Ataque puerto RDP

alex_el_gato escribió:En mi ordenador tengo abierto el puerto RDP para escritorio remoto de windows. A determinadas horas empiezo a recibir ataques para ver si pueden entrar. Como puedo (a parte de desactivar el servicio, que no siempre es viable) protegerlo? Tengo un usuario para iniciar sesión con contraseña pero aún así lo siguen intentando.

1) Cambia el puerto por defecto que escucha RDP:
https://support.microsoft.com/en-us/kb/306759
http://www.techrepublic.com/blog/the-en ... ws-server/

2) Configura el cliente para que utilice ese nuevo puerto:
https://support.microsoft.com/en-us/kb/304304

Tal y cómo dices supongo que tienes un usuario especifico para la conexión RDP y no sea administrador. No tendrás una seguridad máxima, pero seguramente podrás reducir el número de ataques.

También se podría realizar un listado con las IPs que intenten loguearse de manera incorrecta y bloquearlos por X tiempo.

Otra opción más drástica, sería que si tienes una IP fija y si te conectas al RDP siempre de esa IP dejarás que únicamente puedas conectarte a través de ella.

Saludos

Hola, supongo que eso valdrá para otras versiones del SO, no solo XP. En cualquier caso, no me interesa mucho cambiar el puerto de conexion del equipo cliente ya que me conecto a otros equipos donde el por defecto es 3389.

Estoy probando la conf. del firewall de kaspersky pero no doy con la solución, se supone que está configurado para que permita conexiones de una IP concreta y nada, sigue permitiendo todas las ips.

alex_el_gato escribió:Hola, supongo que eso valdrá para otras versiones del SO, no solo XP. En cualquier caso, no me interesa mucho cambiar el puerto de conexion del equipo cliente ya que me conecto a otros equipos donde el por defecto es 3389.

Estoy probando la conf. del firewall de kaspersky pero no doy con la solución, se supone que está configurado para que permita conexiones de una IP concreta y nada, sigue permitiendo todas las ips.

Si en otros SO Windows se realiza de manera similar o sin grandes modificaciones respecto a la documentación aportada.

En un equipo cliente puedes crear tantas conexiones cómo servidores RDP distintos tengas. Esos servidores RDP pueden utilizar distintos puertos; cada conexión que crees tendrá un servidor:puerto asociado.

Si, sobre algún servidor tienes control, te recomendaría cambiar el puerto (te evitarás bastantes curiosos); en los que no tengas pues tendrás que usar el que tenga ya establecido.

La configuración del cortafuegos supongo que la estarás modificando en el servidor RDP dónde sólo debe dejar que entre una IP determinada. Kaspersky no sé cómo funcionará; pero en el propio cortafuegos de Windows puedes crear reglas para que sólo conecte una IP concreta por cierto puerto.

Puedes probar a utilizar Microsoft Forefront Threat Management Gateway (TMG) aunque personalmente nunca lo he utilizado y no sé si le quedará demasiada vida cara a futuro. Parece que a día de hoy la tendencia es utilizar Microsoft Identity Manager y los servicios de Azure/Cloud o cómo quieran llamarlo.

Otra opción es, encontrar alguna utilidad similar Fail2Ban para el servidor. Creo recordar que existen scripts PowerShell que bloquean las IPs analizando los eventos del sistema, también puedes combinar Netsh con el cortafuegos de Windows.

Saludos

Como te han comentado, cambiar el puerto de escucha es fundamental, que el usuario tenga una contraseña compleja y poco más, puedes crear reglas en el firewall para poder conectarse solo desde una ip si es tu escenario y banear las demás. Si necesitas más seguridad, una VPN es la solución