¿Por qué ocurre esto?

El servicio de Escritorio Remoto (RDP, puerto 3389) es uno de los blancos más frecuentes de ataques automatizados de fuerza bruta en internet. Al ser Windows una plataforma globalmente extendida, miles de bots escanean de forma incesante direcciones IP en busca de este puerto abierto. Debido a que Windows no implementa de forma nativa bloqueos ante intentos fallidos ni restricciones de origen, el servicio queda completamente expuesto, permitiendo que sistemas automatizados intenten descifrar contraseñas de manera continua hasta comprometer la seguridad del servidor o saturar sus recursos.

Síntomas y comportamientos detectables en el servidor

Si tu servidor Windows tiene el acceso RDP expuesto sin protecciones perimetrales, es muy probable que experimentes o percibas alguno de los siguientes comportamientos:

• Lentitud o degradación del rendimiento: Procesos del sistema (como lsass.exe o svchost.exe) que consumen un alto porcentaje de CPU o memoria RAM debido a la carga constante de procesar peticiones de autenticación fallidas.

• Bloqueo involuntario de cuentas de usuario: Si tienes directivas de bloqueo de cuenta activadas, los usuarios legítimos pueden quedarse sin acceso debido a que los atacantes están intentando adivinar contraseñas usando los mismos nombres de usuario (ej. Administrador, Admin, Soporte).

• Gran acumulación de eventos de auditoría (ID 4625): Al revisar el Visor de Eventos de Windows, se observan cientos o miles de registros de inicio de sesión fallido por hora, procedentes de direcciones IP desconocidas o internacionales.

Estrategias recomendadas de mitigación

Para contrarrestar este comportamiento nativo de Windows y mitigar los riesgos de intrusión o denegación de servicio, recomendamos aplicar las siguientes medidas de seguridad de forma progresiva.

Modificar el puerto estándar

Los bots y scripts maliciosos en internet están programados generalmente para buscar y atacar los puertos mas conocidos en Internet (como es el 3389 que ocupa RDP). Al cambiar el puerto de Escritorio Remoto a uno personalizado (recomendamos un puerto alto aleatorio), el servidor puede pasar inadvertido para muhcos de los escaneos automatizados genéricos. Esto elimina de golpe el ruido constante de intentos de acceso en los registros del sistema.

Link

Deshabilitar el usuario Administrador

En cualquier ataque de fuerza bruta, si mantienes el usuario por defecto de Windows, el atacante ya conoce el 50% de la ecuación: el nombre de usuario. Siempre intentarán ingresar utilizando cuentas estándar como Administrador, Administrator o Admin.

Deshabilitar la cuenta nativa de Administrador (y crear en su lugar un usuario personalizado con privilegios de administrador para el uso diario) disminuye exponencialmente las posibilidades de un acceso ilegítimo. Esta solución vuelve mas seguro a tu acceso, pero no elimina los problemas de performance que puedas estar experimentando si bien puede mitigarlos.

Link

Restricción de origen en el Firewall

En los servicios VPS Cloud, el firewall del área de clientes permite conexiones desde cualquier dirección IP de internet (0.0.0.0/0). La medida de protección más rápida y efectiva consiste en delimitar quién puede conectarse. Si tu oficina o proveedor de internet te proporciona una IP pública estática, configura la regla del Firewall de Windows para admitir únicamente esa dirección IP. Al aplicar esta restricción, cualquier intento de conexión realizado desde una dirección IP no autorizada será descartado automáticamente antes de alcanzar el sistema de autenticación del servidor, haciéndolo mas seguro y optimizando su uso de recursos.

Link

Implementación de Red Privada Virtual (VPN)

Para escenarios donde los usuarios trabajan desde ubicaciones variables (teletrabajo, redes del hogar o conexiones móviles) o te conectas desde una IP Dinámica, restringir IP fijas puede no ser viable. En estos casos, la mejor práctica arquitectura de seguridad es implementar un servicio VPN, ya que establece una doble capa de seguridad: los ingresos deben realizarse primero a la VPN y luego al servicio de escritorio remoto. Además protege todos los puertos del VPS que deliberadamente no configures en el área de clientes. Si tienes conocimientos técnicos puedes instalar una tu mismo dentro del servidor o puedes optar por contactarte con nuestro departamento comercial para una solución administrada por Netuy.

Monitoreo y Bloqueo de Intentos Fallidos

Los eventos fallidos y su IP de origen pueden verse en el visor de eventos de Windows. Si tienes conocimiento de sistemas, puedes utilizar Powershell para listar las IP's que han tenido intentos fallidos y confeccionar una lista para bloquearlas en el firewall del sistema operativo:

Obtener la última IP que falló un login desde el Visor de Eventos:

$result = Get-WinEvent -FilterHashtable @{LogName='Security';ID=4625} -MaxEvents 1 | ForEach-Object {
    $eventXml = ([xml]$_.ToXml()).Event
    [PsCustomObject]@{
        IpAddress = ($eventXml.EventData.Data | Where-Object { $_.Name -eq 'IpAddress' }).'#text'
    }
}
$result.IpAddress`

Bloquear la IP obtenida anteriormente:

New-NetFirewallRule -DisplayName ${RULE_NAME} -Description '${RULE_DESCRIPTION}' -Direction Inbound -Action Block -Profile Any -RemoteAddress $result.IpAddress

Lo anterior es solo un ejemplo para el bloqueo manual de IPs a través de PS, pero debería servir como un punto de partida para la creación de un script que automáticamente bloquee IPs atacantes.