RDP (Remote Desktop Protocol) es el protocolo de Microsoft para conectarse por red al escritorio gráfico de un equipo Windows, por defecto a través del puerto TCP 3389.
Cómo funciona RDP
RDP permite a administradores y empleados trabajar en un equipo remoto como si estuvieran delante: el servidor envía la imagen de la pantalla y el cliente las pulsaciones del teclado y los movimientos del ratón. Viene integrado en Windows y se usa mucho para administrar servidores, teletrabajar y dar soporte. Las versiones modernas cifran el tráfico con TLS y admiten Network Level Authentication (NLA), que exige autenticarse antes de crear una sesión completa.
Por qué RDP es un vector de ataque importante
Cientos de miles de servidores RDP están accesibles directamente desde internet, muchos protegidos solo con una contraseña. Esto convierte a RDP en uno de los vectores de ataque de acceso inicial más comunes para el ransomware:
- Fuerza bruta y password spraying: los bots prueban sin parar contraseñas comunes contra RDP expuesto; véase fuerza bruta.
- Credenciales robadas: los brókeres de acceso inicial venden accesos RDP funcionales en foros criminales.
- Vulnerabilidades: BlueKeep (CVE-2019-0708) fue un fallo «wormable» de ejecución remota de código sin autenticación en versiones antiguas de Windows.
Dentro de la red, los atacantes también usan RDP para el movimiento lateral con credenciales de administrador robadas, porque las sesiones RDP parecen administración normal.
Cómo proteger RDP
- No exponer nunca RDP directamente a internet; colocarlo tras una VPN o un RD Gateway con MFA.
- Activar NLA, políticas de bloqueo de cuentas y contraseñas robustas y únicas.
- Restringir qué usuarios y direcciones de origen pueden conectarse y desactivar RDP donde no haga falta.
- Parchear Windows a tiempo y vigilar en los registros los inicios de sesión fallidos en masa y las conexiones RDP inusuales.
