Escaneo externo: resuelve la exposición del servicio RDP

Esta es una guía práctica de endurecimiento. El objetivo es eliminar la exposición directa a Internet de TCP/3389.

Por qué la exposición de RDP es peligrosa

RDP (Remote Desktop Protocol) es el protocolo de acceso remoto de Microsoft. Normalmente escucha en el puerto TCP 3389 y es un punto de entrada de alto valor para los atacantes.

Un servicio RDP expuesto se vuelve explotable cuando:

• está afectado por una vulnerabilidad pública (por ejemplo, BlueKeep), o

• las credenciales son débiles, reutilizadas o filtradas.

Cualquiera de los dos casos suele ser suficiente para obtener acceso inicial y movimiento lateral. Exponga RDP solo en redes internas, nunca directamente en Internet.

Soluciones recomendadas

La mayoría de los servicios RDP expuestos existen por una de dos razones:

• Administración remota. En orden descendente de preferencia: implemente un Remote Desktop Gateway (RDG), implemente una VPN o endurezca el servicio RDP.

• Acceso a documentos. Prefiera Microsoft 365 y el almacenamiento de SharePoint en lugar del acceso mediante escritorio remoto.

Base mínima en todos los casos:

• Bloquee las conexiones entrantes TCP/3389 en el firewall perimetral.

• Permita RDP solo desde el rango de IP de su RD Gateway o VPN.

Opción 1: Remote Desktop Gateway (preferida)

Un Remote Desktop Gateway (RDG) es una forma más segura de الوصول a servidores RDP internos. Actúa como intermediario: solo la puerta de enlace está expuesta, a través de HTTPS (TLS) en TCP/443. Colóquelo en una DMZ existente.

Instalar el rol de puerta de enlace

Conéctese al servidor Windows que alojará la puerta de enlace y abra Administrador del servidor.

1

Desde el Administrar menú, abra Agregar roles y características.

2

En la primera pantalla del asistente, haga clic en Siguiente.

3

Seleccione Instalación basada en roles o en características, luego Siguiente.

4

Seleccione el servidor de destino, luego Siguiente.

5

Seleccione Servicios de Escritorio remoto, luego Siguiente.

6

Deje seleccionadas las características predeterminadas y continúe.

7

Omita la pantalla de información de Servicios de Escritorio remoto.

8

Seleccione el Servicio de puerta de enlace de Escritorio remoto y acepte las características requeridas cuando se le solicite.

9

Confirme la selección y continúe.

10

El asistente agrega las pestañas relacionadas automáticamente. Haga clic en Siguiente a través de las pantallas de información de Servicios de directiva de red y acceso y Servidor web (IIS), manteniendo los servicios IIS predeterminados.

11

Revise el resumen y haga clic en Instalar. Puede marcar Reiniciar automáticamente el servidor de destino si es necesario.

12

Espere a que finalice la instalación.

Configurar la puerta de enlace

1

En Administrador del servidor > Herramientas, abra la herramienta de administración de Remote Desktop Gateway.

2

Seleccione el servidor a la izquierda y luego abra Ver o modificar propiedades del certificado.

3

Instale un certificado. Prefiera un certificado emitido por una autoridad de certificación reconocida: seleccione Importar un certificado en el almacén RD Gateway Certificates (Local Computer)/Personal, luego Examinar e importar certificado.

4

Si en su lugar usa un certificado autofirmado, seleccione Crear un certificado autofirmado y haga clic en Crear e importar certificado.

5

Introduzca el nombre completo del servidor como Nombre del certificado. Luego debe exportarse un certificado autofirmado desde el servidor e importarse en cada máquina que vaya a usar la puerta de enlace. Haga clic en Aceptar para finalizar.

6

Agregue reglas de acceso. Desde el menú desplegable del servidor, abra Directivas, luego Crear nuevas directivas de autorización.

7

Se necesitan dos reglas: una regla de conexión (RD CAP) y una regla de recursos (RD RAP). Seleccione Crear una RD CAP y una RD RAP (recomendado), luego Siguiente.

8

Asigne un nombre a la regla CAP, luego Siguiente.

9

Seleccione el o los grupos de usuarios autorizados a usar la puerta de enlace, luego Siguiente.

10

Configure la redirección de dispositivos. Para endurecer la puerta de enlace, seleccione Deshabilitar la redirección de dispositivos para los siguientes tipos de dispositivos cliente y elija los que no necesite. De lo contrario, seleccione Habilitar la redirección de dispositivos para todos los dispositivos cliente, luego Siguiente.

11

Habilite la desconexión de sesión y los tiempos de espera de expiración para endurecer la puerta de enlace, luego Siguiente.

