Come abilitare l’amministrazione remota in Windows in modo sicuro e ripetibile

Gli MSP hanno bisogno di una baseline sicura per la gestione remota da applicare facilmente su endpoint e server Windows. Tuttavia, è necessario abilitare i servizi insieme a un’attività di scoping e hardening, così da evitare rischi inutili. Per ottenere una configurazione sicura servono il trasporto corretto, regole firewall limitate agli ambiti necessari, assegnazioni di gruppo basate sul privilegio minimo e un logging verificabile.

Questa guida offre al tuo MSP e al tuo team IT indicazioni concrete per abilitare Remote Desktop Protocol (RDP), Windows Remote Management (WinRM) e Assistenza remota. I passaggi descritti sono verificabili, controllati e ideali per una distribuzione su larga scala.

Come abilitare l’amministrazione remota in Windows in modo sicuro

Prima di iniziare ad abilitare l’amministrazione remota in Windows, devi soddisfare i seguenti requisiti di base:

📌 Prerequisiti:

• Devi aver già creato un gruppo di amministrazione per Utenti desktop remoto o per gli amministratori locali.
• I team IT devono limitare l’accesso remoto alle subnet di gestione o a jump host designati tramite regole firewall.
• Su tutti gli endpoint gestiti devono essere configurati certificati attendibili per i listener WinRM HTTPS.
• Dovrai inoltrare gli eventi di accesso e di sessione remota a un raccoglitore di log centralizzato oppure a uno strumento Security Information and Event Management (SIEM).

Checklist dei prerequisiti

Passaggio 1: scegli i trasporti e abilita RDP in modo sicuro

📌 Casi d’uso:

• Questo passaggio ti permette di eseguire l’amministrazione remota senza esporre i sistemi in modo generalizzato, garantendo un accesso controllato e sicuro.
• Ti consente di risolvere problemi, automatizzare attività o assistere gli utenti da remoto imponendo al contempo l’autenticazione.

📌 Prerequisiti:

• Ti servono diritti amministrativi sul sistema per abilitare RDP e configurare le regole firewall.
• Serve l’accesso a Proprietà del sistema, alle impostazioni di Windows Firewall o alla Console Gestione Criteri di gruppo.

Procedura:

1. Per prima cosa devi decidere quale trasporto utilizzare:
   1. RDP per la risoluzione dei problemi interattiva
   2. WinRM per la gestione tramite script
   3. Assistenza remota per sessioni guidate
2. Una volta scelto il trasporto, apri Proprietà del sistema > Connessione remota e seleziona Consenti connessioni remote.
3. Successivamente, richiedi l’autenticazione a livello di rete (NLA) per tutte le sessioni RDP.
4. Aggiungi solo account attendibili al gruppo Utenti desktop remoto.
5. Abilita le regole firewall integrate per Desktop remoto in Windows Defender Firewall con sicurezza avanzata.
6. Limita le regole firewall alle subnet di amministrazione attendibili o ai jump host.

💡 Riferimento rapido alle porte:

• RDP: TCP 3389 (richiede NLA)
• WinRM (HTTPS): TCP 5986

Assistenza remota: TCP 135 + porte dinamiche (o RPC)

Passaggio 2: abilita WinRM per una gestione remota sicura

📌 Casi d’uso:

• Abilita una gestione remota sicura basata su script tramite PowerShell.
• Riduce la dipendenza da RDP consentendo automazione e configurazione senza accedere all’intero desktop.

📌 Prerequisiti:

• Ti servono diritti amministrativi sugli endpoint o sui domain controller.
• Serve un accesso avanzato alla Console Gestione Criteri di gruppo (GPMC) o a PowerShell in locale.
• Devi disporre di un certificato considerato attendibile dall’endpoint.

Procedura:

1. Configura Windows Remote Management (WinRM) su HTTPS per supportare il remoting di PowerShell.
2. Crea un listener HTTPS attendibile tramite PowerShell:

winrm create winrm/config/Listener?Address=*+Transport=HTTPS @{Hostname=”serverFQDN”;CertificateThumbprint=”thumbprint”}

3. Successivamente, disabilita l’autenticazione Basic e quella non crittografata:

winrm set winrm/config/service/auth @{Basic=”false”}
winrm set winrm/config/service @{AllowUnencrypted=”false”}

4. Abilita solo le subnet di gestione tramite regole firewall o filtri IP. Sostituisci con:

New-NetFirewallRule -DisplayName "Allow WinRM HTTPS" -Direction Inbound -Protocol TCP -LocalPort 5986 -RemoteAddress 192.168.10.0/24

5. Consulta la configurazione dei criteri di gruppo WinRM di IBM per la distribuzione su tutto il dominio.

Passaggio 3: configura Assistenza remota e gli ambiti firewall

📌 Casi d’uso:

• Offre una risoluzione dei problemi sicura e guidata dall’utente quando serve l’intervento diretto di un amministratore.
• Permette al personale di fornire assistenza senza esporre i sistemi ad accessi troppo ampi.

