Puntos clave
- TFTP es inseguro y solo deberías usarlo cuando sea imprescindible: su falta de cifrado y de autenticación lo convierte en un riesgo de seguridad.
- El cliente TFTP de Windows es opcional y se desactiva con facilidad: dejarlo activado sin usarlo aumenta la exposición de forma innecesaria.
- Desactivar TFTP no interfiere con PXE ni con la creación de imágenes: las operaciones PXE no dependen del cliente TFTP de Windows.
- El tráfico TFTP se puede identificar y controlar a través del puerto UDP 69: la monitorización y las reglas de firewall permiten una supervisión eficaz y reducen el riesgo.
- Hay que detectar el uso residual de TFTP y sustituirlo por protocolos seguros: las alternativas cifradas modernas ofrecen una forma más segura de configurar y actualizar dispositivos.
TFTP es un protocolo de transferencia de archivos inseguro que todavía se usa mucho en determinadas tareas de administración de TI. Precisamente por esa falta de seguridad, cuando no lo necesites de forma activa, conviene desactivar el cliente TFTP en los PC con Windows. En este tutorial te explicamos cómo desactivar el cliente TFTP de forma segura en Windows, además de cómo detectar y eliminar servicios TFTP residuales.
¿Qué es TFTP y para qué sirve?
TFTP (Trivial File Transfer Protocol) es un protocolo cliente-servidor de transferencia de archivos que no incluye ningún mecanismo de cifrado ni de autorización. Eso lo hace muy pequeño y ligero de ejecutar, así que se usa sobre todo en casos como dispositivos de red de bajo consumo que necesitan recuperar configuraciones para grabar firmware, o para el arranque en red mediante PXE (preboot execution environment).
Por ejemplo, un dispositivo en modo de recuperación puede intentar localizar un servidor TFTP en una dirección IPV4 concreta para buscar una imagen del sistema con la que restaurarse, sin que el usuario tenga que intervenir. DHCP también puede servir para proporcionar información con la que dispositivos como los teléfonos VOIP localizan servidores TFTP desde los que cargar sus configuraciones.
Windows incluye un cliente TFTP que se puede activar con el siguiente comando DISM para añadir la función TFTP opcional (desactivada de forma predeterminada):
dism /online /enable-feature /featurename:TFTP /all
Los administradores de sistemas pueden usar entonces el cliente TFTP de Windows para probar el acceso a servidores TFTP o para subir archivos. También existen clientes TFTP de terceros que son ejecutables independientes.
¿Hay que desactivar TFTP? ¿Es seguro el puerto UDP 69?
Como ya hemos dicho, TFTP no es seguro y debe considerarse un riesgo de seguridad. Aunque algunos dispositivos dependen de él para funcionar, conviene tener reglas de firewall que protejan los clientes y servidores TFTP, y desactivar TFTP en todos los casos en los que no se necesite de forma explícita. Si necesitas el cliente TFTP de Windows para una tarea administrativa concreta, desactívalo en cuanto termines.
TFTP utiliza el puerto 69 UDP, por lo que su tráfico se puede identificar y bloquear a nivel de red.
Qué necesitas para desactivar el cliente TFTP en Windows
Para desactivar el cliente TFTP en Windows necesitarás:
- Acceso administrativo para gestionar las funciones opcionales de Windows
- Reglas de firewall en los endpoints y ACL de perímetro para proteger los servicios TFTP expuestos
- Un inventario de endpoints y una lista de responsables de cualquier flujo de arranque en red o de creación de imágenes de dispositivos, para garantizar la supervisión
- Monitorización y registro centralizados para verificar el funcionamiento y la seguridad de los servicios TFTP
¿Cómo desactivo TFTP en Windows?
Usa el siguiente comando DISM para desactivar el cliente TFTP opcional de Windows desde el símbolo del sistema o desde PowerShell:
dism /online /disable-feature /featurename:TFTP
También puedes usar este comando de PowerShell:
Disable-WindowsOptionalFeature -Online -FeatureName TFTP
Para ello tendrás que iniciar sesión como administrador o usar una consola con privilegios elevados.
Puedes comprobar si la función de cliente TFTP está activada o desactivada con el comando DISM:
dism /online /get-features
Si necesitas activar o desactivar el cliente TFTP en varios dispositivos de un dominio de Windows, puedes añadir estos comandos a un script y desplegarlo mediante directivas de grupo. Para llegar a más dispositivos, incluidos los que no están en el dominio, los BYOD o los equipos remotos, puedes desplegar scripts con tu solución de gestión de dispositivos móviles (MDM) o de monitorización y gestión remota (RMM).
