Configuração Segura de RDP: Como Evitar Acessos Não Autorizados

Pré-requisitos Essenciais para a Configuração de RDP

A configuração segura do Remote Desktop Protocol (RDP) requer atenção a um conjunto de pré-requisitos essenciais, especialmente em ambientes empresariais que utilizem o Windows Server 2016 ou versões superiores. Estas versões oferecem funcionalidades de segurança melhoradas e suporte para as práticas recomendadas atuais. Certifique-se de que o sistema operativo está atualizado com todas as correções de segurança relevantes aplicadas, fundamentais para proteger contra vulnerabilidades conhecidas que possam ser exploradas.

Além das versões corretas do sistema operativo, é imperativo que as permissões de acesso estejam configuradas corretamente. Apenas utilizadores com privilégios administrativos devem ter autorização para configurar ou alterar definições de RDP. Para garantir isso, confirme se as contas de utilizador estão devidamente categorizadas no grupo Administradores do Windows. O acesso indevido ou excessivo é um risco potencial que deve ser mitigado logo no início do processo de configuração.

Além disso, o protocolo utiliza por predefinição a porta TCP 3389, um ponto crítico a monitorizar na firewall da rede. Antes de iniciar, é indispensável confirmar que outros sistemas de segurança, como VPNs, estão operacionais conforme recomendado pela norma NIST SP 800-46. Com uma VPN, o tráfego RDP é encapsulado numa camada adicional de segurança, minimizando a exposição direta da porta 3389 à Internet.

Configuração da Firewall para RDP

O primeiro passo para uma configuração segura do RDP consiste em implementar regras eficazes na firewall, a começar pela porta predefinida TCP 3389. Deve configurar a firewall para restringir o tráfego na porta 3389 apenas a endereços IP conhecidos e fiáveis, prevenindo acessos não autorizados com origem desconhecida.

New-NetFirewallRule -DisplayName "Allow RDP from Trusted IPs" \
-Direction Inbound -Protocol TCP -Action Allow -LocalPort 3389 -RemoteAddress "192.168.1.0/24,203.0.113.1"

O comando acima cria uma nova regra de firewall que permite ligações RDP exclusivamente a partir dos endereços IP especificados. Modifique os valores "192.168.1.0/24,203.0.113.1" para refletir os IP da sua rede fiável. Esta medida reduz drasticamente a superfície de ataque, uma vez que bloqueia todas as tentativas de acesso de endereços IP não autorizados. Para mais informações sobre comandos de firewall no Windows, consulte a documentação oficial da Microsoft.

Outra precaução importante é configurar registos de auditoria para monitorizar tentativas de acesso não autorizadas. Com registos detalhados, pode identificar imediatamente quaisquer tentativas de ligação maliciosa e ajustar as regras da firewall conforme necessário. Durante a configuração destas regras, os erros mais frequentes passam por esquecer a inclusão de um IP fidedigno ou configurar a firewall para aceitar tráfego de um intervalo demasiado amplo de endereços IP. Ambas as situações podem abrir falhas graves de segurança.

Implementação de Autenticação Multifator no RDP

1. Aceda ao Servidor de Políticas de Rede (NPS) no seu servidor Windows. Certifique-se de que dispõe de permissões de administrador antes de avançar. Na consola do NPS, clique em Configurar RADIUS e selecione AD FS para implementar a autenticação RADIUS como agente de proxy.

2. Instale e configure o NPS como um Servidor RADIUS. Aceda a Iniciar > Ferramentas Administrativas > Servidor de Políticas de Rede. Na configuração do NPS, adicione os seus clientes RADIUS (o servidor RDP) e crie uma nova política de rede para exigir MFA. Defina os métodos de autenticação pretendidos, tais como certificados digitais ou aplicações móveis de autenticação.

3. Configure o Azure MFA como fornecedor de autenticação no AD FS. Na consola de gestão do AD FS, aceda a Autenticação Multifator > Fornecedores de Autenticação > Adicionar Fornecedor e siga as instruções apresentadas no ecrã para concluir a integração com o Azure MFA.

4. Erro comum: Uma configuração incorreta das políticas de rede pode impedir a execução do RADIUS, originando um erro de autenticação. Para resolver, verifique a consola de eventos à procura de mensagens de erro e ajuste a prioridade das políticas, bem como as condições especificadas na política de segurança, conforme necessário.

Políticas de Grupo para Limitação de Acessos no RDP

Limitar as tentativas de início de sessão através do Remote Desktop Protocol é crucial para travar ataques de força bruta. As orientações seguintes descrevem como criar uma Política de Grupo para aplicar estas restrições num ambiente Windows Server 2016 ou superior.