📌 Prerequisiti:

• Verifica di disporre dei diritti di amministratore locale o di dominio sui sistemi di destinazione.
• Conferma di poter accedere alla Console Gestione Criteri di gruppo (GPMC) o alle impostazioni di sistema locali in cui verranno applicate le policy.
• Assicurati che il personale di supporto sia inserito nei gruppi di sicurezza designati a cui verranno concessi i diritti di Assistenza remota.

Procedura:

1. Per prima cosa, abilita Assistenza remota (se necessario).
   1. Apri la Console Gestione Criteri di gruppo (GPMC).
   2. Vai quindi a Configurazione del computer > Modelli amministrativi > Sistema > Assistenza remota
   3. Abilita Configura Offri assistenza remota e Configura Assistenza remota richiesta.
2. Nella stessa finestra, indica i gruppi di sicurezza del supporto del tuo MSP come helper autorizzati.
3. In Assistenza remota richiesta, configura la durata massima del ticket (impostala su 30 minuti).
4. Richiedi il consenso dell’utente verificando che Consenti agli helper di controllare il computer in remoto sia impostato su Richiedi conferma.
5. In Windows Defender Firewall, abilita le seguenti regole in entrata:
   1. Desktop remoto
   2. Windows Remote Management
   3. Gestione remota dei servizi
   4. Assicurati di limitarle alle tue reti di gestione tramite la scheda Ambito > Indirizzo IP remoto

Passaggio 4: metti in sicurezza l’accesso remoto verificando le impostazioni

📌 Casi d’uso:

• Garantisce che le impostazioni di accesso remoto siano applicate correttamente e rese più sicure.
• Fornisce prove verificabili per le revisioni di conformità e di sicurezza.
• Questo passaggio ti aiuta a individuare per tempo le configurazioni errate, prima che diventino sfruttabili.

📌 Prerequisiti:

• Ti serve una workstation di amministrazione con RDP e il remoting di PowerShell abilitati.
• Questo passaggio richiede l’accesso al SIEM per la convalida dei log.

Procedura:

1. Convalida tutte le configurazioni di accesso remoto da una workstation di amministrazione.
2. Testa RDP con l’autenticazione a livello di rete (NLA) e WinRM su HTTPS.
3. Verifica che gli ID evento relativi agli accessi remoti e al remoting di PowerShell vengano registrati nel SIEM.
4. Esporta istantanee relative all’appartenenza ai gruppi, agli ambiti firewall e allo stato dei listener WinRM come prova. Usa i seguenti comandi PowerShell :
   1. Per ottenere i dati sull’appartenenza ai gruppi: Get-LocalGroupMember -Group "Administrators"
   2. Per raccogliere dati sugli ambiti firewall: Get-NetFirewallRule | Format-Table Name, Enabled, Direction, Action
   3. Per ottenere dati sullo stato dei listener WinRM: Get-WSManInstance -ResourceURI winrm/config/Listener -Enumerate
5. Mantieni un livello di sicurezza elevato imponendo TLS, richiedendo l’MFA e applicando un patching regolare.

Passaggio 5: gestisci manutenzione, rollback e accesso alla console di emergenza

📌 Casi d’uso:

• Offre una rete di sicurezza nel caso in cui la gestione remota venga usata in modo improprio o compromessa.
• Garantisce che gli amministratori possano disabilitare rapidamente RDP e WinRM mantenendo l’accesso alla console di emergenza.

📌 Prerequisiti:

• Servono diritti di amministratore per modificare le impostazioni di gestione remota.
• Ti serve l’accesso ai criteri di gruppo o a PowerShell per disabilitare RDP/WinRM.

Procedura:

1. Prepara un piano di rollback rapido per disabilitare la gestione remota in caso di uso improprio o compromissione.
2. Mantieni un runbook sintetico con i comandi o i passaggi GPO necessari a disabilitare RDP e WinRM.
3. Conserva un accesso alla console di emergenza indipendente dall’autenticazione di rete, come console diretta, IPMI e console dell’host di virtualizzazione.
4. Testa periodicamente il rollback e l’accesso alla console per garantirne la disponibilità durante gli incidenti.

Passaggio 6: distribuisci e convalida le configurazioni di gestione remota su larga scala

📌 Casi d’uso:

• Questo passaggio ti permette di applicare policy di accesso remoto coerenti su tutti gli endpoint.
• Ti consente di standardizzare le configurazioni di WinRM, firewall e logging negli ambienti di dominio.
• Garantisce che i dispositivi in workgroup o ibridi restino allineati alle baseline di sicurezza enterprise.

📌 Prerequisiti:

• Servono diritti amministrativi per creare e collegare le GPO, oltre all’accesso ad Active Directory per i sistemi aggiunti al dominio.
• Ti serve uno strumento di gestione della configurazione o di monitoraggio in grado di rilevare il configuration drift, come Intune.

