¿Cómo prevenir los ataques RDP (protocolo de escritorio remoto)?

RDP se basa en los estándares de la familia de protocolos T-120 y cobró relevancia cuando Microsoft permitió a los usuarios conectarse a otras computadoras y controlarlas de forma remota a través de redes. Protege las comunicaciones de red y permite operar equipos de escritorio a distancia.

Sin embargo, RDP también presenta riesgos. Puede explotarse para obtener acceso no autorizado a los dispositivos. Desde su lanzamiento, ha habido 16 versiones principales de Windows, lo que ha dado a los atacantes numerosas oportunidades para tomar el control de RDP y acceder de forma remota a servidores y dispositivos Windows. Esta guía le mostrará cómo prevenir los ataques RDP y mantenerse protegido.

¿Qué es un ataque RDP (protocolo de escritorio remoto)?

RDP es un protocolo de comunicación desarrollado por Microsoft que permite controlar dispositivos de escritorio de forma remota (o cualquier dispositivo con un sistema operativo de Microsoft). Las conexiones de escritorio remoto utilizan el puerto 3389 de TCP (protocolo de control de transmisión), el principal punto de conexión remota. Cuando los atacantes comprometen sus canales cifrados y toman el control, se produce un ataque al protocolo de escritorio remoto.

Así funcionan, en términos generales, los ataques RDP:

• Los atacantes comienzan por analizar su puerto RDP. Si hay dispositivos activos conectados a él, pueden servir como punto de entrada a su red. El atacante puede acceder a la red mediante un ataque de fuerza bruta a través de este puerto y aprovechar el gran volumen de conexiones RDP.
• Tras lograr el acceso inicial, el atacante analiza redes enteras y sus subredes para ampliar su infiltración. Puede utilizar conexiones de Windows Management Instrumentation™ para llegar a múltiples endpoints en entornos de computación distribuida, o recurrir a llamadas a procedimientos remotos para lanzar diversos ataques.
• Cuando un dispositivo queda comprometido, el atacante toma el control. Mediante la interfaz de comando y control, envía comandos a otros endpoints y redes de la infraestructura. Puede utilizar el equipo comprometido para crear nuevas conexiones RDP a puertos no estándar.
• En esta etapa, el atacante puede desplazarse lateralmente por las redes y penetrar más a fondo en su empresa. Puede obtener privilegios adicionales, extraer datos confidenciales y tomar el control de recursos de alto valor. También puede eludir la detección de las herramientas de seguridad más recientes de la organización.

¿Cómo explotan los ciberdelincuentes RDP?

Los ataques RDP se dirigen especialmente a equipos de trabajo distribuidos y contratistas externos. Tomar el control de recursos informáticos de alto rendimiento resulta valioso, y RDP puede dar mayor visibilidad para acceder a servidores y sesiones de Windows.

El RDP tradicional no incluía las medidas de seguridad y privacidad actuales. Bastaba con un nombre de usuario y una contraseña para autenticarse. RDP no incluía autenticación multifactor de forma predeterminada.

¿Cómo detectar accesos RDP no autorizados?

Siga estos pasos para detectar accesos RDP no autorizados:

• Revise los registros de RDP para detectar comportamientos inusuales o actividades maliciosas. Busque intentos fallidos de inicio de sesión, inicios de sesión frecuentes y accesos desde direcciones IP desconocidas. Estos intentos indican que alguien ha tratado de acceder al sistema.
• Examine y analice el tráfico de red con herramientas de monitoreo como SentinelOne. Busque anomalías y patrones de tráfico inusuales, y compruebe si se envían o reciben grandes volúmenes de datos desde direcciones IP específicas.
• Si algo va mal, la actividad del puerto 3389 puede aumentar bruscamente. Registre y monitoree el tráfico de red, y analícelo para identificar intentos de acceso no deseados.