Monitorización del uso de TFTP
Los atacantes pueden aprovecharse de TFTP, así que conviene monitorizar su uso en toda la red como parte de tus prácticas de ciberseguridad. Vigila el tráfico en el puerto UDP 69 y confirma que solo los dispositivos previstos están usando TFTP de forma activa y que ese uso es el esperado. Esto también ayuda a detectar equipos con Windows que puedan estar usando un cliente TFTP de terceros, o servicios TFTP residuales en otras plataformas.
Asegúrate de que todos los dispositivos con TFTP activado tengan un responsable asignado: los que usan el protocolo para arrancar, crear imágenes, actualizar firmware o enviar configuraciones deben estar documentados con el nombre del técnico responsable, para que no haya lagunas en la supervisión. Si se trata de tareas puntuales, desactiva TFTP después de usarlo. Revisa periódicamente los dispositivos que mantienen TFTP activado como parte de tu proceso de gobernanza de TI y comprueba si es posible dejar de usarlos o actualizarlos para que empleen un protocolo más seguro.
Limita y bloquea el tráfico TFTP en los endpoints y en el perímetro
Si TFTP sigue activado en algunos dispositivos, limita el tráfico a destinos conocidos. Tus firewalls de perímetro deben bloquear TFTP desde y hacia redes no confiables (incluida internet). También conviene bloquear TFTP en los endpoints (por ejemplo, con el Firewall de Windows) para impedir el uso de clientes o servidores TFTP de terceros.
Herramientas como la protección de red de Windows Defender pueden detectar tráfico de red sospechoso y bloquearlo automáticamente, incluidas las solicitudes a servidores sospechosos.
Detecta y elimina servicios de servidor TFTP residuales
Los clientes y servidores TFTP también se pueden instalar en dispositivos Linux, Android y macOS. Si detectas tráfico TFTP inesperado en tu red, usa tus herramientas de supervisión y gestión de redes para localizar el dispositivo y desactivarlo. Siempre que sea posible, sustituye TFTP por una alternativa segura como SFTP o HTTPS, y asegúrate de reflejarlo en las plantillas de configuración y en las imágenes para que no vuelva a aparecer en el futuro.
Gestiona las funciones de Windows de forma centralizada, monitoriza el uso de TFTP y mantén el control desde una sola interfaz
NinjaOne te ayuda a mantener el control y a reducir los riesgos de funciones heredadas que todavía necesitas en producción. Puedes aplicar configuraciones que desactiven el cliente TFTP en los endpoints con Windows y bloqueen el puerto UDP 69, y configurar alertas o la creación automática de tickets de soporte si se detecta un uso inesperado de TFTP. NinjaOne se integra con las principales herramientas de detección en endpoints para mejorar la monitorización, la aplicación de políticas y el control.
Guía de inicio rápido
¿Puede NinjaOne desactivar TFTP en Windows?
Respuesta corta: NinjaOne no incluye una política predefinida específica para desactivar TFTP, pero puedes conseguirlo con sus funciones de scripting y automatización.
Cómo hacerlo con NinjaOne
Opción 1: despliegue de un script personalizado
– Usa la función de ejecución de scripts de NinjaOne para desplegar un script de PowerShell que desactive TFTP
– Crea un script que ejecute:
powershellDisable-WindowsOptionalFeature -FeatureName TFTP -Online -NoRestart
– Despliégalo mediante una política en los dispositivos que quieras
Opción 2: integración con directivas de grupo
– Si tu organización usa directivas de grupo, NinjaOne puede monitorizar el estado del servicio TFTP e informar sobre él
– Despliega la configuración del GPO a través del marco de políticas de NinjaOne para desactivar la función de cliente TFTP
Opción 3: gestión de servicios
– Usa las funciones de gestión de servicios de NinjaOne para:TftpSvc) como Deshabilitado
Buenas prácticas para desactivarlo de forma segura
Haz pruebas primero en un grupo pequeño de dispositivos antes de un despliegue amplio
Documenta las dependencias: comprueba que ninguna aplicación dependa de TFTP
Monitoriza después del despliegue: usa los informes de cumplimiento de NinjaOne
Prepara un plan de reversión: ten listo el script de activación por si lo necesitas
Qué te ofrece NinjaOne para esta tarea
– Despliegue basado en políticas en varios dispositivos
– Monitorización del cumplimiento para verificar que TFTP sigue desactivado
– Registro de actividad para saber cuándo se hicieron los cambios
– Informes del estado del servicio TFTP en todo tu parque de dispositivos
