMMdd_HHmmss"
$equipo   = $env:COMPUTERNAME
$destino  = "\\servidor\backups\registro\$equipo"
$archivo  = "${fecha}_${Motivo}_${Autor}.reg"

# Crear directorio si no existe
New-Item -ItemType Directory -Force -Path $destino | Out-Null

# Backup de ramas clave por separado
$ramas = @{
    "HKLM_SYSTEM"   = "HKLM\SYSTEM"
    "HKLM_SOFTWARE" = "HKLM\SOFTWARE"
    "HKCU"          = "HKCU"
}

foreach ($nombre in $ramas.Keys) {
    $fichero = "$destino\${fecha}_${nombre}.reg"
    reg export $ramas[$nombre] "$fichero" /y
    if ($LASTEXITCODE -eq 0) {
        Write-Host "[OK] Backup $nombre → $fichero" -ForegroundColor Green
    } else {
        Write-Host "[ERROR] Falló backup $nombre" -ForegroundColor Red
    }
}

# Registro de auditoría
$logEntry = "$fecha | $equipo | $Autor | $Motivo"
$logEntry | Add-Content "\\servidor\backups\registro\auditoria_backups.log"

Write-Host "`n[✅] Backup completado. Puede proceder con los cambios." -ForegroundColor Cyan

# ============================================================
# REVERSIÓN DE POLÍTICAS — TechSoluciones S.L.
# Uso: .\reversion_politicas.ps1 -Escenario "escritorio" -BackupFecha "20250115"
# ============================================================

param(
    [string]$Escenario   = "escritorio",
    [string]$BackupFecha = "",
    [switch]$LimpiarClaves
)

$equipo  = $env:COMPUTERNAME
$backDir = "\\servidor\backups\registro\$equipo"

# Buscar backup más reciente si no se especifica fecha
if (-not $BackupFecha) {
    $backup = Get-ChildItem $backDir -Filter "*${Escenario}*.reg" | 
               Sort-Object LastWriteTime -Descending | 
               Select-Object -First 1
} else {
    $backup = Get-ChildItem $backDir -Filter "${BackupFecha}*${Escenario}*.reg"
}

if (-not $backup) {
    Write-Host "[ERROR] No se encontró backup para: $Escenario" -ForegroundColor Red
    exit 1
}

Write-Host "[INFO] Restaurando desde: $($backup.Name)" -ForegroundColor Yellow
$confirmar = Read-Host "¿Confirmar reversión? (S/N)"
if ($confirmar -ne "S") { exit 0 }

# Importar backup
reg import "$($backup.FullName)"
Write-Host "[OK] Backup importado" -ForegroundColor Green

# Eliminar claves específicas de la política (si se indica)
if ($LimpiarClaves) {
    switch ($Escenario) {
        "escritorio" {
            reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System" /f
            reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer" /f
            Write-Host "[OK] Claves de escritorio eliminadas" -ForegroundColor Green
        }
        "seguridad" {
            reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System" /v "DisableRegistryTools" /f
            Write-Host "[OK] Claves de seguridad eliminadas" -ForegroundColor Green
        }
    }
}

Write-Host "`n[✅] Reversión completada. Reinicie la sesión para aplicar cambios." -ForegroundColor Cyan

# Registrar reversión en log
"$(Get-Date -f 'yyyy-MM-dd HH:mm:ss') | REVERSIÓN | $equipo | $Escenario | $env:USERNAME" |
    Add-Content "\\servidor\backups\registro\auditoria_reversiones.log"

Windows Registry Editor Version 5.00

; ============================================================
; POLÍTICA DE ACTUALIZACIONES — TechSoluciones S.L.
; Actualizaciones automáticas controladas y programadas
; ============================================================

; ----- 1. Configuración principal de Windows Update -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoUpdate"=dword:00000000           ; 0=Actualizar (no deshabilitar), 1=Deshabilitar
"AUOptions"=dword:00000003              ; 2=Notif, 3=Auto-descargar+notif install, 4=Auto todo
"ScheduledInstallDay"=dword:00000001   ; 0=Diario, 1=Dom, 2=Lun ... 7=Sáb
"ScheduledInstallTime"=dword:00000003  ; Hora: 3 = 03:00 AM
"AutoInstallMinorUpdates"=dword:00000001 ; Instalar actualizaciones menores auto
"UseWUServer"=dword:00000001            ; Usar servidor WSUS interno (si aplica)

; ----- 2. Aplazamiento de actualizaciones de características -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"DeferFeatureUpdates"=dword:00000001   ; Aplazar actualizaciones de características
"DeferFeatureUpdatesPeriodInDays"=dword:0000001E ; 30 días de aplazamiento
"DeferQualityUpdates"=dword:00000001   ; Aplazar actualizaciones de calidad
"DeferQualityUpdatesPeriodInDays"=dword:00000007 ; 7 días (para testear)

; ----- 3. Control de reinicios -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU]
"NoAutoRebootWithLoggedOnUsers"=dword:00000001 ; ¡Sin reinicio si hay usuarios!
"RebootRelaunchTimeoutEnabled"=dword:00000001
"RebootRelaunchTimeout"=dword:000005A0 ; 1440 min (24h) para recordar reinicio
"RebootWarningTimeoutEnabled"=dword:00000001
"RebootWarningTimeout"=dword:0000001E  ; 30 minutos de aviso antes de reiniciar

; ----- 4. Servidor WSUS interno (si TechSoluciones lo usa) -----
[HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate]
"WUServer"="http://wsus.techsoluciones.local:8530"
"WUStatusServer"="http://wsus.techsoluciones.local:8530"
"TargetGroup"="PuestosProduccion"

# Verificar estado de actualizaciones en todos los equipos
# TechSoluciones S.L. — Informe mensual de cumplimiento

$equipos = Get-ADComputer -Filter 'OperatingSystem -like "*Windows*"' | 
             Select-Object -ExpandProperty Name

$informe = @()

foreach ($pc in $equipos) {
    try {
        $session = New-PSSession -ComputerName $pc -ErrorAction Stop
        $datos = Invoke-Command -Session $session -ScriptBlock {
            $wu = New-Object -ComObject Microsoft.Update.AutoUpdate
            @{
                Equipo        = $env:COMPUTERNAME
                UltimaUpdate  = (Get-HotFix | Sort-Object InstalledOn -Desc | Select-Object -First 1).InstalledOn
                PendienteRein = (Test-Path "HKLM:\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\RebootRequired")
            }
        }
        $informe += [PSCustomObject]$datos
        Remove-PSSession $session
    } catch {
        $informe += [PSCustomObject]@{ Equipo = $pc; UltimaUpdate = "ERROR"; PendienteRein = "N/A" }
    }
}

$informe | Export-Csv "\\servidor\informes\actualizaciones_$(Get-Date -f yyyyMM).csv" -NoTypeInformation
Write-Host "[✅] Informe generado para $($informe.Count) equipos" -ForegroundColor Cyan