Escritorio remoto (RDP) y el puerto 3389: cómo usarlo sin abrir la puerta

El escritorio remoto es muy cómodo: desde casa, o desde el despacho de un cliente, se maneja el ordenador de la oficina como si se estuviera delante. En Windows viene de serie y se llama RDP. El problema es la forma más rápida de montarlo, que es abrir su puerto en el router, porque deja ese ordenador al alcance de cualquiera en internet. Esta guía explica qué es, por qué no conviene publicarlo y cómo hacerlo bien con el cortafuegos.

Qué es RDP y el puerto 3389

RDP son las siglas en inglés de Protocolo de Escritorio Remoto. INCIBE lo describe como una de las soluciones de escritorio remoto más usadas porque viene integrada en Windows. Funciona como cliente y servidor: el equipo al que se quiere entrar hace de servidor y espera conexiones, y los demás se conectan a él.

Según Microsoft, el escritorio remoto de Windows y Windows Server escucha por defecto en el puerto 3389, y las reglas que propone para el Firewall de Windows abren ese puerto tanto en TCP como en UDP. Para usarlo desde fuera de la oficina sin VPN, explica INCIBE, hay que configurar además el router para que deje pasar esas conexiones hasta el servidor, es decir, abrir y redirigir el puerto. Es la lista de puertos más comunes que primero miran los atacantes.

Por qué no se abre a internet

INCIBE advierte de que el escritorio remoto de Windows es uno de los objetivos favoritos de los ciberdelincuentes, y que es muy frecuente usarlo para meter ransomware. Cuenta por qué lo atacan tanto:

• Hay muchísimos expuestos. Con buscadores de dispositivos conectados, como Shodan, filtrando por el puerto 3389 y por país, se ven los servidores RDP abiertos en España, e incluso capturas de su pantalla de inicio.
• El ataque se automatiza. Hay herramientas que prueban muchos usuarios y contraseñas contra muchas víctimas a la vez, y pueden usar la potencia de una botnet.
• Se prueban primero las cuentas de siempre. En el estudio de Sophos que cita INCIBE, con diez señuelos (honeypots) con RDP abierto, hubo 4,3 millones de intentos de inicio de sesión en 30 días; el primero llegó 1 minuto y 20 segundos después de publicarlos, y a las 15 horas los diez estaban atacados. Los usuarios más probados eran los de fábrica, como administrator, admin o user.

Las dos vías de entrada son la fuerza bruta contra contraseñas débiles y los fallos sin parchear del propio servicio. Una vez dentro, INCIBE enumera lo que suele venir después: ransomware, minado de criptomonedas con los recursos del equipo, robo de contraseñas y datos, o convertir el equipo en un zombi de una botnet.

La agencia de ciberseguridad de Estados Unidos, CISA, dice lo mismo en su guía contra el ransomware: no exponer en la web servicios como el escritorio remoto, limitar su uso y, si hace falta, revisar qué equipos lo usan, cerrar los puertos RDP que no se usen, bloquear las cuentas tras un número de intentos, aplicar autenticación multifactor y registrar los intentos de inicio de sesión. CISA añade que los atacantes suelen entrar por servicios remotos expuestos y mal protegidos, y luego se mueven por la red con el propio cliente de escritorio remoto de Windows.

La forma segura: VPN primero

Lo primero, dice INCIBE, es preguntarse si de verdad hace falta: si no, se desactiva el servicio. Si hace falta, la opción que, según INCIBE, ofrece más garantías es una VPN como puerta de entrada entre el usuario y el servidor RDP:

1. El usuario se conecta primero a la VPN del cortafuegos, que cifra la conexión.
2. Ya dentro de la red, abre el escritorio remoto del equipo de la oficina.

Así hay dos barreras: si alguien consiguiera entrar por la VPN, aún tendría que entrar en el escritorio remoto. Y el router ya no tiene que redirigir el 3389, porque las conexiones llegan por el túnel. El servidor VPN, recuerda INCIBE, también tiene que estar actualizado. Esto es criterio de esta web: casi todos los cortafuegos para pymes traen VPN incluida, con tecnologías como IPsec, y la diferencia frente a dar acceso a toda la red se explica en la guía de ZTNA o VPN.

Microsoft ofrece otra vía en Windows Server: la Puerta de enlace de Escritorio remoto (RD Gateway), que permite conexiones cifradas a los equipos internos desde internet sin una VPN. Como este servicio sí queda publicado, Microsoft recomienda usar en él un certificado emitido por una autoridad pública.

Las demás medidas

Con VPN o sin ella, INCIBE recomienda:

Sobre cambiar el puerto 3389 por otro, que Microsoft explica cómo hacer en el registro de Windows, INCIBE lo recomienda solo si no se usa VPN y lo llama por su nombre: seguridad por oscuridad. Dificulta los ataques automáticos que buscan el 3389, pero el servicio sigue expuesto.

Qué hace el cortafuegos

El cortafuegos es donde se decide si el escritorio remoto está al alcance de internet o no. Esto es criterio de esta web: lo correcto en una empresa pequeña es que no haya ninguna regla de entrada al 3389 desde internet, que el acceso remoto pase por la VPN del propio cortafuegos con doble factor, y que, dentro de la red, solo los equipos que lo necesitan puedan abrir escritorio remoto contra los servidores. Esto último importa porque, como avisa CISA, quien entra en un equipo usa después el escritorio remoto para saltar a los demás.

Para comprobar que no ha quedado nada abierto por un descuido o por una regla antigua del router, la guía de cómo comprobar los puertos abiertos explica cómo hacerlo desde fuera. Y si los registros del cortafuegos muestran intentos de conexión al 3389, es la señal de que alguien está probando.