Microsoft Remote Assistance (MSRA): implementación, configuración y uso mediante GPO y sin GPO

Introducción

Microsoft Remote Assistance (MSRA) es una herramienta integrada en Windows que permite proporcionar asistencia técnica remota a otro usuario sin necesidad de recurrir a soluciones de terceros.

Su principal utilidad en entornos corporativos es permitir que el departamento de IT pueda conectarse a los equipos de los usuarios para diagnosticar incidencias, supervisar el escritorio y, cuando se autorice, tomar el control del equipo para realizar tareas de soporte.

Una de sus características más interesantes es la posibilidad de iniciar una sesión de asistencia remota mediante el comando:

msra /offerra

Este comando permite iniciar el procedimiento conocido como Offer Remote Assistance (Ofrecer asistencia remota), mediante el cual un técnico puede solicitar conectarse a un equipo remoto de la organización.

A diferencia de otras soluciones de acceso remoto, Microsoft Remote Assistance permite establecer un modelo de asistencia controlado, integrado con Windows y administrado mediante directivas de grupo (GPO).

En este artículo veremos:

• Qué es MSRA y qué diferencia existe entre sus modalidades.
• Cómo habilitarlo y configurarlo mediante GPO.
• Cómo implementarlo sin utilizar directivas de grupo.
• Cómo utilizar msra /offerra para prestar asistencia.
• Qué medidas de seguridad debemos aplicar.
• Cómo relacionar su implementación con los controles de ISO/IEC 27001.

¿Qué es MSRA y cómo funciona?

Microsoft Remote Assistance es una funcionalidad de Windows diseñada para permitir que una persona ayude a otra de forma remota.

Dispone de dos modalidades principales:

La diferencia es importante:

Solicited Remote Assistance: el usuario necesita asistencia y genera una invitación que posteriormente facilita al técnico.

Offer Remote Assistance: el técnico inicia la conexión hacia el equipo del usuario, siempre que se encuentre configurada la infraestructura y los permisos necesarios.

Esta segunda modalidad resulta especialmente interesante para departamentos de soporte técnico que necesitan atender equipos de una red corporativa.

El comando msra /offerra

Para iniciar el asistente de asistencia remota en modalidad Offer Remote Assistance, ejecutamos:

msra /offerra

El sistema solicitará identificar el equipo al que queremos ofrecer asistencia.

Podemos utilizar el nombre del equipo o su dirección correspondiente, según la resolución de nombres y la configuración de red.

Es importante tener presente que ejecutar este comando no habilita por sí solo la asistencia remota. El equipo de destino debe tener configurada previamente la funcionalidad, los permisos y las reglas de firewall necesarias.

1. Implementación mediante directivas de grupo (GPO)

La forma más recomendable de desplegar Offer Remote Assistance en una infraestructura corporativa basada en Active Directory es mediante una directiva de grupo.

Esto permite centralizar la configuración, definir qué técnicos pueden ofrecer asistencia y aplicar las mismas restricciones a todos los equipos de una unidad organizativa.

1.1. Crear la GPO

Desde un controlador de dominio o una máquina con las herramientas RSAT instaladas:

1. Abrimos la consola de administración de directivas de grupo:

gpmc.msc

2. Creamos una nueva GPO, por ejemplo:

GPO - Microsoft Remote Assistance

3. Vinculamos la directiva a la unidad organizativa (OU) que contiene los equipos donde queremos habilitar la asistencia remota.
4. Editamos la directiva y accedemos a la siguiente ruta:

Configuración del equipo
  └── Directivas
      └── Plantillas administrativas
          └── Sistema
              └── Asistencia remota

Encontraremos dos directivas principales:

• Configure Offer Remote Assistance.
• Configure Solicited Remote Assistance.

1.2. Configurar Offer Remote Assistance

Accedemos a:

Configure Offer Remote Assistance

Establecemos la directiva como Habilitada.

