Puntos clave
- Identifica los ID de evento y las ubicaciones de registro exactas de las actividades RDP relevantes, como 1149, 4624 y 4625, y activa esos registros.
- Define líneas base y crea reglas de alerta para los inicios de sesión fallidos, las conexiones fuera de horario y los intentos repetidos, de modo que reduzcas el ruido y detectes los abusos pronto.
- Automatiza la recopilación de registros con scripts de PowerShell, tareas programadas o el reenvío de eventos integrado en Windows para enviar los logs de RDP a una ubicación centralizada y analizarlos.
Sin un método estructurado para registrar y revisar las sesiones de escritorio remoto, los inicios de sesión sospechosos pueden pasar desapercibidos, lo que deriva en auditorías tediosas y en brechas de cumplimiento. Esta guía explica cómo recopilar y revisar los registros de eventos de Windows relacionados con RDP mediante el Visor de eventos, para que los equipos detecten actividad sospechosa y cumplan los requisitos de auditoría.
Proceso en 5 pasos para analizar los logs de RDP
Antes de empezar, asegúrate de contar con acceso administrativo, con las directivas de auditoría avanzada activadas y con una ubicación centralizada donde guardar los logs de RDP exportados.
Requisitos previos para consultar los logs de RDP
- Permisos de administrador local o de dominio para activar y consultar los logs de RDP.
- Directiva de auditoría avanzada configurada para capturar los eventos de inicio y cierre de sesión dentro de la categoría de auditoría Inicio y cierre de sesión.
- Registros operativos de TerminalServices‑RemoteConnectionManager y TerminalServices‑LocalSessionManager activados en el Visor de eventos.
- Un recopilador de logs centralizado, un SIEM o una ubicación de red compartida donde almacenar los archivos de logs de RDP exportados.
También necesitarás PowerShell (o un motor de scripting equivalente) disponible en cada endpoint para extraer los registros de forma automatizada. Con esto en mente, ya puedes pasar al flujo de trabajo recomendado.
1. Identifica los logs clave de RDP y Terminal Services
Los registros de eventos contienen una cantidad enorme de datos, así que conviene filtrar el ruido e identificar los registros e ID de evento concretos que reflejan la actividad de RDP.
| ID de evento | Descripción |
| 1149 | Solicitud de conexión RDP correcta (RemoteConnectionManager) |
| 4624 | Inicio de sesión correcto (registro de seguridad) |
| 4625 | Inicio de sesión fallido (registro de seguridad) |
| 4634 | Cierre de sesión (registro de seguridad) |
| 4647 | Cierre de sesión iniciado por el usuario (registro de seguridad) |
| 21 | Inicio de sesión de la sesión (LocalSessionManager) |
| 22 | Inicio del shell de la sesión (LocalSessionManager) |
| 24 | Desconexión de la sesión (LocalSessionManager) |
| 25 | Reconexión de la sesión (LocalSessionManager) |
| 4778 | Reconexión de sesión remota (TerminalServices) |
| 4779 | Desconexión de sesión remota (TerminalServices) |
Céntrate en los ID de evento principales: 1149 (conexión correcta), 4624/4625 (inicio de sesión correcto/fallido), 4634/4647 (cierre de sesión), 21, 22, 24, 25 (ciclo de vida de la sesión) y 4778/4779 (reconexión/desconexión).
Por último, comprueba que la directiva de auditoría avanzada registre los eventos de inicio y cierre de sesión en el registro de seguridad, y documenta las rutas de los registros y los ID en una hoja de referencia para consultarlos rápidamente durante las investigaciones y al crear alertas.
2. Consulta y exporta eventos con PowerShell
Puedes ejecutar Get‑WinEvent para extraer los ID de evento y los registros que necesites y, después, canalizar la salida a Export‑Csv para guardar los resultados en un archivo CSV y analizarlos o usarlos en informes. Consulta los Get-WinEvent parámetros para montar un script personalizado para cualquier tarea.
Si usas NinjaOne, también tienes a tu disposición el script ya preparado para usar PowerShell y consultar los registros de eventos. El script permite omitir ID de evento concretos y filtrar eventos según el contenido del mensaje, con amplias opciones de personalización.
3. Define líneas base y reglas de alerta
Al establecer líneas base realistas y centrarte solo en la actividad RDP anómala, puedes detectar y diagnosticar con eficacia ataques habituales como el credential stuffing, los intentos de fuerza bruta o el movimiento lateral. Estos son algunos ejemplos prácticos de reglas de alerta que puedes aplicar hoy mismo.
