RDP expuesto a Internet: riesgos y cómo dar soporte remoto seguro
Aperio Security · Actualizada el
Exponer el escritorio remoto de Windows (RDP, puerto 3389) directamente a Internet es una de las formas más comunes en que los atacantes entran a una empresa: el puerto se encuentra en minutos con escaneos automáticos y luego se ataca con contraseñas robadas o adivinadas. Lo seguro es no publicarlo y dar el soporte remoto por un canal cifrado que no requiera abrir puertos.
Por qué es tan riesgoso
- Lo encuentran rápido. Existen escaneos permanentes de todo Internet que catalogan los equipos con RDP abierto.
- Ataques de contraseña. Una vez encontrado, recibe intentos de acceso automáticos con contraseñas comunes o filtradas.
- Vulnerabilidades del servicio. RDP ha tenido fallas graves que permiten ejecución remota sin autenticación, como la conocida BlueKeep (CVE-2019-0708) en versiones antiguas de Windows.
- Acceso con privilegios. Quien entra por RDP suele llegar con una sesión interactiva desde la cual moverse al resto de la red. Ver movimiento lateral.
Las agencias de ciberseguridad, como CISA en Estados Unidos, señalan de forma constante el RDP expuesto como uno de los vectores de entrada iniciales del ransomware.
Cómo saber si lo tienes abierto
- Revisa las reglas de reenvío de puertos (NAT) del firewall o router de cada sede: busca 3389 o cualquier puerto externo redirigido a 3389 interno.
- Revisa los grupos de seguridad de tus máquinas virtuales en la nube: es común que un servidor de pruebas haya quedado con RDP abierto a cualquier origen.
- Cambiar el puerto a otro número no lo oculta: los escaneos detectan el servicio, no solo el número de puerto.
Si no puedes quitarlo hoy
- Limita el origen a direcciones IP conocidas.
- Exige autenticación a nivel de red (NLA) y contraseñas largas, y bloquea cuentas tras intentos fallidos.
- Agrega autenticación multifactor.
- Mantén Windows al día y revisa los registros de inicio de sesión.
Son medidas temporales: el objetivo sigue siendo no publicarlo.
Soporte remoto sin puertos abiertos
La alternativa es que el equipo que se administra inicie una conexión cifrada hacia afuera, hacia una red privada o una malla, y que el soporte se conecte por ahí. Así no hay ningún puerto escuchando en Internet. Vale la pena exigir además:
- Roles dedicados: no todo el que da soporte necesita llegar a todos los equipos.
- Trazabilidad: quién se conectó, a qué equipo, cuándo.
- Cifrado de extremo a extremo entre quien da soporte y el equipo.
Cómo lo hace Aperio
Aperio Security incluye terminal y escritorio remoto que viajan por la malla cifrada WireGuard, con roles dedicados y trazabilidad, sin VPN heredada y con cero puertos abiertos en Internet. El acceso de soporte queda limitado por la misma política de círculos que protege el resto de la red, y está incluido en el producto, sin licencia aparte.
Preguntas frecuentes
¿Cambiar el puerto 3389 por otro es suficiente?
No. Los escáneres identifican el servicio de escritorio remoto en cualquier puerto. Cambiarlo reduce algo del ruido, pero no protege contra un atacante dirigido.
¿Una VPN resuelve el riesgo de RDP?
Quita el puerto de Internet, que es lo más importante, pero si la VPN da acceso a toda la red, una credencial robada sigue llegando a todos los equipos. Lo ideal es acceso por equipo y por rol.
¿Cómo cierro el puerto 3389?
Elimina la regla de reenvío de puertos en el firewall o router que lo publica y, en la nube, quita la regla de entrada del grupo de seguridad. Antes, asegúrate de tener otra forma de acceso para soporte.