Dentro de sus opciones encontraremos:

Permit remote control of this computer

Disponemos de dos posibilidades:

• Allow helpers to only view the computer: permite visualizar el escritorio del usuario sin controlar el equipo.
• Allow helpers to remotely control the computer: permite visualizar y controlar el equipo de forma remota.

Para un departamento de soporte técnico, podemos habilitar el control remoto, siempre que esté justificado por las necesidades operativas y las políticas de seguridad de la organización.

How to Create GPO of Offer remote assistance (MSRA) by using server 2019 AD? - Microsoft Q&A

learn.microsoft.com

1.3. Definir los técnicos autorizados

Este es uno de los puntos más importantes de la configuración.

En la misma directiva encontraremos el apartado:

Helpers

Pulsamos el botón Show y añadimos los usuarios o grupos de Active Directory que podrán ofrecer asistencia remota.

Por ejemplo:

DOMINIO\GG_IT_Soporte

También podemos añadir usuarios individuales:

DOMINIO\usuario_soporte01
DOMINIO\usuario_soporte02

Mi recomendación es utilizar siempre un grupo de seguridad de Active Directory, en lugar de introducir usuarios individualmente.

De esta manera, las altas y bajas del personal de soporte se gestionan desde el grupo, sin necesidad de modificar la GPO.

Recomendación Autorizar exclusivamente al grupo de soporte técnico y evitar grupos genéricos como Domain Users o Authenticated Users.

3.4. Configurar el firewall de Windows

Para que Offer Remote Assistance funcione correctamente, también debemos permitir las comunicaciones necesarias en el firewall.

Microsoft documenta la necesidad de habilitar la excepción de Remote Assistance y contempla TCP 135 para el establecimiento de las comunicaciones RPC en esta modalidad. También intervienen los puertos RPC dinámicos, por lo que no debemos limitar el diagnóstico exclusivamente al puerto 135. Microsoft Learn+1

Podemos configurar el firewall mediante otra directiva:

Configuración del equipo
  └── Directivas
      └── Configuración de Windows
          └── Configuración de seguridad
              └── Firewall de Windows Defender
                  └── Reglas de entrada

Debemos habilitar las reglas correspondientes a Asistencia remota para el perfil de dominio.

También podemos comprobar y habilitar las reglas desde PowerShell:

Get-NetFirewallRule -DisplayGroup "Remote Assistance"

Para habilitarlas:

Enable-NetFirewallRule -DisplayGroup "Remote Assistance"

En instalaciones de Windows en español, el nombre del grupo puede estar localizado como «Asistencia remota». Hay que comprobar el nombre que devuelve el sistema.

Importante: no debemos abrir RPC ni los puertos dinámicos de RPC hacia Internet. Las comunicaciones deben limitarse a las redes internas y a los equipos autorizados.

1.5. Aplicar y comprobar la directiva

Una vez configurada la GPO, podemos forzar su aplicación en los equipos cliente:

gpupdate /force

Para comprobar que se ha aplicado correctamente:

gpresult /r

También podemos generar un informe HTML:

gpresult /h C:\Temp\GPO-RemoteAssistance.html

Y verificar los valores de registro asociados:

Get-ItemProperty `
"HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services"

Entre los valores que debemos encontrar están:

La lista de técnicos autorizados se almacena adicionalmente en la subclave RAUnsolicit.

2. Implementación sin GPO

En entornos donde no disponemos de Active Directory, o donde no queremos utilizar directivas de grupo, también podemos configurar Microsoft Remote Assistance localmente.

Tenemos dos alternativas: utilizar la configuración local de Windows o aplicar los parámetros mediante el registro.

2.1. Configuración desde las propiedades del sistema

En primer lugar, abrimos las propiedades avanzadas del sistema:

SystemPropertiesRemote.exe

También podemos utilizar:

sysdm.cpl

Accedemos a la pestaña Acceso remoto y encontramos el apartado correspondiente a Asistencia remota.

