Come abilitare l’MFA per RDP: guida completa

Remote Desktop Protocol (RDP) resta uno degli strumenti più efficaci a disposizione degli MSP per gestire ambienti IT ibridi. Allo stesso tempo, è anche uno dei bersagli preferiti da numerosi attori malevoli. Per questo abilitare l’autenticazione a più fattori (MFA) per RDP è fondamentale per mantenere una situazione pulita, conservare la fiducia dei clienti e ridurre lo stress. In fondo, sono davvero poche le cose che possono rovinare un venerdì più in fretta di una violazione via RDP.

Le configurazioni MFA migliori per RDP

Prima di abilitare l’MFA, assicurati che l’ambiente sia pronto. Una pianificazione accurata e una buona comunicazione evitano blocchi degli accessi, interruzioni di servizio e coperture parziali sugli endpoint. Lavora ad esempio su questi prerequisiti:

• Inventario aggiornato dell’esposizione RDP e dei percorsi di accesso
• Provider MFA approvato e fattori previsti (TOTP, push, FIDO2, smartcard)
• Gestione dei certificati per il TLS sui gateway e per FTPS o HTTPS, dove necessario
• Change control che includa le finestre di impatto sul servizio e le procedure di rollback
• Logging centralizzato degli eventi di sicurezza di Windows, dei log del gateway e degli eventi del provider MFA

💡 Nota: i requisiti possono variare in base ai sistemi, alle policy e alle esigenze di business.

Casi d’uso di RDP

RDP viene spesso utilizzato per l’amministrazione remota sicura, la manutenzione dei server e il supporto tecnico. Gli MSP si affidano a RDP per accedere ai sistemi dei clienti, mentre i reparti IT interni lo usano per gestire l’infrastruttura distribuita su più sedi. Anche i fornitori possono utilizzare un accesso RDP controllato durante distribuzioni o integrazioni.

Modello 1: Gateway Desktop remoto con MFA

Nella maggior parte degli ambienti on-premise, l’uso di un Gateway Desktop remoto con MFA offre il miglior equilibrio tra sicurezza, controllo e gestibilità. Ecco come procedere:

1. Distribuisci il Gateway Desktop remoto con un certificato TLS e limita il traffico in ingresso alla porta 443.
2. Integra l’MFA a livello di gateway tramite un’estensione o un plug-in compatibile del provider.
3. Applica la Network Level Authentication e disattiva l’esposizione di RDP a Internet.
4. Configura le policy CAP e RAP per definire chi può connettersi e verso quali host.
5. Abilita il logging centralizzato per il Gateway Desktop remoto e per gli eventi del provider MFA, inoltrando i log al tuo SIEM per la correlazione e gli avvisi.

Questa configurazione centralizza e protegge tutti gli accessi RDP applicando l’MFA a livello di gateway.

Verificando l’identità dell’utente prima che una sessione si connetta ai sistemi interni, gli MSP ottengono un unico punto di controllo verificabile che limita l’esposizione, semplifica la conformità e rafforza la sicurezza complessiva dell’accesso remoto.

Modello 2: MFA all’accesso sull’endpoint (basata su agente)

Quando un Gateway Desktop remoto non è disponibile o praticabile, l’MFA all’accesso sull’endpoint può essere configurata per proteggere le sessioni RDP direttamente a livello di dispositivo. È anche il modello MFA ideale per sistemi isolati, workstation con privilegi elevati o ambienti che richiedono l’applicazione direttamente sulla macchina, senza dipendere dall’infrastruttura di rete.

1. Installa un agente MFA di accesso supportato su tutti i server di destinazione e sugli endpoint con privilegi elevati.
2. Configura le policy in modo da richiedere l’MFA sia per gli accessi RDP sia per quelli da console, con esclusioni riservate ai soli account di servizio che non supportano l’autenticazione interattiva.
3. Verifica i percorsi di ripristino, come codici offline o token hardware, per gli scenari di manutenzione o di tempi di inattività.
4. Abilita il logging centralizzato per registrare gli esiti positivi e negativi dell’MFA e configura avvisi per i rifiuti ripetuti o i tentativi falliti.

L’MFA all’accesso sull’endpoint estende la protezione MFA direttamente a ogni endpoint, garantendo che il controllo degli accessi resti efficace anche in assenza di un Gateway Desktop remoto.

Modello 3: accesso condizionale in cloud

Per le organizzazioni che utilizzano Azure Virtual Desktop (AVD) o altre soluzioni RDP gestite in cloud, l’accesso condizionale con MFA offre un controllo basato sull’identità delle sessioni remote.

