SantiFP: Administración remota del sistema operativo

Administración remota del sistema operativo: Habilitar y configurar el acceso remoto seguro mediante Escritorio Remoto (RDP) o SSH, estableciendo reglas de acceso y restricciones de IP.

Objetivo:

Habilitar, configurar y asegurar los servicios de administración remota (mediante RDP en entornos Windows o SSH en entornos GNU/Linux), aplicando endurecimiento (hardening) y restricciones basadas en direcciones IP para prevenir accesos no autorizados y proteger la infraestructura frente a ciberataques.

Escenario:

Una máquina virtual o equipo físico con un sistema operativo Windows (Pro o Enterprise) o GNU/Linux.
Privilegios de administrador del sistema o superusuario necesarios para iniciar servicios de red del núcleo, modificar reglas de cortafuegos y editar ficheros de configuración de seguridad.

Instrucciones:

Opción A: Configuración y aseguramiento de RDP en entornos Windows

Habilitar Escritorio Remoto y Autenticación a Nivel de Red (NLA):
- Presiona las teclas Windows + I para abrir la Configuración, dirígete a Sistema > Escritorio remoto y activa el interruptor de Escritorio remoto.
- Asegúrate de marcar la opción de requerir autenticación a nivel de red (Network Level Authentication - NLA), lo cual obliga a los usuarios a autenticarse antes de establecer la sesión gráfica, previniendo ataques de denegación de servicio y explotación previa de la pila RDP.
Restringir el acceso RDP por IP mediante el Firewall de Windows:
- Abre una terminal de PowerShell como administrador para crear una regla de cortafuegos personalizada que permita el acceso al puerto 3389 exclusivamente desde una dirección IP o subred de confianza (por ejemplo, 192.168.1.100):
```
New-NetFirewallRule -DisplayName "RDP Seguro por IP" -Direction Inbound -Protocol TCP -LocalPort 3389 -RemoteAddress 192.168.1.100 -Action Allow
```

Opción B: Configuración y aseguramiento de SSH en entornos GNU/Linux

Abre una terminal en tu distribución Linux con privilegios de superusuario e instala el servidor OpenSSH si no está activo:
```
sudo apt update
sudo apt install openssh-server -y
sudo systemctl enable --now ssh
```
Endurecimiento del servicio SSH (Hardening):
- Edita el fichero de configuración del servidor SSH:
```
sudo nano /etc/ssh/sshd_config
```
- Modifica los parámetros clave para deshabilitar el acceso directo como root y prohibir contraseñas inseguras (forzando el uso de claves criptográficas):
```
PermitRootLogin no
PasswordAuthentication no
```
- Guarda los cambios y reinicia el servicio SSH:
```
sudo systemctl restart ssh
```
Restringir el acceso SSH por IP mediante UFW (Uncomplicated Firewall):
- Configura el cortafuegos para permitir conexiones al puerto SSH únicamente desde una IP autorizada:
```
sudo ufw allow from 192.168.1.100 to any port 22 proto tcp
sudo ufw enable
```

Verificación:

En Windows, intenta conectar al equipo mediante RDP desde una dirección IP no autorizada y comprueba que el cortafuegos bloquea la conexión de manera silenciosa.
En Linux, verifica ejecutando sudo ufw status verbose que las reglas de restricción de IP están aplicadas correctamente sobre el puerto del servicio de administración remota.

Preguntas de reflexión:

¿Por qué exponer servicios de administración remota como RDP (puerto 3389) o SSH (puerto 22) directamente a Internet sin restricciones de IP ni autenticación robusta constituye un riesgo crítico de seguridad?
¿Qué ventajas aporta habilitar la Autenticación a Nivel de Red (NLA) en las conexiones de Escritorio Remoto de Windows frente a dejar la pantalla de bienvenida expuesta públicamente?
¿Qué implicaciones de seguridad tiene desactivar la autenticación por contraseña (PasswordAuthentication no) en un servidor SSH Linux y obligar al uso exclusivo de pares de claves públicas/privadas?

Haz clic aquí para ver las soluciones y explicaciones

1. ¿Por qué es un riesgo exponer puertos de administración directamente a Internet?

Los bots automatizados y ciberdelincuentes escanean continuamente Internet en busca de puertos abiertos de administración (como el 3389 o el 22). Al no haber restricciones ni medidas defensivas, los atacantes pueden lanzar ataques masivos de fuerza bruta y de diccionario para adivinar credenciales de acceso o explotar vulnerabilidades de desbordamiento de búfer en los servicios remotos, tomando el control total del equipo.

2. ¿Qué ventajas aporta NLA en conexiones RDP?

La Autenticación a Nivel de Red (NLA) requiere que el usuario se autentique contra el servidor de dominio o la máquina local antes de que se muestre la interfaz gráfica de inicio de sesión. Esto reduce drásticamente el consumo de recursos del servidor ante conexiones anónimas y mitiga vulnerabilidades de ejecución de código remoto (RCE) que afectaban tradicionalmente a la pantalla de bienvenida sin autenticar.

3. ¿Qué implicaciones tiene obligar al uso exclusivo de claves SSH?

Las contraseñas tradicionales, por complejas que sean, son vulnerables a ataques de fuerza bruta o filtraciones por ingeniería social. Los pares de claves criptográficas (pública/privada) ofrecen una robustez matemática infinitamente superior, haciendo prácticamente imposible que un atacante suplante la identidad o acceda al servidor mediante ataques automatizados de adivinación de claves.

Páginas

Administración remota del sistema operativo