1. Introducción y Propósito de Seguridad
El Símbolo del Sistema (CMD) es una de las herramientas de consola más potentes en los sistemas operativos Windows. Aunque es indispensable para administradores y técnicos de soporte, en entornos compartidos, aulas de clase, quioscos digitales o equipos corporativos, mantener el CMD accesible para cualquier usuario estándar representa un riesgo de seguridad considerable.
Deshabilitar la consola de comandos previene que usuarios no autorizados ejecuten scripts maliciosos, alteren la configuración de red, ejecuten comandos de reconocimiento local o intenten elevar privilegios dentro del sistema.
| 📌 NOTA IMPORTANTE DE COMPATIBILIDAD Nota sobre la edición de Windows 11: El Editor de Directivas de Grupo Local (gpedit.msc) viene integrado nativamente en las versiones Windows 11 Pro, Enterprise y Education. Si utilizas Windows 11 Home, requerirás habilitar el editor de directivas previamente o realizar el ajuste a través del Registro de Windows (Regedit). |
2. Requisitos Previos
- Permisos: Cuenta de usuario con permisos de Administrador en el equipo.
- Sistema Operativo: Windows 11 Pro, Enterprise o Education (o Windows 11 Home con gpedit activado).
- Resguardo: Crear un punto de restauración del sistema (recomendado antes de modificar directivas locales).
3. Paso a Paso: Deshabilitar el CMD en Windows 11
Paso 1: Abrir el Editor de Directivas de Grupo Local
Para acceder a la consola de administración de políticas de grupo, sigue estos sencillos pasos:
- 1. Presiona la combinación de teclas Win + R en tu teclado para abrir la ventana Ejecutar.
- 2. Escribe gpedit.msc y presiona Enter o haz clic en Aceptar.
- 3. Si el Control de Cuentas de Usuario (UAC) lo solicita, confirma los permisos haciendo clic en ‘Sí’.
Paso 2: Navegar hasta la ruta de la directiva
En el panel lateral izquierdo del Editor de directivas de grupo local, expande las carpetas siguiendo esta ruta exacta:
Ruta: Configuración del usuario ➔ Plantillas administrativas ➔ Sistema
Paso 3: Configurar la directiva de restricción
- 1. En el panel derecho, busca la directiva llamada ‘Impedir el acceso al símbolo del sistema’.
- 2. Haz doble clic sobre ella (o clic derecho ➔ Editar) para abrir la ventana de configuración.
- 3. Selecciona la opción Habilitada en la parte superior izquierda.
- 4. En la sección de Opciones (panel inferior), ubica el desplegable ‘¿Desea desactivar también la ejecución de scripts del símbolo del sistema?’:
- • Selecciona ‘Sí’ si deseas bloquear tanto la consola interactiva como la ejecución de archivos bat o cmd.
- • Selecciona ‘No’ si únicamente deseas bloquear la interfaz interactiva pero permitir la ejecución de scripts del sistema.
- 5. Haz clic en Aplicar y luego en Aceptar.
| 🔒 RECOMENDACIÓN DE SEGURIDAD Si eliges ‘Sí’ en la opción de desactivar la ejecución de scripts, ningún archivo con extensión .bat o .cmd podrá ejecutarse en la sesión del usuario. Esta es la opción recomendada para un hardening (fortalecimiento) completo. |
4. Verificación del Bloqueo
Una vez aplicada la directiva, el cambio tiene efecto inmediato para la sesión de usuario:
- 1. Presiona Win + R, escribe cmd y presiona Enter.
- 2. Se abrirá la ventana de la consola de comandos, pero mostrará inmediatamente el siguiente mensaje del sistema:
Mensaje en pantalla: «El símbolo del sistema ha sido deshabilitado por el administrador. Presione una tecla para continuar…»
- 3. Al presionar cualquier tecla, la ventana del CMD se cerrará automáticamente, impidiendo cualquier interacción o comando.
5. Cómo Revertir los Cambios (Habilitar el CMD nuevamente)
Si necesitas restaurar el acceso al Símbolo del Sistema en el futuro:
- 1. Vuelve a abrir gpedit.msc.
- 2. Regresa a: Configuración del usuario ➔ Plantillas administrativas ➔ Sistema.
- 3. Abre la directiva ‘Impedir el acceso al símbolo del sistema’.
- 4. Cambia el estado a No configurada o Deshabilitada.
- 5. Haz clic en Aplicar y Aceptar. El acceso al CMD quedará restaurado al instante.
