RDP sin exponer credenciales: RCG y Restricted Admin

Una conexión de Escritorio remoto normal envía tus credenciales al servidor para que pueda iniciar tu sesión y actuar en tu nombre. Eso es lo que permite el inicio de sesión único en los recursos compartidos desde dentro de la sesión. También significa que un administrador que se conecta a un servidor comprometido deja credenciales reutilizables en el LSASS de ese servidor: un hash NTLM, tickets y claves de Kerberos. Para un atacante que ya es administrador local de un servidor miembro, esperar un inicio de sesión RDP privilegiado es una de las formas más fiables de escalar.

Dos características cambian esto. El modo Restricted Admin inicia tu sesión sin enviar ninguna credencial reutilizable. Remote Credential Guard mantiene las credenciales en tu cliente y redirige hacia él las solicitudes Kerberos. Esta guía muestra cómo habilitarlos en ambos extremos, forzar su uso y comprobar que realmente están en vigor. Para la parte de transporte de RDP (NLA, TLS, quién puede conectarse, exposición de puertos), consulta endurecimiento de RDP.

Comparación de los modos

Remote Credential Guard es la mejor opción predeterminada para los administradores. Restricted Admin es la alternativa cuando Kerberos no está disponible o el cliente y el servidor no están en dominios con relación de confianza.

Ambas características complementan bien a Credential Guard en el servidor. Credential Guard dificulta extraer secretos de LSASS; estos modos hacen que los secretos nunca lleguen allí.

Paso 1: permitir los modos en los servidores

Ambos modos están deshabilitados en el destino de forma predeterminada. El valor en cuestión es:

Key:   HKLM\SYSTEM\CurrentControlSet\Control\Lsa
Value: DisableRestrictedAdmin  (REG_DWORD) = 0

Establecerlo en 0 permite las conexiones entrantes de Restricted Admin y Remote Credential Guard. Por directiva de grupo, usa Computer Configuration > Policies > Administrative Templates > System > Credentials Delegation > Remote host allows delegation of non-exportable credentials establecido en Enabled en todos los servidores y destinos de administración. Escribe AllowProtectedCreds = 1 en HKLM\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation y tiene el mismo efecto para las conexiones entrantes.

Despliégalo con la misma GPO que uses para endurecer los servidores miembro e incluye los jump hosts. En el servidor no tiene inconvenientes: un cliente que no solicite estos modos se sigue conectando con normalidad.

Paso 2: exigir los modos en los clientes de administración

Permitirlos no basta: es el cliente quien decide qué modo solicita. En las estaciones de trabajo de acceso privilegiado y los jump hosts de administración, establece Computer Configuration > Policies > Administrative Templates > System > Credentials Delegation > Restrict delegation of credentials to remote servers en Enabled y elige un modo:

La directiva escribe RestrictedRemoteAdministration = 1 y un valor RestrictedRemoteAdministrationType en HKLM\SOFTWARE\Policies\Microsoft\Windows\CredentialsDelegation. Restrict Credential Delegation es la opción práctica durante el despliegue: los administradores nunca se conectan en modo predeterminado y los servidores que solo admiten Restricted Admin siguen funcionando. Cuando todos los servidores admitan Remote Credential Guard, pasa a Require Remote Credential Guard.

En Intune, busca Credentials Delegation en el catálogo de configuración; allí aparecen tanto la configuración del cliente como la del servidor, como directivas basadas en ADMX.

Cada administrador también puede solicitar un modo por conexión, lo que resulta útil para las pruebas:

mstsc.exe /remoteGuard /v:srv-app01.corp.example
mstsc.exe /restrictedAdmin /v:srv-app01.corp.example

Paso 3: comprobar los requisitos previos de Remote Credential Guard

Remote Credential Guard falla con errores que parecen errores genéricos de RDP. Las causas habituales:

• El cliente no puede llegar a un controlador de dominio. Las solicitudes Kerberos se redirigen al cliente, que necesita entonces visibilidad de un DC. Los administradores conectados a una VPN que no enruta hacia los DC fallarán.
• El destino se indica por IP. Kerberos necesita un nombre de entidad de seguridad de servicio (SPN); conéctate por nombre DNS.
• Credenciales guardadas. Remote Credential Guard acepta las credenciales de la sesión iniciada o las escritas en el aviso, pero no las guardadas en Credential Manager. Iniciar sesión en la PAW con la cuenta de administración de ese nivel sigue siendo el diseño más limpio del modelo por niveles.
• Confianza. El cliente y el servidor deben estar en el mismo dominio o en dominios con una relación de confianza.
• Tipo de unión y ruta del destino. El destino debe estar unido a Active Directory; Remote Credential Guard no se puede usar hacia destinos unidos a Microsoft Entra (un cliente unido a Entra puede conectarse a un host unido a AD si puede obtener tickets Kerberos). Solo funciona en conexiones directas, no a través de Remote Desktop Connection Broker ni de Remote Desktop Gateway.
• Aplicación cliente. Requiere el cliente de Escritorio remoto de Windows (mstsc.exe); la aplicación UWP de Escritorio remoto no lo admite.