Procedura:

1. Per prima cosa, applica policy di accesso remoto coerenti su tutti gli endpoint. Ecco come:
   1. Usa le GPO per imporre listener WinRM HTTPS, ambiti firewall e impostazioni di logging.
   2. Collega le policy alle unità organizzative (OU) che contengono i sistemi gestiti.
2. Standardizza le configurazioni con le GPO seguendo queste procedure:
   1. Configura le impostazioni del servizio WinRM seguendo questo percorso: Configurazione del computer > Criteri > Modelli amministrativi > Componenti di Windows
   2. Abilita i gruppi firewall predefiniti per Desktop remoto, WinRM e Gestione remota dei servizi.
   3. Configura le policy di logging per la registrazione dei blocchi di script di PowerShell e per gli eventi di accesso remoto.
3. Supporta i dispositivi in workgroup o ibridi con questi metodi:
   1. Distribuisci script PowerShell firmati per configurare WinRM e gli ambiti firewall.
   2. Convalida le firme per assicurarti che gli script siano attendibili e non manomessi.
4. Infine, verifica e correggi il configuration drift con queste attività:
   1. Esporta regolarmente istantanee delle regole firewall, dello stato dei listener WinRM e dell’appartenenza ai gruppi.
   2. Confrontale con le configurazioni di riferimento usando PowerShell Desired State Configuration (DSC) o strumenti di monitoraggio.
   3. Automatizza la correzione quando viene rilevato un drift, per ripristinare la conformità.

Risoluzione dei problemi più comuni

Problema: “Connessione WinRM HTTPS rifiutata.”

• Soluzione: verifica che il CN (Common Name) del certificato corrisponda esattamente all’FQDN del server.

Problema: “RDP funziona in locale ma non tramite VPN.”

Soluzione: controlla se la subnet VPN è inclusa nella scheda Ambito della regola di Windows Firewall.

⚠️ Aspetti a cui prestare attenzione

Best practice per abilitare l’amministrazione remota in Windows in modo sicuro

Esempi di implementazione per abilitare l’amministrazione remota in Windows in modo sicuro

Ecco alcuni punti di riferimento che ti aiuteranno a distribuire l’amministrazione dell’accesso remoto in Windows in modo sicuro.

• Abilita RDP con NLA per bloccare le intrusioni per forza bruta prima dell’avvio delle sessioni.
• Crea un listener WinRM HTTPS per proteggere con la crittografia il traffico di gestione remota.
• Limita le regole firewall agli indirizzi CIDR (Classless Inter-Domain Routing) di gestione per restringere l’accesso alle reti di amministrazione attendibili.
• Puoi aggiungere i gruppi di supporto a Utenti desktop remoto per concedere un accesso controllato ai team di supporto autorizzati.
• Disabilita l’autenticazione Basic per WinRM per evitare l’esposizione delle credenziali in chiaro
• Per verificare la connettività e confermare la riuscita della configurazione, esegui chiamate di test del remoting.
• Scrivi un file di evidenze in formato JSON per registrare gruppi locali, ambiti firewall, stato dei listener e risultati dei test con relativi timestamp.
• Applica una variante basata su GPO per imporre la stessa configurazione in modo coerente su tutti gli endpoint.

Idee di integrazione con NinjaOne per abilitare la gestione remota in Windows in modo sicuro

• Puoi usare NinjaOne per distribuire lo script di abilitazione in base al ruolo del dispositivo, applicando così la configurazione giusta per ciascun tipo di sistema.
• Pianifica verifiche periodiche di NLA per RDP, WinRM HTTPS, ambiti firewall e appartenenza ai gruppi locali per garantire conformità e sicurezza nel tempo.
• Allega le istantanee di evidenza a NinjaOne Documentation per dimostrare lo stato della configurazione ed essere pronto agli audit.
• Apri automaticamente ticket nella gestione dei ticket di NinjaOne quando gli ambiti firewall subiscono un drift o quando compaiono account non autorizzati in Utenti desktop remoto, così da avviare subito la correzione.

Distribuire l’amministrazione remota di Windows nella tua rete in modo sicuro

L’amministrazione remota può essere sicura e affidabile se i trasporti vengono scelti con criterio, l’esposizione del firewall è limitata, l’autenticazione è moderna e le evidenze vengono raccolte. Dopo aver applicato e verificato queste impostazioni, potrai mantenere un accesso prevedibile e verificabile.

Argomenti correlati:

• Che cos’è l’accesso remoto? Una panoramica completa
• Il miglior software di accesso remoto nel 2026: soluzioni sicure per l’accesso remoto
• Che cos’è il Remote Desktop Protocol (RDP)?
• Comandi remoti
• Che cos’è l’accesso remoto? [FAQ]