Protección RD Web Access contra fuerza bruta

Remote Desktop Web Access (RD Web Access), antes TS Web Access, proporciona un portal para RemoteApp y conexiones de Escritorio remoto. Los usuarios acceden desde él a sus aplicaciones y escritorios publicados.

Si RD Web Access está habilitado, puede observar fallos repetidos en el registro Security de Windows:

Date and time        Event ID  Task   Keywords
4/3/2017 11:55:01    4625      Logon  Audit Failure
4/3/2017 11:54:59    4625      Logon  Audit Failure
4/3/2017 11:52:45    4625      Logon  Audit Failure
4/3/2017 11:51:17    4625      Logon  Audit Failure
4/3/2017 11:43:04    4625      Logon  Audit Failure
4/3/2017 11:43:00    4625      Logon  Audit Failure

Registro Security de Windows: fallos repetidos (evento 4625).

Un fallo RD Web Access puede contener estos detalles:

An account failed to log on.

Subject:
  Security ID:         IIS APPPOOL\RDWeb
  Account Name:        RDWeb
  Account Domain:      IIS APPPOOL
  Logon ID:            0x3091c6d6

Logon Type:            3

Account For Which Logon Failed:
  Security ID:         NULL SID
  Account Name:        Administrator
  Account Domain:

Failure Information:
  Failure Reason:      Unknown user name or bad password.
  Status:              0xc000006d
  Sub Status:          0xc0000064

Process Information:
  Caller Process ID:   0x143c
  Caller Process Name: C:\Windows\System32\inetsrv\w3wp.exe

Ejemplo que muestra el grupo de aplicaciones RDWeb y el proceso de trabajo de IIS.

Los registros IIS también pueden contener solicitudes repetidas a la página de inicio de sesión:

Time      Client IP      Method URI                           Status
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200

Extractos IIS: solicitudes POST repetidas a la página de acceso de RD Web Access.

Estas solicitudes, sobre todo junto con eventos de fallo, pueden indicar un ataque a contraseñas. Una respuesta HTTP 200 por sí sola no indica si el inicio de sesión ha sido correcto o fallido.

RdpGuard ayuda a proteger RD Web Access contra fuerza bruta. Supervisa IIS y los eventos de seguridad de Windows para detectar inicios de sesión sospechosos y bloquear automáticamente las IP atacantes al alcanzar el umbral configurado.

Para Windows y Windows Server de 64 bits. Versiones de Windows compatibles.

Protección RD Web Access contra fuerza bruta

Véase también