12

Revise el resumen de la CAP y luego Siguiente para configurar la regla RAP.

13

Seleccione la pertenencia al grupo de usuarios para la regla RAP, luego Siguiente. Solo se deben agregar grupos de usuarios legítimos y autorizados a través de Agregar grupo.

Idealmente, cree un grupo dedicado de Active Directory para este acceso para garantizar su legitimidad.

14

Especifique los recursos internos accesibles a través de la puerta de enlace.

Cree un grupo de dominio que contenga todos los servidores accesibles desde esta puerta de enlace y selecciónelo con la opción Seleccionar un grupo de recursos de red de Servicios de dominio de Active Directory .

15

Especifique los puertos permitidos: el predeterminado 3389, u otros si es necesario. Luego Siguiente.

16

Revise el resumen de la RAP y confirme. Una ventana final confirma tanto las reglas CAP como las RAP.

17

Asegúrese de que el servicio de la puerta de enlace esté en ejecución. En Administrador del servidor > Servicios de Escritorio remoto > Servidores > Servicios, busque Servicio de puerta de enlace de Escritorio remoto. Si está detenido, haga clic derecho sobre él y elija Iniciar servicios.

Filtrar el tráfico a los servidores internos

Los servidores internos solo deben aceptar RDP desde la puerta de enlace. Configure el firewall de Windows en cada servidor.

1

Abra el firewall de Windows, liste Reglas de entrada, y abra las propiedades de Escritorio remoto - Modo de usuario (TCP-In).

2

Vaya a la pestaña Ámbito .

3

En Dirección IP remota, permita solo las fuentes autorizadas: la dirección IP de la puerta de enlace, o 127.0.0.1 si la puerta de enlace se ejecuta en el propio servidor de destino.

Conéctese a través de la puerta de enlace

1

Abra Conexión a Escritorio remoto, vaya a la pestaña Avanzado , luego Configuración.

2

Seleccione Usar esta configuración del servidor de RD Gateway, introduzca el FQDN, marque Usar las credenciales de mi RD Gateway para el equipo remoto, y haga clic en Aceptar.

3

De vuelta en la pestaña General , introduzca el nombre o la IP del servidor interno y su nombre de usuario, luego Conectar.

4

Confirme el nombre de la puerta de enlace e introduzca la contraseña de la cuenta.

Si el certificado de la puerta de enlace no es de confianza para el cliente (algo común con certificados autofirmados o de una CA interna), aparece este mensaje:

Opción 2: Endurecer el protocolo RDP (solo temporalmente)

Estas medidas no son suficientes por sí solas y solo deben usarse temporalmente, mientras implementa una puerta de enlace o una VPN.

Base mínima temporal:

• Exija MFA para el acceso remoto (preferiblemente a través de un RD Gateway o una VPN).

• Habilite Autenticación a nivel de red (NLA) en los servidores de destino.

• Restrinja el RDP entrante a una estricta lista de IP permitidas (idealmente solo la puerta de enlace).

Restrinja el acceso de los usuarios

Cree un grupo dedicado de Active Directory para los usuarios de RDP permitidos y aplíquelo con la Consola de administración de directivas de grupo (GPMC).

Enfoque típico:

• Agregue su grupo de AD al grupo local Usuarios de Escritorio remoto mediante GPO, o

• establezca el derecho de usuario Permitir iniciar sesión a través de Servicios de Escritorio remoto.

Ejemplo usando Grupos restringidos / pertenencia a grupos locales:

Agregue los usuarios o grupos permitidos, luego haga clic en Aceptar.

Deshabilite la cuenta de invitado

Windows Server 2012 R2 incluye una cuenta de invitado habilitada de forma predeterminada. Desactívela para evitar intentos de escalada de privilegios. Ejecute compmgmt.msc para abrir Administración de equipos y deshabilitar la cuenta.

Bloquee las cuentas después de inicios de sesión fallidos

Configure una política de bloqueo de cuentas (local o, preferiblemente, de dominio mediante la Consola de administración de directivas de grupo):

• Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de bloqueo de cuentas

• Establezca Umbral de bloqueo de cuenta en 5 inicios de sesión no válidos.

• Establezca la duración del bloqueo y el contador de reinicio en 15 minutos (base típica).

Recomendamos bloquear la cuenta después de 5 intentos fallidos de inicio de sesión.

Exigir una política de contraseñas seguras

Las contraseñas seguras reducen el riesgo de ataques de fuerza bruta y de diccionario: use letras mayúsculas y minúsculas, números y caracteres especiales. Ejecute gpedit.msc para abrir el Editor de directivas de grupo local, luego vaya a Configuración del equipo > Configuración de Windows > Configuración de seguridad > Directivas de cuenta > Directiva de contraseñas.