Un servidor Windows RDP es una herramienta potente y un objetivo atractivo. Los bots escanean internet las 24 horas en busca de puertos de escritorio remoto abiertos. Estos pasos llevan unos diez minutos y eliminan la mayor parte del riesgo.
1. Cambia la configuración de la cuenta Administrator
- Establece una contraseña larga y única (16 caracteres o más).
- Crea un usuario normal con nombre propio para el trabajo diario y renombra o desactiva la cuenta Administrator integrada siempre que puedas.
- Usa un gestor de contraseñas. Nunca reutilices una contraseña de otro sitio.
2. Activa la autenticación a nivel de red
Abre System Properties, Remote y asegúrate de que "Allow connections only from computers running Remote Desktop with Network Level Authentication" esté marcada. NLA hace que el cliente se autentique antes de crear una sesión completa, lo que bloquea toda una clase de ataques.
3. Limita quién puede conectarse
El paso individual más eficaz es una regla de firewall que permita el puerto 3389 solo desde tu propia dirección IP.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowSustituye la dirección de ejemplo por la tuya y desactiva la regla amplia predeterminada "Remote Desktop - User Mode (TCP-In)". Si tu IP cambia a menudo, usa una VPN con dirección fija y permite solo esa.
4. Detén la adivinación de contraseñas
Configura una política de bloqueo de cuentas: Local Security Policy, Account Policies, Account Lockout Policy. Bloquear una cuenta durante 15 minutos tras 5 intentos fallidos hace inviables los ataques de fuerza bruta.
5. Mantén Windows actualizado
Instala las actualizaciones sin demora, especialmente las de Remote Desktop Services. Varios de los peores fallos de RDP se corrigieron en actualizaciones mensuales mucho antes de que los atacantes los usaran de forma generalizada.
6. Opcional: cambia el puerto
Sacar RDP del 3389 reduce el ruido en los registros de bots casuales, pero no detiene a un escáner decidido. Trátalo como un extra menor, nunca como sustituto de los pasos anteriores. Si lo cambias, recuerda abrir el nuevo puerto en el firewall.
7. Revisa tus registros
Abre Event Viewer, Windows Logs, Security, y busca el ID de evento 4625 (inicio de sesión fallido). Cientos de fallos desde una misma dirección significan que alguien está adivinando. Bloquea esa dirección y revisa el paso 3.
Buenos hábitos
- No navegues por la web ni abras archivos adjuntos de correo en un servidor del que dependes.
- Mantén Defender activado y actualizado.
- Desconéctate (no solo cierres la ventana) cuando termines y cierra las sesiones sin usar.
- Haz copias de seguridad de los archivos importantes fuera del servidor.