Proteger el escritorio remoto de ataques de fuerza bruta

Cualquier servidor con escritorio remoto abierto a Internet recibe intentos de inicio de sesión de bots a los pocos minutos de encenderse. No es un ataque contra ti: prueban millones de IPs. Con estas medidas no tienen nada que hacer.

1. Una contraseña que no se pueda adivinar

Lo primero y lo que más protege: 16 caracteres o más, sin palabras de diccionario y que no uses en ningún otro sitio. Un gestor de contraseñas te la genera y te la recuerda.

2. Mira quién lo está intentando

Las IPs con más intentos fallidos de las últimas 24 horas (PowerShell como administrador):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Si ves cientos o miles de intentos, es lo normal en un puerto 3389 abierto. Lo que importa es que ninguno acierte.

3. Bloqueo tras varios fallos

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Tras 10 intentos fallidos, la cuenta afectada queda bloqueada 15 minutos. Ojo: en Windows Server 2022 la cuenta Administrator integrada no se bloquea por defecto (para que nunca te quedes fuera de tu propio servidor), así que esto protege sobre todo a los demás usuarios. Por eso la contraseña del punto 1 es lo que más cuenta.

4. Si tienes IP fija, deja entrar solo a la tuya

Es la medida más fuerte: el escritorio remoto solo responde a tu conexión.

# Cambia 198.51.100.7 por tu IP pública (búscala en cualquier web de "cuál es mi IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Si cambiaste el puerto y creaste reglas nuevas, aplícales lo mismo con Set-NetFirewallRule -DisplayName "Escritorio remoto TCP 50000" -RemoteAddress 198.51.100.7. Y si tu IP de casa cambia, te quedarás fuera: entra por la consola VNC y vuelve a abrirlo con -RemoteAddress Any.

5. Cambia el puerto

Mover el escritorio remoto a otro puerto quita la mayoría de los intentos automáticos. Te lo explicamos en cambiar el puerto del escritorio remoto.

Lo que no hay que hacer

No renombres la cuenta Administrator: el panel la usa para restablecer la contraseña.
No desactives NLA (la autenticación a nivel de red): viene activada y frena muchos ataques antes de que lleguen a la pantalla de inicio de sesión.
No compartas tu usuario: crea uno para cada persona.