Remote Help: La nueva herramienta de Microsoft para el soporte remoto sin VPN

A medida que las empresas se volvieron remotas al comienzo de la pandemia de COVID-19, rápidamente quedó claro que las VPN empresariales no son efectivas para los trabajadores remotos, y algunas organizaciones tuvieron que limitar a los empleados a conectarse en días alternos para evitar sobrecargar la capacidad de la VPN.

La migración de recursos que estaban en la red de la oficina a la nube hace que el acceso remoto sea más fácil y eficiente. Sin embargo, las soluciones tradicionales de escritorio remoto en las que muchas organizaciones confían para el soporte de usuarios finales generalmente requieren una VPN, lo que deja a algunos usuarios frustrados por problemas técnicos en los que necesitan ayuda.

El control remoto integrado en Microsoft Endpoint Configuration Manager no funciona para dispositivos que están conectados de forma remota. Además, requiere que los dispositivos estén administrados, por lo que no se puede utilizar para brindar soporte a alguien que trabaja desde casa en su propia computadora portátil.

Incluso si el personal está en la oficina, es posible que el equipo de TI no lo esté. Hay muchas herramientas de control remoto en el mercado que se utilizan para brindar soporte, pero generalmente tienen un modelo cliente-servidor, en el que el usuario ejecuta un servicio en segundo plano en su PC. Esto significa que un atacante podría engañarlos para que acepten una conexión y permitan una sesión de control remoto.

Implementar y gestionar herramientas de control remoto para los usuarios no siempre es sencillo, especialmente cuando se hace de forma remota. Incluso si hay una solución oficial, es posible que los usuarios instalen sus propias opciones de conexión remota de todos modos. Y dado que las herramientas de control remoto que no se administran de forma centralizada eluden efectivamente el firewall de la empresa, puede ser difícil incluso saber si ha habido una intrusión o realizar un seguimiento del acceso que se ha obtenido.

Quick Assist recibe asistencia

La herramienta Quick Assist incorporada en Windows 10 ha sido una opción popular para el soporte remoto, sin puertos de firewall que abrir y sin necesidad de implementar una aplicación adicional o hablar con los usuarios en su propia PC para asegurarse de que no instalen una aplicación sospechosa por error mientras instalan la solución por sí mismos. También incluye una seguridad de conexión sencilla: los equipos de TI podían dar al usuario un código de acceso corto, para asegurarse de que la solicitud de conexión remota sea confiable.

Protección antivirus en línea: McAfee Clinic lleva la seguridad de tu PC al siguiente nivel

Cuando Microsoft reemplazó recientemente la aplicación Quick Assist, también la trasladó a la Microsoft Store, lo que, según dijo, mejoraría el rendimiento de la aplicación y agilizaría la generación de códigos de acceso. Aunque la nueva versión vendrá preinstalada en la próxima actualización de Windows 11, los usuarios de Windows 10 aún tendrán que instalarla por sí mismos. Esto cambiará en el futuro, pero actualmente necesitan tener una cuenta de usuario de administrador para obtenerla, y aún no está disponible para las versiones de soporte a largo plazo de Windows 10.

Aunque se puede distribuir como una aplicación sin conexión a través de la Microsoft Store for Business, eso solo funciona hasta finales del primer trimestre de 2023, cuando la Tienda Empresarial será reemplazada por el Administrador de Paquetes de Windows, que utiliza winget e Intune.

Una vez instalado, Quick Assist puede ser la ruta más sencilla para admitir una amplia gama de usuarios, pero las organizaciones más grandes desean tener un mayor control de los permisos para el control remoto y más garantía de que el usuario correcto está hablando con el personal legítimo de soporte de TI y viceversa. Para eso, Microsoft tiene un nuevo servicio, aunque algo costoso, con un conjunto de controles granulares integrados en Endpoint Manager.

Este utiliza una nueva aplicación llamada Remote Help, que se basa en la base de código de Quick Assist pero agrega seguridad adicional y gestión de permisos. También es más potente, lo que significa que estos controles adicionales son fundamentales.

Remote Help permite al personal de TI ayudar a los usuarios de forma remota

Con Quick Assist, si la persona que ayuda necesita hacer algo que requiere permisos elevados, como abrir RegEdit o incluso instalar controladores, debe esperar a que la persona a la que ayuda haga clic en el mensaje de control de cuentas de usuario y permita esto. Sin embargo, el soporte no podrá ver lo que dice el mensaje para ayudar a explicarlo a los usuarios.

Cómo proteger tu computadora de los virus: métodos y consejos

También deben tener una cuenta de administrador local para poder elevar los privilegios, y si se han seguido políticas de seguridad sensibles y los usuarios no han recibido cuentas de administrador, no podrán obtener privilegios elevados ni siquiera para instalar la nueva versión de Quick Assist.

Con Remote Help, el soporte ve el mensaje de control de cuentas de usuario y puede interactuar con él; eso significa que pueden hacer clic por sí mismos si la persona a la que ayudan tiene permisos de administrador local o iniciar sesión con su propia cuenta para obtener privilegios elevados para ejecutar herramientas de solución de problemas. Si una política de seguridad requiere tener un administrador local para instalar nuevos software o controladores, alguien que compró una impresora o un teclado nuevo para ser más productivo en su oficina en casa no podrá instalarlo por sí mismo; con Remote Help, el personal de TI puede hacerlo por ellos.

Dado que pueden elevar los privilegios de forma remota, es importante asegurarse de que la persona que se conecta sea quien dice ser. Remote Help se basa en Azure Active Directory para eso, mostrando la foto del perfil, los detalles de la empresa, el cargo, la dirección de correo electrónico y otra información de Azure AD, para que los usuarios sepan que pueden confiar en la persona que les ayuda, y el personal de TI sabe más sobre a quién están ayudando, lo cual puede ser útil para resolver su problema.