Activamos:

Permitir conexiones de Asistencia remota a este equipo

Desde las opciones avanzadas podemos configurar aspectos relacionados con las invitaciones de asistencia remota.

How to Enable and Set up Remote Assistance Connection in Windows 11?

technig.com

Hay que tener en cuenta que esta interfaz está orientada principalmente a la asistencia solicitada por el usuario. Para configurar correctamente Offer Remote Assistance con una lista de técnicos autorizados, necesitamos establecer también la política correspondiente.

2.2. Configuración mediante el registro de Windows

Otra posibilidad es configurar directamente los valores de registro.

Abrimos PowerShell como administrador y ejecutamos:

$Path = "HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services"

New-Item -Path $Path -Force | Out-Null

# Habilitar Offer Remote Assistance
New-ItemProperty `
    -Path $Path `
    -Name "fAllowUnsolicited" `
    -PropertyType DWord `
    -Value 1 `
    -Force

# Permitir control remoto
New-ItemProperty `
    -Path $Path `
    -Name "fAllowUnsolicitedFullControl" `
    -PropertyType DWord `
    -Value 1 `
    -Force

Los valores utilizados son:

Atención: estos valores no sustituyen la configuración de la lista de ayudantes autorizados. Debemos configurar también la subclave RAUnsolicit con los técnicos o grupos permitidos. No es recomendable habilitar Offer Remote Assistance sin esa lista de autorización.

La documentación de Microsoft describe la estructura de esta política y la lista de ayudantes. Microsoft Learn+1

2.3. Habilitar el firewall desde PowerShell

Podemos habilitar las reglas de entrada de Asistencia remota con:

Enable-NetFirewallRule -DisplayGroup "Remote Assistance"

Si el sistema está en español, primero debemos identificar el nombre del grupo:

Get-NetFirewallRule |
    Where-Object {
        $_.DisplayGroup -match "Asistencia remota|Remote Assistance"
    } |
    Select-Object DisplayName, DisplayGroup, Enabled, Profile

Es recomendable limitar las reglas al perfil de dominio o a los perfiles privados que correspondan a la arquitectura de red.

2.4. Comprobación de la configuración

Podemos verificar los parámetros configurados mediante:

Get-ItemProperty `
"HKLM:\SOFTWARE\Policies\Microsoft\Windows NT\Terminal Services" |
Select-Object fAllowUnsolicited, fAllowUnsolicitedFullControl

Y comprobar que las reglas de firewall están habilitadas:

Get-NetFirewallRule -DisplayGroup "Remote Assistance" |
Select-Object DisplayName, Enabled, Profile

Si la configuración es correcta, el equipo estará preparado para recibir solicitudes de asistencia de los técnicos autorizados, siempre que también se cumplan los requisitos de conectividad y permisos.

Nota: si el equipo pertenece a un dominio, una GPO de dominio puede sobrescribir la configuración local. Para evitar inconsistencias, conviene comprobar siempre el resultado efectivo de las directivas.

3. Cómo utilizar MSRA / Offer Remote Assistance

Una vez desplegada la configuración, podemos empezar a utilizar la herramienta.

El proceso es sencillo y no requiere instalar aplicaciones adicionales.

3.1. Desde el equipo del técnico

El técnico abre una consola CMD o PowerShell y ejecuta:

msra /offerra

Se abrirá el asistente de Microsoft Remote Assistance.

Connecting to Another PC with Windows Remote Assistance (part 3) - Windows 7 - tutorial.wmlcloud.com

tutorial.wmlcloud.com

En la ventana correspondiente introducimos el nombre del equipo al que queremos conectarnos.

Por ejemplo:

PC-USUARIO-001

También podemos utilizar el nombre DNS completo:

PC-USUARIO-001.dominio.local

Pulsamos para continuar y se iniciará el intento de conexión.

3.2. Desde el equipo del usuario

El equipo de destino recibirá una solicitud de asistencia remota.

En función de la configuración aplicada y de la modalidad de asistencia, el usuario podrá visualizar la solicitud y aceptar la conexión.