Abra o Editor de Gestão de Políticas de Grupo (gpedit.msc) e navegue até Configuração do Computador > Políticas > Definições do Windows > Definições de Segurança > Políticas de Conta > Política de Bloqueio de Contas. Defina os valores de duração do bloqueio, limite de bloqueio e reposição do contador de bloqueio com números que equilibrem segurança e facilidade de utilização, como, por exemplo, o bloqueio após 5 tentativas falhadas.

Para ativar a Network Level Authentication (NLA), indispensável para uma proteção acrescida no RDP, aceda a Configuração do Computador > Políticas > Modelos Administrativos > Componentes do Windows > Serviços de Ambiente de Trabalho Remoto > Anfitrião de Sessões de Ambiente de Trabalho Remoto > Segurança e ative a definição Exigir autenticação ao nível da rede.

A implementação destas políticas de grupo reforça a infraestrutura, reduzindo os riscos de intrusão através de acessos remotos indevidos. Note que o erro 'CredSSP encryption oracle remediation' pode surgir caso existam falhas na configuração da NLA. Para o corrigir, certifique-se de que todos os sistemas estão atualizados e configurados para suportar o CredSSP.

À medida que ajusta as suas políticas, monitorize continuamente as tentativas de início de sessão através dos registos de segurança, garantindo o equilíbrio pretendido entre proteção e facilidade de acesso para utilizadores autorizados.

Lista de Verificação Final de Segurança para Acessos RDP

• Garantir a configuração correta da firewall: Confirme se as regras para a porta TCP 3389 estão devidamente definidas e apenas os IP fiáveis têm autorização para aceder ao servidor RDP.
• Implementação de VPN: Certifique-se de que o acesso RDP está disponível unicamente através de uma ligação VPN, conforme preconizam as recomendações NIST SP 800-46.
• Configuração de MFA: Verifique se a autenticação multifator está ativa para introduzir uma camada adicional de segurança ao processo de início de sessão.
• Políticas de Grupo (GPO): Reveja a configuração das GPO para limitar o número de tentativas falhadas de início de sessão e certifique-se de que a Network Level Authentication (NLA) está ativada.
• Verificação de Registos e Auditoria: Analise regularmente os registos de acesso para identificar tentativas suspeitas ou não autorizadas de ligação ao sistema RDP.
• Atualizações de Segurança: Assegure-se de que o sistema operativo e todos os serviços de RDP estão atualizados com as correções mais recentes.
• Encerramento de Ligações Inativas: Ative scripts automáticos para terminar sessões RDP que estejam inativas, reduzindo os riscos de segurança.

Auditoria e Registo de Acessos RDP

A auditoria e a monitorização dos acessos RDP são essenciais para confirmar que apenas os utilizadores autorizados acedem com as respetivas credenciais e que não ocorrem tentativas indevidas. Isto é alcançado configurando de forma adequada o sistema de registo no Windows Server, a partir da versão 2016.

Para ativar a auditoria dos registos de RDP, siga estes passos:

1. Abra o 'Visualizador de Eventos' (Event Viewer) no Windows Server.
2. Navegue até: Visualizador de Eventos (Local) > Registos do Windows > Segurança.
3. Configure 'Auditoria de Eventos de Início de Sessão' para registar sucessos e falhas.
4. Configure notificações automáticas para eventos críticos com recurso a ferramentas de alerta.

A tabela abaixo exemplifica uma auditoria de acessos no RDP:

Data/Hora	Utilizador	Endereço IP	Estado	Descrição
01/10/2023 10:15	user1	192.168.1.10	Sucesso	Início de sessão aprovado
01/10/2023 10:20	user2	192.168.2.20	Falha	Palavra-passe incorreta
01/10/2023 10:30	user1	192.168.1.10	Falha	CredSSP encryption oracle remediation

Adicionalmente, para um controlo mais avançado, considere integrar estes registos num sistema SIEM (Security Information and Event Management).

Resumo prático

Mantenha o seu ambiente RDP protegido com as seguintes medidas: proteja a rede através de uma configuração rigorosa da firewall, consultando o artigo Impacto do Firewall na Velocidade de Rede: Análise Comparativa; implemente uma VPN para os acessos remotos segundo as normas do NIST; adote a autenticação MFA e rastreie os acessos com políticas de auditoria bem estruturadas. Para compreender melhor o impacto no desempenho ao aplicar estas medidas, consulte os detalhes de latência e largura de banda no artigo Impactos da Latência e Banda no Suporte Remoto.