Esto significa que Remote Help no se puede utilizar para brindar soporte a personas que no están en la organización, sin necesidad de que las PC estén inscritas en Intune. Remote Help también es compatible con endpoints tanto en la nube como en administración compartida, así como con PC en la nube de Windows 365 y Azure Virtual Desktop.

¡Defiéndete! Protege tu seguridad en línea contra amenazas críticas

Remote Help es compatible con Endpoint Manager

Remote Help utiliza los controles de acceso basados en roles de Endpoint Manager, por lo que los administradores pueden administrar permisos para elegir quién puede ayudar a qué usuarios y qué pueden hacer. Se pueden asignar grupos para establecer niveles de soporte de servicio de asistencia técnica y especificar qué grupo de usuarios obtiene diferentes niveles de soporte, delimitando los roles de soporte técnico por departamento, responsabilidad, geografía o de cualquier otra forma que se configuren los grupos.

Utilice el control de acceso basado en roles para establecer qué ayudantes solo podrán ver lo que aparece en la pantalla, quiénes pueden tomar el control completo del dispositivo y quiénes pueden usar sus credenciales de administrador para elevar los privilegios. También se recomienda tener controles adicionales para proteger los dispositivos de los usuarios del equipo de finanzas que manejan datos sensibles, por ejemplo.

La integración con Endpoint Manager también significa que el personal de TI puede realizar un seguimiento de quiénes estuvieron involucrados en cada sesión de soporte, en qué dispositivo y cuánto tiempo llevó; aunque los detalles sobre las sesiones de Remote Help en dispositivos administrados son más detallados que en las PC no inscritas. Reports Manager ayuda a identificar tendencias, como problemas recurrentes con el mismo dispositivo o modelo de PC o dentro de una ubicación específica que puedan indicar problemas subyacentes.

Además de tener a los usuarios solicitar ayuda a través de la aplicación, el personal de TI también puede iniciar una sesión de Remote Help directamente desde Endpoint Manager si ven que un dispositivo no cumple con las normas, como una PC no administrada que no está cifrada o que utiliza OneDrive personal en lugar de OneDrive for Business, por ejemplo, o si ven que el usuario tiene una mala duración de la batería o un mal rendimiento de la red.

Y cuando se conectan a un dispositivo, se muestra una advertencia si no cumple con las normas, tal vez porque tiene actualizaciones de Windows pendientes o porque Windows Defender está desactivado, para que sepan que no deben elevar los privilegios ni utilizar herramientas de solución de problemas que puedan exponer información confidencial a un atacante si la PC ha sido comprometida.

Protege tus contraseñas con PAM: Tu aliado para la seguridad

Las frustraciones remotas persisten

Hay algunas cosas sobre Remote Help que los usuarios pueden encontrar confusas. Por ejemplo, si un ayudante que tiene permisos para elevar privilegios utiliza el control total para conectarse a la PC de un usuario, tanto el ayudante como el usuario actualmente se desconectarán de esa PC cuando finalice la sesión para asegurarse de que se eliminen los permisos elevados, incluso si no encontraron un mensaje de control de cuentas de usuario o no utilizaron sus credenciales para tareas de administrador. Esto puede hacer que los empleados pierdan trabajo que no hayan guardado. Afortunadamente, esto cambiará.

En una futura actualización, los ayudantes deberán confirmar si necesitan interactuar con los mensajes de control de cuentas de usuario, y los usuarios solo se desconectarán después de la sesión si el ayudante ha hecho clic en Sí. Además, cuando los usuarios hagan clic para cerrar una sesión de Remote Help en la que el ayudante ha elevado los privilegios, recibirán una advertencia de que esto los desconectará para limpiar esos privilegios, y podrán dejar la sesión abierta si necesitan guardar el trabajo o terminar algo en lo que estén trabajando.

Cuando la persona que ayuda es quien cierra la sesión, el usuario no se desconectará, incluso si se ha elevado la sesión, por lo que el personal de asistencia técnica deberá recordar cerrar los procesos elevados que abran, de la misma manera que lo harían si se acercaran a la computadora de alguien para ayudar.

Aunque los ayudantes no necesitan que los usuarios hagan clic en los mensajes de control de cuentas de usuario, sí necesitan que se encuentren frente a su PC y acepten la sesión de Remote Help, por lo que no admite acceso sin supervisión. El personal de la mesa de ayuda puede encontrar esto frustrante, pero puede tranquilizar a los empleados de que sus dispositivos personales no serán accedidos ni actualizados sin que ellos lo sepan solo porque los usan para trabajar.

Aunque está integrado en Endpoint Manager, Remote Help requiere una licencia adicional ($3.50 por usuario al mes) tanto para los usuarios como para el personal de la mesa de ayuda, así como una licencia de Intune (independiente o como parte de Enterprise Mobility+ Security E3/5, Microsoft 365 E3/5 o F3/5). Además, por ahora, Remote Help solo funciona con Windows 10 y 11, incluidas las PC en la nube de Windows 365, pero la aplicación estará disponible pronto para Android. Es probable que llegue a otros dispositivos y plataformas en el futuro, lo que hará que Remote Help sea más competitivo con soluciones como Team Viewer, pero el precio lo mantendrá fuera del alcance de las organizaciones con un presupuesto de TI muy ajustado.

Cómo configurar un servidor VPN para hacer conexiones a través de firewalls

En Newsmatic nos especializamos en tecnología de vanguardia, contamos con los artículos mas novedosos sobre Seguridad, allí encontraras muchos artículos similares a Remote Help: La nueva herramienta de Microsoft para el soporte remoto sin VPN , tenemos lo ultimo en tecnología 2023.