Cuando se autorice la sesión, el técnico podrá visualizar el escritorio y, si la política lo permite, solicitar el control remoto.

3.3. Control del equipo remoto

Durante la sesión, el técnico puede:

• Visualizar el escritorio del usuario.
• Identificar errores y problemas de configuración.
• Guiar al usuario durante una intervención.
• Solicitar el control remoto cuando esté permitido.
• Ejecutar tareas de diagnóstico y soporte.
• Finalizar la sesión cuando termine la intervención.

La diferencia entre visualizar y controlar es especialmente importante desde el punto de vista de seguridad.

No todas las intervenciones requieren controlar el equipo. Por eso, es recomendable aplicar el principio de mínimo privilegio.

3.4. Finalizar la sesión

Cuando finalice la intervención, el técnico debe cerrar la sesión de asistencia remota.

También es recomendable registrar la intervención en el sistema de gestión de incidencias, indicando:

• Usuario afectado.
• Equipo al que se ha accedido.
• Técnico responsable.
• Fecha y hora.
• Motivo de la conexión.
• Operaciones realizadas.
• Resultado de la intervención.

Esto permite disponer de trazabilidad sobre las conexiones realizadas.

Seguridad y buenas prácticas de implementación

Aunque Microsoft Remote Assistance es una herramienta integrada en Windows, su utilización debe estar sujeta a controles de seguridad.

Habilitar el acceso remoto sin establecer restricciones puede convertirse en un riesgo para la organización.

Estas son las medidas que recomiendo aplicar:

También debemos tener en cuenta que MSRA no es una herramienta de gestión de privilegios. Que un técnico esté autorizado para ofrecer asistencia no significa que deba disponer automáticamente de permisos administrativos sobre el equipo.

Los permisos del técnico durante la intervención dependerán también de los privilegios de su cuenta y de los mecanismos de elevación de Windows.

Riesgos de habilitar Offer Remote Assistance indiscriminadamente

Existe un riesgo importante cuando se permite que cualquier usuario pueda ofrecer asistencia remota.

Un atacante que consiga utilizar una cuenta autorizada podría intentar iniciar conexiones hacia otros equipos de la organización.

Además, un usuario podría aceptar una solicitud de asistencia que no esperaba.

Por este motivo, algunas recomendaciones de endurecimiento de Windows, como CIS Benchmark, aconsejan mantener deshabilitada la modalidad Offer Remote Assistance cuando no exista una necesidad empresarial justificada. Tenable®+1

La decisión de habilitarla debe responder a un análisis de riesgos y a una necesidad operativa real.

Relación con ISO/IEC 27001:2022

La implementación de Microsoft Remote Assistance puede contribuir al cumplimiento de diferentes controles de seguridad contemplados en la norma ISO/IEC 27001:2022.

Es importante aclarar que utilizar MSRA no supone cumplir automáticamente con ISO 27001.

La norma establece un sistema de gestión de seguridad de la información (SGSI), y las herramientas tecnológicas son únicamente una parte de los mecanismos utilizados para implantar los controles definidos por la organización.

En este caso, MSRA puede servir como mecanismo técnico para aplicar determinados controles del Anexo A.

Controles relacionados

Estos controles permiten justificar diferentes medidas técnicas y organizativas relacionadas con el uso de asistencia remota. Empowering Assurance Services+2

¿Qué evidencias podemos presentar en una auditoría?

Si queremos justificar ante un auditor la implementación de MSRA, no es suficiente con mostrar que el comando msra /offerra funciona.

Debemos poder demostrar que existe un procedimiento controlado para su utilización.

Algunas evidencias que podemos aportar son:

1. Política de acceso

• Relación de grupos autorizados.
• Justificación de los permisos concedidos.
• Procedimiento de alta y baja de técnicos.

2. Configuración técnica

• Capturas de la GPO aplicada.
• Exportación de las directivas mediante gpresult.
• Configuración del firewall.
• Evidencias de los valores de registro.
• Relación de equipos donde está habilitada la funcionalidad.

