Refuerza tus herramientas RMM antes de que los atacantes las exploten

Los sistemas de monitorización y gestión remota (RMM) como ScreenConnect son uno de los vectores de entrada más usados por los atacantes. No basta con bloquearlos, porque la mayoría de empresas dependen de ellos para soporte. En su lugar, hay que limitar lo que cada conexión puede hacer y vigilar los comportamientos que distinguen a un técnico legítimo de un intruso.

Por qué los RMM son atractivos

1. Confianza por defecto – Las políticas de seguridad suelen excluir el software RMM conocido, lo que permite que una sesión maliciosa pase desapercibida.
2. Cobertura legítima – Una sesión a las 2 a.m. puede parecer mantenimiento programado si no se revisa el contexto.
3. Acceso permanente – Muchos despliegues otorgan privilegios elevados a los agentes en todos los equipos, lo que facilita la persistencia una vez que se compromete una credencial.

Señales tempranas de abuso

• Aparece un binario RMM desconocido en un endpoint.
• Sesiones iniciadas fuera del horario habitual o con proveedores no reconocidos.
• Instalaciones en servidores críticos (controladores de dominio, bases de datos) sin justificación.
• Oleada de nuevas instalaciones en múltiples máquinas en poco tiempo.

Si no puedes responder “¿quién instaló esto y por qué?” en unos minutos, trata la instalación como sospechosa.

Reducir el radio de explosión con privilegios mínimos

• Asigna a cada técnico solo los permisos necesarios para su tarea; un problema de impresora no requiere derechos de administrador de dominio.
• Separa la cuenta del administrador del RMM de las cuentas de uso diario (correo, VPN).
• Activa la aprobación manual para la incorporación de nuevos dispositivos al inquilino RMM.
• Revisa trimestralmente los accesos permanentes; contratos, ex‑empleados y proveedores suelen acumular derechos olvidados.

Alertas que realmente sirven

• Instalación de cualquier agente RMM en un servidor.
• Sesión RMM originada desde una geografía o rango IP no habitual.
• Sesión que instala software o crea cuentas locales.
• Comunicación del agente con dominios/IP externos que no correspondan a la infraestructura del proveedor.

Si el equipo no puede monitorizar estos eventos 24 / 7, hay una brecha de recursos que debe reconocer y, de ser necesario, externalizar a un SOC gestionado.

Qué hacer esta semana

El artículo cierra con una lista de acciones rápidas: audita la separación de cuentas de administrador del RMM, habilita la aprobación de enrolamiento o crea una alerta para nuevas instalaciones en servidores. Ejecuta una antes del viernes y reduce la superficie de ataque.

Importancia – Aplicar estos controles permite detectar y aislar una sesión maliciosa antes de que cause un compromiso amplio, transformando una posible brecha en una interrupción menor.