Prácticas recomendadas para prevenir ataques RDP (más de 10)

Siga estas prácticas en orden. Al aplicarlas, sabrá cómo prevenir los ataques RDP:

• Cree contraseñas muy seguras combinando caracteres especiales, números, letras y símbolos. Recomendamos una longitud mínima de 15 caracteres. Use contraseñas diferentes y no reutilice la misma en todas las cuentas. Si le cuesta recordarlas y llevar un registro, utilice un gestor de contraseñas.
• Aplique automáticamente las actualizaciones de Microsoft a todas las versiones de su software cliente y de servidor. Compruebe que la opción esté activada y que las actualizaciones se instalen en segundo plano, sin intervención manual. Priorice también la corrección de vulnerabilidades RDP para las que se conocen exploits públicos.
• Implemente la autenticación multifactor y aplique las políticas más recientes de bloqueo de cuentas para combatir los ataques de fuerza bruta. También debe cambiar el puerto RDP predeterminado, 3389, por otro para reforzar la seguridad.
• Utilice listas de permitidos para limitar las conexiones a hosts de confianza específicos. Recomendamos restringir el acceso al puerto de escritorio remoto a direcciones IP seleccionadas y verificadas. Si modifica la configuración del servidor, este rechazará los intentos de conexión procedentes de direcciones IP que no figuren en la lista de permitidos. Así bloqueará automáticamente los intentos y procesos maliciosos.
• Establezca una arquitectura de seguridad de red de confianza cero (ZTNA) y aplique el principio de acceso con privilegios mínimos a todas las cuentas. Es fundamental realizar comprobaciones periódicas y mantener protegidos todos los puertos RDP.
• Restrinja el acceso a las conexiones RDP mediante firewalls. Añada también el conjunto de direcciones de la red privada virtual de la empresa a las reglas de excepción del firewall de RDP. Active la autenticación a nivel de red antes de establecer nuevas conexiones RDP.
• Configure los servidores de escritorio remoto para que acepten conexiones sin NLA si utiliza clientes de escritorio remoto en plataformas que no la admiten. Revise la configuración de las políticas de grupo y exija la autenticación de usuarios para todas las conexiones remotas.
• También puede configurar políticas de bloqueo de cuentas. Tras un número determinado de intentos fallidos, impedirán que los atacantes obtengan acceso no autorizado mediante herramientas automatizadas de adivinación de contraseñas. Puede establecer un máximo de tres intentos fallidos y bloqueos de tres minutos cada uno.
• Utilice herramientas avanzadas de detección de amenazas con IA y protección antimalware. Configure análisis en segundo plano y monitoreo de seguridad de endpoints para supervisar continuamente dispositivos, redes y usuarios. Esto contribuye a prevenir ataques internos y asociados al uso de tecnologías no autorizadas, y añade otra capa de protección.
• Capacite a sus empleados para reconocer conexiones RDP fallidas e intentos de acceso. Anímelos a comunicar lo que detecten de forma anónima si es necesario y fomente una cultura de transparencia en el trabajo. Si sus empleados participan activamente, todo el equipo estará alineado. Todos sus departamentos deben saber cómo prevenir los ataques RDP y conocer los pasos que siguen los atacantes para ampliar su control y elevar sus privilegios. La seguridad comienza por proteger a quienes utilizan estas tecnologías, antes de recurrir a herramientas de automatización y flujos de trabajo para la defensa.

¿Cómo responder a un ataque RDP?

Utilice SentinelOne Singularity XDR Platform para automatizar la investigación de incidentes y aplicar las prácticas recomendadas de los procedimientos de respuesta a ataques RDP. Así agilizará la respuesta de su equipo SOC. Si sufre un ataque RDP, siga estos pasos:

• Bloquee al usuario comprometido y la dirección IP del atacante en cuanto los detecte. Así contendrá la amenaza y facilitará su aislamiento. Inicie una investigación ASN y examine las actividades del usuario. Utilice el módulo XSOAR de SentinelOne para detectar campañas relacionadas con RDP.
• Singularity Threat Intelligence y Purple AI le ofrecen información procesable más detallada sobre la dirección IP del atacante. Aísle los endpoints comprometidos y consulte las actividades según las distintas etapas de MITRE.  SentinelOne le acompaña durante el enriquecimiento, la investigación y la respuesta. Puede cerrar el incidente, actualizarlo y sincronizarlo con XDR. Desde el panel y la consola unificados, podrá consultar toda la información sobre los entornos de gestión de usuarios internos y externos.
• Si desea realizar una investigación exhaustiva, puede recurrir a los servicios de búsqueda de amenazas de SentinelOne. Estos revelarán otros IoCs (indicadores de compromiso) relacionados con la IP del atacante o sus campañas.
• Siga utilizando la plataforma de SentinelOne para defenderse de los ataques de fuerza bruta contra RDP y proteger los activos críticos de su organización. Aplique las mejores medidas de ciberseguridad y refuerce sus defensas en la nube frente a las amenazas emergentes.