3. Registro de intervenciones

• Identificación del técnico.
• Identificación del equipo remoto.
• Fecha y hora de la conexión.
• Motivo de la intervención.
• Resultado de la asistencia.

4. Revisión periódica

• Comprobación de los usuarios autorizados.
• Revisión de los permisos.
• Verificación de las reglas del firewall.
• Comprobación de que la herramienta sigue siendo necesaria.

5. Gestión de riesgos

• Identificación de los riesgos asociados al acceso remoto.
• Medidas para reducirlos.
• Justificación de la modalidad de asistencia elegida.

Una consideración importante sobre la trazabilidad

MSRA no debe confundirse con una plataforma completa de auditoría de sesiones.

Aunque Windows permite configurar el registro de sesiones de Remote Assistance mediante la política Turn on session logging, estos registros no sustituyen necesariamente un sistema centralizado de auditoría ni proporcionan por sí solos una grabación íntegra de todas las acciones realizadas por el técnico. Microsoft Learn

Para entornos con requisitos elevados de trazabilidad, conviene complementar MSRA con:

• Sistema de gestión de incidencias.
• Centralización de eventos mediante Windows Event Forwarding o SIEM.
• Auditoría de cuentas privilegiadas.
• Procedimientos documentados de acceso remoto.

Conclusión

Microsoft Remote Assistance mediante Offer Remote Assistance es una alternativa interesante para proporcionar soporte técnico remoto en entornos Windows.

Su integración con Active Directory, la posibilidad de definir grupos de técnicos autorizados y la administración mediante GPO permiten establecer un modelo de asistencia centralizado y controlado.

La ejecución del comando:

msra /offerra

simplifica el trabajo del departamento de soporte, evitando que el usuario tenga que generar manualmente una invitación en cada intervención.

Sin embargo, su implantación debe acompañarse de controles de acceso, restricciones de firewall, procedimientos de intervención y mecanismos de trazabilidad.

Desde el punto de vista de ISO/IEC 27001:2022, MSRA puede contribuir a la aplicación de controles relacionados con el acceso, la gestión de privilegios, la configuración segura, la monitorización y la seguridad de las redes.

La clave no está simplemente en habilitar la herramienta, sino en garantizar que cada conexión remota esté autorizada, justificada y sometida a un procedimiento de control.

Consideraciones finales y compatibilidad

Antes de desplegar MSRA de forma generalizada, recomiendo realizar una prueba piloto con varios equipos y comprobar:

• Que los equipos resuelven correctamente sus nombres DNS.
• Que existe conectividad entre el técnico y el equipo de destino.
• Que las reglas RPC del firewall permiten la comunicación.
• Que únicamente los técnicos incluidos en la lista de ayudantes pueden ofrecer asistencia.
• Que el usuario recibe la solicitud y puede controlar su aceptación.
• Que las intervenciones quedan documentadas.

También conviene distinguir MSRA de otras herramientas como Quick Assist y Remote Help. Son soluciones diferentes, con modelos de autenticación, conectividad y administración distintos. No debemos asumir que una configuración de MSRA es aplicable a ellas.

10. Documentación de referencia

Para ampliar la información y consultar la documentación técnica original:

1. Microsoft Learn – RemoteAssistance Policy CSP. Configuración de las políticas de asistencia remota y sus valores de registro.

2. Microsoft Learn – Microsoft-Windows-RemoteAssistance-Exe. Configuración de Windows y firewall para asistencia remota.

3. Microsoft Learn – Registro de sesiones de Remote Assistance. Configuración de logging.

4. CIS Benchmark – Configure Offer Remote Assistance. Recomendaciones de endurecimiento de Windows.

5. ISO/IEC 27001:2022 – Anexo A. Referencia de controles de seguridad de la información.

Juan José Fernández Durán

Arquitecto de Soluciones & Consultor IT

See author's posts