El inicio de sesión de Windows y el protocolo de escritorio remoto (RDP) se encuentran entre los puntos de entrada más habituales a la infraestructura corporativa. Si estos puntos de acceso solo están protegidos mediante contraseñas, los atacantes pueden acceder recurriendo al robo de credenciales, los ataques de fuerza bruta o el phishing.
Añadir autenticación de dos factores (2FA) mejora considerablemente la seguridad de Windows, ya que exige a los usuarios verificar su identidad mediante una contraseña de un solo uso (OTP) o una notificación de autenticación.
Esta guía explica cómo habilitar la autenticación de dos factores para Windows Logon y RDP mediante Protectimus SaaS Service. Abarca la configuración de la consola de Protectimus, los ajustes de Winlogon, la instalación del cliente Winlogon y las políticas de seguridad recomendadas.
También aprenderá a configurar el registro automático de tokens, habilitar el acceso sin conexión mediante códigos de respaldo y gestionar las políticas de autenticación tanto para los inicios de sesión locales como remotos.
Para proteger el inicio de sesión de Windows y el acceso mediante RDP con autenticación de dos factores, complete los pasos siguientes:
Las secciones siguientes explican cada paso en detalle.
La solución Protectimus Windows Logon & RDP añade autenticación de dos factores (2FA/MFA) para proteger el acceso local y mediante RDP a los equipos que ejecutan Windows.
Esta guía cubre el proceso de configuración para Protectimus SaaS Service con la interfaz actualizada.
Si utiliza Protectimus On-Premise Platform, consulte la guía existente: Windows Logon & RDP: protección del acceso mediante autenticación de dos factores.
La solución es compatible con:
- Windows 8;
- Windows 8.1;
- Windows 10;
- Windows 11;
- Windows Server 2012;
- Windows Server 2016;
- Windows Server 2019;
- Windows Server 2022.
Protectimus puede proteger tanto el inicio de sesión local de Windows como el acceso mediante RDP. También admite el acceso sin conexión mediante códigos de respaldo.
Para obtener más información, visite la Solución 2FA de Protectimus para Windows y RDP correspondiente.
Cree una cuenta en Protectimus Cloud Service y active la API.
A continuación, cree un recurso, añada usuarios y asigne los usuarios y tokens necesarios. Encontrará instrucciones detalladas en las guías siguientes:
La ventana Winlogon Settings contiene cuatro pestañas: General, Local, RDP y Offline.
En la pestaña General, elija los tipos de token que se pueden utilizar con Protectimus Winlogon.
Recomendamos encarecidamente habilitar únicamente los tipos de token que realmente necesite para su despliegue.
En la pestaña Local, configure cómo se autentican los usuarios cuando inician sesión directamente en el equipo Windows.
Para la mayoría de los despliegues, recomendamos habilitar User Auto Registration, Token Auto Registration, Access Accepted y Apply 2FA.
En la pestaña RDP, configure cómo se autentican los usuarios cuando se conectan mediante Remote Desktop Protocol.
TENGA EN CUENTA: El acceso RDP permanecerá bloqueado hasta que Access Accepted esté habilitada en la pestaña RDP correspondiente.
Para proteger RDP mediante autenticación de dos factores, habilite tanto Access Accepted como Apply 2FA.
En la pestaña Offline, configure el acceso de respaldo para cuando el equipo no tenga conexión a Internet.
Si el acceso sin conexión está habilitado, los usuarios pueden iniciar sesión mediante un código de respaldo en lugar de una contraseña de un solo uso cuando el equipo no pueda conectarse a Internet.
Si desea que los usuarios registren sus propios tokens durante el primer inicio de sesión, utilice esta configuración recomendada:
Esta configuración permite iniciar sesión primero con las credenciales habituales de Windows y completar después el registro automático del token.
TENGA EN CUENTA: Puede utilizar ajustes diferentes para el inicio de sesión local de Windows y para el acceso mediante RDP.
Si no desea utilizar el registro automático, añada y asigne manualmente los usuarios y los tokens.
¡ATENCIÓN!
El nombre de usuario en Protectimus debe coincidir con el formato de nombre de usuario de Windows previsto en su entorno.
En las cuentas locales de Windows, el nombre de usuario en Protectimus debe coincidir exactamente con el nombre de usuario de Windows.
Para Active Directory, puede ser necesario utilizar el formato login@domain, dependiendo de su configuración.
Estos parámetros significan:
Si todavía no ha añadido el recurso, créelo primero en Protectimus SaaS Service.
Configure la política de 2FA y guarde el código de respaldo si es necesario. De forma predeterminada, la autenticación de dos factores se aplica a todas las cuentas de este equipo, excepto a la cuenta de administrador integrada y las cuentas de invitado.
¡ATENCIÓN!
Cuando se utiliza un código de respaldo, se genera uno nuevo. Guarde el nuevo código para el siguiente inicio de sesión sin conexión. El código de respaldo funciona con todas las cuentas del mismo equipo.
Si no se trata de un controlador de dominio, simplemente haga clic en Install.
Si instala Protectimus Winlogon & RDP 2FA en un controlador de dominio, verá dos opciones adicionales:
Una vez finalizada la instalación, haga clic en OK. La autenticación de dos factores se habilitará la próxima vez que se inicie el equipo.
Para que Protectimus Winlogon funcione con normalidad, el equipo debe estar conectado a Internet.
Si no hay conexión a Internet, los usuarios pueden iniciar sesión mediante un código de respaldo en lugar de una contraseña de un solo uso.
El primer código de respaldo se proporciona durante la instalación. Este código es válido para todas las cuentas registradas en el mismo equipo. Solo puede utilizarse una vez. Después, se genera un nuevo código de respaldo.
¡ATENCIÓN! Cuando un usuario inicia sesión mediante un código de respaldo, se genera un código nuevo. Guárdelo para el siguiente inicio de sesión sin conexión. El código nuevo también es válido para todas las cuentas de este equipo.
Si los usuarios pierden el código de respaldo, pueden generar uno nuevo mientras estén conectados. Para ello, el administrador principal de su cuenta de Protectimus debe solicitar una utilidad especial a support@protectimus.com.
Para utilizar la utilidad:
Si encuentra algún problema, consulte primero los registros del sistema de Windows: Event Viewer → Windows Logs → Application.
También puede revisar los eventos correspondientes en su cuenta de Protectimus.
Si no puede acceder a la cuenta de Windows, deshabilite Protectimus Winlogon en modo seguro.
¡ATENCIÓN!
Si crea un GPO para desinstalar Protectimus Winlogon & RDP de todos los equipos del dominio, elimine manualmente esta GPO una vez finalizada la desinstalación.
Si no elimina manualmente la GPO de desinstalación, pueden surgir problemas al volver a instalar el componente.
Sí. Protectimus es compatible con Windows Server 2012, 2016, 2019 y 2022, y permite a los administradores proteger tanto el inicio de sesión local como el acceso mediante RDP.
Sí. Protectimus Winlogon permite a los administradores exigir contraseñas de un solo uso para los inicios de sesión mediante Remote Desktop, lo que ayuda a impedir el acceso no autorizado.
Si el ordenador no tiene conexión a Internet, los usuarios pueden iniciar sesión utilizando un código de respaldo generado durante la instalación.
Sí. Los administradores pueden habilitar User Auto Registration y Token Auto Registration para que los usuarios puedan registrar sus tokens durante el primer inicio de sesión.
Protectimus admite varios tipos de token, incluidas las aplicaciones móviles de OTP, los tokens hardware, las OTP por SMS y los tokens basados en aplicaciones de mensajería, según la configuración.