Define el comportamiento normal de RDP
Identifica los usuarios habituales, las horas de inicio de sesión frecuentes y los rangos de IP de origen previstos para cada sistema, y registra métricas de referencia como el promedio de conexiones diarias y las horas punta de inicio de sesión.
Crea alertas basadas en anomalías
Para aislar mejor las actividades sospechosas, define umbrales que se activen con más de 5 eventos de inicio de sesión fallido (4625) desde la misma IP en 10 minutos, con conexiones RDP correctas (1149) fuera del horario laboral y con secuencias rápidas de desconexión y reconexión (24 → 25) cuando cambia la IP del cliente.
Implementa las alertas en tu plataforma de monitorización
Configura tu SIEM o las políticas de alertas de NinjaOne para monitorizar la actividad relacionada con RDP directamente desde los endpoints gestionados. En NinjaOne puedes crear condiciones de alerta personalizadas basadas en ID de evento concretos o en métricas del sistema recogidas por el agente, y definir los canales de notificación adecuados (correo electrónico, gestión de tickets, SMS o integraciones como Slack).
Ajusta los umbrales de alerta con el tiempo para reducir los falsos positivos: modifica condiciones y exclusiones a medida que observes los patrones normales de uso y las ventanas de mantenimiento. Revisa periódicamente las alertas activadas y actualiza tus reglas y líneas base para reflejar los cambios en los patrones de uso y en la infraestructura.
4. Amplía la retención y aumenta la capacidad de los registros
Es fácil pasar por alto que el tamaño predeterminado de los registros de eventos suele ser demasiado pequeño para las consultas de una investigación.
Para configurar el tamaño predeterminado del registro, usa el comando wevtutil en un símbolo del sistema con privilegios elevados. Ejecuta wevtutil sl (sl = set-log, modifica la configuración del registro) junto con el parámetro /ms (tamaño máximo, en bytes) para ajustar la configuración de un registro concreto (por ejemplo, wevtutil sl <logname> /ms:<bytes>)
Según Microsoft, el tamaño mínimo de registro es de 1048576 bytes (1024 KB) y los archivos de registro son siempre múltiplos de 64 KB, por lo que cualquier valor que introduzcas se redondeará en consecuencia. Los cambios se aplican de inmediato y se mantienen después de reiniciar.
Por su parte, /rt:<Retention> puede establecerse en true o false (por ejemplo, /rt:true). Si lo pones en true, el sistema dejará de registrar eventos cuando los registros alcancen su capacidad máxima. Con esta configuración, los datos tendrán que borrarse manualmente.
Si eliges false, el sistema sobrescribirá los eventos más antiguos cuando sea necesario.
Nota: si el modo de retención del registro de eventos está en true y el registro alcanza su tamaño máximo, Windows conserva los eventos existentes y descarta los nuevos. Para no perder sin darte cuenta datos importantes de seguridad o auditoría, valora aumentar la capacidad del registro y usar la opción de sobrescritura cuando necesites un registro continuo.
5. Correlaciona la actividad RDP y genera informes
Vincula los eventos RDP recopilados con los datos de usuario, dispositivo e IP para convertir los registros en bruto en información útil y en documentación lista para una auditoría. Así podrás crear un informe semanal con las conexiones correctas, los intentos fallidos, los accesos fuera de horario y los orígenes de cliente únicos.
Aquí tienes una guía complementaria sobre cómo automatizar el registro de eventos en distintos entornos o clientes.
Estrategias de monitorización de RDP con NinjaOne
NinjaOne cubre las carencias de tu proceso de monitorización de RDP al automatizar el despliegue de directivas de auditoría y la creación de alertas, con lo que obtienes una visibilidad fiable y auditable de cada sesión de escritorio remoto.
La biblioteca de scripts de NinjaOne y su conjunto de herramientas de gestión de políticas también te permiten administrar los logs de RDP de forma centralizada con una intervención manual mínima, lo que aporta una cobertura de seguridad más coherente y libera recursos valiosos de tu stack de TI.
Temas relacionados:
- Buenas prácticas de acceso remoto para MSP y profesionales de TI
- Consultar informes de detalles del sistema [para usuarios de NinjaOne]
- Cómo eliminar el historial de Conexión a Escritorio remoto en Windows
- Cómo automatizar la monitorización del registro de eventos de Windows en varios clientes
- Guía completa para usar PowerShell en búsquedas eficientes del registro de eventos [Script Hub]