1. Associa gli scenari RDP ad AVD o a un altro servizio che supporti l’accesso condizionale.
2. Crea policy di accesso condizionale che richiedano l’MFA e limitino l’accesso ai dispositivi conformi, con aggiunta ibrida o gestiti.
3. Testa i flussi di autenticazione per amministratori e account ad alto rischio; documenta le eccezioni e le relative scadenze.
4. Esporta e centralizza nel tuo SIEM i log di accesso e i dati sulle richieste MFA per il monitoraggio.

Questo modello realizza un approccio alla sicurezza incentrato sull’identità per RDP, combinando la verifica dell’utente con i controlli di conformità del dispositivo.

Monitoraggio, evidenze e controlli del rischio

Ogni implementazione dovrebbe monitorare la copertura su tutti gli endpoint, documentando la percentuale di sistemi protetti da un Gateway Desktop remoto o da MFA a livello di endpoint, insieme agli utenti gestiti tramite policy di accesso condizionale.

Logging degli eventi

Ad esempio, i log degli eventi di sicurezza di Windows (ID 4624 e 4625), delle connessioni al Gateway Desktop remoto e degli esiti del provider MFA devono essere raccolti e analizzati con regolarità per verificare l’applicazione delle regole e individuare anomalie.

Documentazione accurata e periodica

Ogni eccezione, inoltre, dovrebbe avere un responsabile assegnato, una motivazione documentata, date di inizio e fine e misure di sicurezza compensative. Nel reporting periodico, riepiloga le richieste MFA, gli accessi non riusciti, i tentativi bloccati e gli eventuali endpoint non protetti.

Controlli del rischio

Infine, per garantire la continuità operativa, le organizzazioni dovrebbero mantenere una procedura di break-glass monitorata, che conceda un accesso di emergenza limitato e circoscritto nel tempo. Devono inoltre essere disponibili metodi di accesso offline per la manutenzione, da testare ogni trimestre per confermarne l’affidabilità.

Valuta poi di prevedere un piano di rollback per ogni distribuzione, in caso di interruzioni del gateway o di guasti agli agenti. Definisci infine finestre di modifica preapprovate per ridurre al minimo i disservizi durante il ripristino.

Integrazioni RDP e MFA di NinjaOne

NinjaOne offre un ampio supporto per diverse opzioni di configurazione MFA, per la gestione degli endpoint e per il reporting IT.

• Supporto MFA: app di autenticazione, SMS, chiavi hardware, accessi con tempo di inattività amministrativo globale e bypass condizionale dell’MFA per gli utenti SSO.
• Distribuisci i prerequisiti dell’agente gateway o gli agenti MFA sugli endpoint, applica le impostazioni RDP e Network Level Authentication (NLA) e verifica la conformità dei certificati TLS.
• Automazione: metti in quarantena gli endpoint che falliscono ripetutamente i controlli MFA e avvia flussi di lavoro di rotazione delle credenziali in caso di sospetta compromissione.
• Reporting IT: crea dashboard che riepilogano la copertura MFA per cliente, i tentativi RDP non riusciti, le modifiche alle policy CAP o RAP e le eccezioni prossime alla scadenza.

NinjaOne Remote® offre inoltre un controllo e una gestione unificati degli endpoint per dispositivi Windows, Mac e Linux. Queste integrazioni RDP e il supporto MFA sono tutti inclusi nella piattaforma NinjaOne.

💡 Suggerimento: consulta le FAQ sull’accesso remoto per scoprire altre funzionalità di NinjaOne Remote®.

Flussi di lavoro RDP semplificati per gli MSP

Abilitare l’MFA per RDP rafforza la sicurezza dell’accesso remoto contro le vulnerabilità RDP più comuni. Con la giusta pianificazione, può diventare anche l’occasione per migliorare i flussi di lavoro dei tecnici e le altre sessioni IT da remoto. Man mano che gli ambienti dei clienti diventano ibridi, gli MSP possono fare un ulteriore passo avanti unificando il proprio stack IT: un modo per ridurre ancora di più i rischi nella gestione degli asset remoti, nel controllo degli accessi condivisi e nella conservazione delle credenziali.

Argomenti correlati:

• Come controllare un PC da remoto
• Come configurare il Gateway Desktop remoto
• Best practice per l’accesso remoto per MSP e professionisti IT
• Come configurare il Gateway Desktop remoto
• Abilitare o disabilitare RDP sulle workstation con PowerShell [script NinjaOne]