Ejemplos reales de ciberataques basados en RDP

El puerto predeterminado 3389 de RDP puede utilizarse para lanzar ataques de intermediario. BlueKeep fue una de las vulnerabilidades de RDP más graves y recibió oficialmente la designación CVE-2019-0708. Era una vulnerabilidad de ejecución remota de código (RCE) que no requería autenticación y se ajustaba a un formato específico. Era explotable y terminó propagándose a otros equipos de la red. Los usuarios no podían hacer nada y los atacantes habían comprometido sistemas mediante accesos no autorizados, desplazándose lateralmente por la red durante el proceso. Habían escalado privilegios e instalado malware, e incluso desplegado ransomware.

Los atacantes pueden identificar rápidamente puertos RDP mal configurados y lanzar ataques con rastreadores web como Shodan. Pueden iniciar ataques de fuerza bruta, obtener acceso no autorizado automáticamente e incluso lanzar ataques de intermediario (MitM). Módulos de malware como Sodinokibi, GandCrab y Ryuk también pueden intervenir en ataques RDP, como ocurrió con el ataque de ransomware RobinHood que sufrió la ciudad de Baltimore.

Mitigue los ataques RDP con SentinelOne

SentinelOne bloquea las conexiones del protocolo de escritorio remoto, incluidos los ataques sospechosos de escritorio remoto P2P. Mediante sus capacidades de seguridad de endpoints, protege el acceso remoto a la shell remota completa. Implemente el agente de SentinelOne y monitoree todas las aplicaciones y archivos, incluidos los procesos y conexiones relacionados con RDP.

SentinelOne puede implementar automáticamente el acceso remoto en todos los dispositivos, incluidos los relacionados con RDP.

También puede usar SentinelOne para realizar acciones como poner archivos en cuarentena y revertir cambios no autorizados. Detecta y bloquea ataques RDP de igual a igual (P2P) que usan herramientas comerciales como TeamViewer o VMC para el control remoto.

También puede detectar y protegerse contra vulnerabilidades recientes, como BlueKey, conocida por atacar y explotar conexiones RDP. SentinelOne incorpora medidas de seguridad adicionales, como controles de acceso basados en políticas. Usa contraseñas específicas para cifrar cada sesión e implementa autenticación multifactor.

Puede exigir autenticación de dos factores antes de conceder acceso y ofrece datos de auditoría detallados.

SentinelOne también puede implementar el acceso remoto en todos los dispositivos, incluidos los procesos y las conexiones relacionados con RDP.

El agente y la herramienta de línea de comandos de SentinelOne gestionan sus agentes. Pueden comprobar su estado, ejecutar diagnósticos y supervisar y proteger los endpoints. SentinelOne también se integra con plataformas como SonicWall y NinjaOne mediante su aplicación dedicada. Garantiza conexiones RDP fluidas entre múltiples plataformas y ofrece la mejor seguridad integrada con IA.

Programe una demo gratuita en vivo.

Conclusión y llamada a la acción

Los ataques mediante RDP siguen siendo una amenaza para organizaciones de cualquier tamaño. Defiéndase de ellos siguiendo las prácticas de esta guía. Para mantener la seguridad, necesita contraseñas seguras, autenticación multifactor y actualizaciones periódicas. Detecte a tiempo la actividad sospechosa supervisando el tráfico de red y los registros de RDP. Desactive RDP cuando no lo utilice y limite el acceso mediante firewalls y listas de permitidos. También necesita herramientas avanzadas y formación para los empleados a fin de mantener una postura de defensa sólida. SentinelOne ofrece protección con IA que detecta y bloquea automáticamente las amenazas basadas en RDP, con visibilidad y control totales de su entorno de escritorio remoto.

Proteja su empresa hoy con SentinelOne.

"