Paso 4: reducir el riesgo de Restricted Admin

Restricted Admin tiene una contrapartida conocida: inicia sesión con una autenticación de tipo red, así que el hash NTLM de un administrador basta para abrir una sesión RDP en un servidor que lo permita. Es la técnica de "pass-the-hash por RDP". Mitígala con controles que ya deberías tener:

• Pon las cuentas de administración humanas en Protected Users, que les rechaza NTLM. Consulta modelo por niveles y Protected Users.
• Usa los derechos Deny log on through Remote Desktop Services del modelo por niveles para que cada cuenta de administración solo pueda llegar a su propio nivel.
• Prefiere Require Remote Credential Guard en cuanto tus servidores lo admitan, porque exige Kerberos.

Paso 5: eliminar las demás vías de delegación de credenciales

El nodo de directiva Credentials Delegation también controla CredSSP, que por diseño delega credenciales reutilizables. Revisa estas configuraciones en los clientes:

• Allow delegating default credentials, Allow delegating saved credentials y Allow delegating fresh credentials: déjalas sin configurar salvo que un servicio concreto las necesite y, en ese caso, limita al máximo la lista de servidores (por ejemplo TERMSRV/rds-farm.corp.example, nunca TERMSRV/* ni *).
• Encryption Oracle Remediation: mantenla en Force Updated Clients para rechazar los extremos CredSSP sin revisiones.

Habilita también Do not allow passwords to be saved en Administrative Templates > Windows Components > Remote Desktop Services > Remote Desktop Connection Client, para que los administradores no guarden contraseñas RDP en Credential Manager. La guía de inicios de sesión en caché y WDigest cubre el resto de la configuración de credenciales almacenadas.

Qué se rompe

• El acceso de doble salto con Restricted Admin. Los recursos compartidos, SQL y demás recursos se alcanzan como la cuenta de equipo del servidor. Los scripts que esperan ejecutarse como el administrador fallan o, peor aún, funcionan con los permisos del servidor.
• Las credenciales RDP guardadas y las conexiones a través de RD Gateway o Connection Broker, con Require Remote Credential Guard.
• Las conexiones por dirección IP o a través de VPN sin acceso a los DC, con Remote Credential Guard.
• Los usuarios RDP que no son administradores, con Restricted Admin, porque el modo exige ser administrador local en el destino.
• Algunos clientes RDP y gestores de conexiones de terceros que no implementan estos modos. Prueba tus herramientas, incluidas las pasarelas basadas en navegador.

Verificarlo

1. En el servidor. El evento de seguridad 4624 con Logon Type 10 (RemoteInteractive) incluye un campo Restricted Admin Mode y, en las compilaciones actuales, un campo Remote Credential Guard. Para las cuentas privilegiadas, uno de los dos debería indicar Yes.
2. Dentro de la sesión. Ejecuta klist. Con Remote Credential Guard sigues obteniendo tickets de servicio para los recursos de red con tu identidad; con Restricted Admin, el acceso a la red se hace como la cuenta de equipo.
3. Deriva de configuración. Comprueba DisableRestrictedAdmin en los servidores y RestrictedRemoteAdministrationType en los clientes de administración con un script de cumplimiento.

Get-WinEvent -FilterHashtable @{LogName="Security"; Id=4624} -MaxEvents 200 |
  Where-Object { $_.Properties[8].Value -eq 10 } |
  Select-Object TimeCreated, @{n="User";e={$_.Properties[5].Value}}, Message -First 20

Busca cuentas privilegiadas con Restricted Admin Mode: No y Remote Credential Guard: No. Son las conexiones que dejaron credenciales atrás.

Lista de comprobación

• DisableRestrictedAdmin = 0 (o "Remote host allows delegation of non-exportable credentials") en todos los servidores
• PAW y jump hosts en Restrict Credential Delegation y después en Require Remote Credential Guard
• Los administradores inician sesión en la PAW con la cuenta de administración del nivel y se conectan por nombre DNS
• Cuentas de administración en Protected Users para cerrar el pass-the-hash por Restricted Admin
• Delegación de credenciales predeterminadas y guardadas de CredSSP sin configurar o muy acotada
• Cliente RDP sin permiso para guardar contraseñas
• Evento 4624 de tipo 10 revisado en busca de inicios de sesión privilegiados sin ninguno de los dos modos

Es una de las formas más baratas de impedir que un atacante en un servidor de Tier 1 recolecte credenciales de administración. Forma parte de la serie Protección de credenciales, junto a Remote Credential Guard en el glosario.