{"id":916631,"date":"2026-10-29T17:07:11","date_gmt":"2026-10-29T17:07:11","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/abilitare-mfa-per-rdp\/"},"modified":"2026-10-29T17:07:13","modified_gmt":"2026-10-29T17:07:13","slug":"abilitare-mfa-per-rdp","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/it\/blog\/abilitare-mfa-per-rdp\/","title":{"rendered":"Come abilitare l\u2019MFA per RDP: guida completa"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Punti chiave<\/h2>\n<ul>\n<li>Scegli un modello di applicazione dell\u2019MFA, ad esempio MFA sul Gateway Desktop remoto, MFA all\u2019accesso sull\u2019endpoint e accesso condizionale cloud per Azure o piattaforme simili.<\/li>\n<li>Gateway Desktop remoto: applica l\u2019MFA prima che una sessione RDP raggiunga l\u2019host.<\/li>\n<li>Accesso sull\u2019endpoint: installa agenti MFA su server o workstation Windows per coprire sia l\u2019accesso remoto sia quello da console.<\/li>\n<li>Accesso condizionale: per Azure Virtual Desktop (AVD) e altri servizi intermediati, oppure per configurazioni ibride e in cloud.<\/li>\n<li>Standardizza i protocolli MFA per mantenere sicurezza e flessibilit\u00e0 operativa.<\/li>\n<\/ul>\n<\/div>\n<p>Remote Desktop Protocol (RDP) resta uno degli strumenti pi\u00f9 efficaci a disposizione degli MSP per gestire ambienti IT ibridi. Allo stesso tempo, \u00e8 anche uno dei bersagli preferiti da numerosi attori malevoli. Per questo abilitare l\u2019autenticazione a pi\u00f9 fattori<strong> (MFA) per RDP<\/strong> \u00e8 fondamentale per mantenere una situazione pulita, conservare la fiducia dei clienti e ridurre lo stress. In fondo, sono davvero poche le cose che possono rovinare un venerd\u00ec pi\u00f9 in fretta di una violazione via RDP.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Proteggi l\u2019accesso remoto e riduci le superfici di attacco con una checklist completa<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/it\/resource\/checklist-per-hardening-degli-endpoint\/\" rel=\"noopener\" target=\"_blank\">Scarica la nostra checklist per l\u2019hardening degli endpoint<\/a><\/p>\n<\/div>\n<h2>Le configurazioni MFA migliori per RDP<\/h2>\n<p>Prima di abilitare l\u2019<a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-multifactor-authentication-mfa\/\">MFA<\/a>, assicurati che l\u2019ambiente sia pronto. Una pianificazione accurata e una buona comunicazione evitano blocchi degli accessi, interruzioni di servizio e coperture parziali sugli <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cose-un-endpoint-panoramica-per-professionisti\/\">endpoint<\/a>. Lavora ad esempio su questi prerequisiti:<\/p>\n<ul>\n<li>Inventario aggiornato dell\u2019esposizione RDP e dei percorsi di accesso<\/li>\n<li>Provider MFA approvato e fattori previsti (TOTP, push, FIDO2, smartcard)<\/li>\n<li>Gestione dei certificati per il <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/cos-e-handshake-tls\/\">TLS<\/a> sui gateway e per FTPS o HTTPS, dove necessario<\/li>\n<li>Change control che includa le finestre di impatto sul servizio e le procedure di rollback<\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/automatizzare-il-monitoraggio-dei-log-eventi-di-windows\/\">Logging centralizzato degli eventi di sicurezza di Windows<\/a>, dei log del gateway e degli eventi del provider MFA<\/li>\n<\/ul>\n<p>\ud83d\udca1 <strong>Nota<\/strong>: i requisiti possono variare in base ai sistemi, alle policy e alle esigenze di business.<\/p>\n<p><strong>Casi d\u2019uso di RDP<\/strong><\/p>\n<p>RDP viene spesso utilizzato per l\u2019amministrazione remota sicura, la manutenzione dei server e il supporto tecnico. Gli MSP si affidano a RDP per accedere ai sistemi dei clienti, mentre i reparti IT interni lo usano per gestire l\u2019infrastruttura distribuita su pi\u00f9 sedi. Anche i fornitori possono utilizzare un accesso RDP controllato durante distribuzioni o integrazioni.<\/p>\n<h3>Modello 1: Gateway Desktop remoto con MFA<\/h3>\n<p>Nella maggior parte degli ambienti on-premise, l\u2019uso di un Gateway Desktop remoto con MFA offre il miglior equilibrio tra sicurezza, controllo e gestibilit\u00e0. Ecco come procedere:<\/p>\n<ol>\n<li>Distribuisci il <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/come-configurare-un-remote-desktop-gateway\/\">Gateway Desktop remoto<\/a> con un certificato TLS e limita il traffico in ingresso alla porta 443.<\/li>\n<li>Integra l\u2019MFA a livello di gateway tramite un\u2019estensione o un plug-in compatibile del provider.<\/li>\n<li>Applica la <a href=\"https:\/\/www.quora.com\/What-is-network-level-authentication-for-a-remote-desktop\" target=\"_blank\" rel=\"noopener\">Network Level Authentication<\/a> e disattiva l\u2019esposizione di RDP a Internet.<\/li>\n<li>Configura le policy CAP e RAP per definire chi pu\u00f2 connettersi e verso quali host.<\/li>\n<li>Abilita il logging centralizzato per il Gateway Desktop remoto e per gli eventi del provider MFA, inoltrando i log al tuo <a href=\"https:\/\/www.ninjaone.com\/it-hub\/endpoint-security\/what-is-security-information-and-event-management-siem\/\">SIEM<\/a> per la correlazione e gli avvisi.<\/li>\n<\/ol>\n<p>Questa configurazione centralizza e protegge tutti gli accessi RDP applicando l\u2019MFA a livello di gateway.<\/p>\n<p>Verificando l\u2019identit\u00e0 dell\u2019utente prima che una sessione si connetta ai sistemi interni, gli MSP ottengono un unico punto di controllo verificabile che limita l\u2019esposizione, semplifica la conformit\u00e0 e rafforza la sicurezza complessiva dell\u2019accesso remoto.<\/p>\n<h3>Modello 2: MFA all\u2019accesso sull\u2019endpoint (basata su agente)<\/h3>\n<p>Quando un Gateway Desktop remoto non \u00e8 disponibile o praticabile, l\u2019MFA all\u2019accesso sull\u2019endpoint pu\u00f2 essere configurata per proteggere le sessioni RDP direttamente a livello di dispositivo. \u00c8 anche il modello MFA ideale per sistemi isolati, workstation con privilegi elevati o ambienti che richiedono l\u2019applicazione direttamente sulla macchina, senza dipendere dall\u2019infrastruttura di rete.<\/p>\n<ol>\n<li>Installa un agente MFA di accesso supportato su tutti i server di destinazione e sugli endpoint con privilegi elevati.<\/li>\n<li>Configura le policy in modo da richiedere l\u2019MFA sia per gli accessi RDP sia per quelli da console, con esclusioni riservate ai soli account di servizio che non supportano l\u2019autenticazione interattiva.<\/li>\n<li>Verifica i percorsi di ripristino, come codici offline o token hardware, per gli scenari di manutenzione o di tempi di inattivit\u00e0.<\/li>\n<li>Abilita il logging centralizzato per registrare gli esiti positivi e negativi dell\u2019MFA e configura avvisi per i rifiuti ripetuti o i tentativi falliti.<\/li>\n<\/ol>\n<p>L\u2019MFA all\u2019accesso sull\u2019endpoint estende la protezione MFA direttamente a ogni endpoint, garantendo che il controllo degli accessi resti efficace anche in assenza di un Gateway Desktop remoto.<\/p>\n<h3>Modello 3: accesso condizionale in cloud<\/h3>\n<p>Per le organizzazioni che utilizzano <a href=\"https:\/\/learn.microsoft.com\/en-us\/azure\/virtual-desktop\/overview\" target=\"_blank\" rel=\"noopener\">Azure Virtual Desktop<\/a> (AVD) o altre soluzioni RDP gestite in cloud, l\u2019accesso condizionale con MFA offre un controllo basato sull\u2019identit\u00e0 delle sessioni remote.<\/p>\n<ol>\n<li>Associa gli scenari RDP ad AVD o a un altro servizio che supporti l\u2019accesso condizionale.<\/li>\n<li>Crea policy di accesso condizionale che richiedano l\u2019MFA e limitino l\u2019accesso ai dispositivi conformi, <a href=\"https:\/\/www.ninjaone.com\/it\/blog\/hybrid-azure-ad-join-2\/\">con aggiunta ibrida<\/a> o gestiti.<\/li>\n<li>Testa i flussi di autenticazione per amministratori e account ad alto rischio; documenta le eccezioni e le relative scadenze.<\/li>\n<li>Esporta e centralizza nel tuo SIEM i log di accesso e i dati sulle richieste MFA per il monitoraggio.<\/li>\n<\/ol>\n<p>Questo modello realizza un approccio alla sicurezza incentrato sull\u2019identit\u00e0 per RDP, combinando la verifica dell\u2019utente con i controlli di conformit\u00e0 del dispositivo.<\/p>\n<h3>Monitoraggio, evidenze e controlli del rischio<\/h3>\n<p>Ogni implementazione dovrebbe monitorare la copertura su tutti gli endpoint, documentando la percentuale di sistemi protetti da un Gateway Desktop remoto o da MFA a livello di endpoint, insieme agli utenti gestiti tramite policy di accesso condizionale.<\/p>\n<h4>Logging degli eventi<\/h4>\n<p>Ad esempio, i log degli eventi di sicurezza di Windows (ID 4624 e 4625), delle connessioni al Gateway Desktop remoto e degli esiti del provider MFA devono essere raccolti e analizzati con regolarit\u00e0 per verificare l\u2019applicazione delle regole e individuare anomalie.<\/p>\n<h4>Documentazione accurata e periodica<\/h4>\n<p>Ogni eccezione, inoltre, dovrebbe avere un responsabile assegnato, una motivazione documentata, date di inizio e fine e misure di sicurezza compensative. Nel reporting periodico, riepiloga le richieste MFA, gli accessi non riusciti, i tentativi bloccati e gli eventuali endpoint non protetti.<\/p>\n<h4>Controlli del rischio<\/h4>\n<p>Infine, per garantire la continuit\u00e0 operativa, le organizzazioni dovrebbero mantenere una procedura di break-glass monitorata, che conceda un accesso di emergenza limitato e circoscritto nel tempo. Devono inoltre essere disponibili metodi di accesso offline per la manutenzione, da testare ogni trimestre per confermarne l\u2019affidabilit\u00e0.<\/p>\n<p>Valuta poi di prevedere un piano di rollback per ogni distribuzione, in caso di interruzioni del gateway o di guasti agli agenti. Definisci infine finestre di modifica preapprovate per ridurre al minimo i disservizi durante il ripristino.<\/p>\n<div class=\"in-context-cta\"><p style=\"text-align: center;\">Metti alla prova l\u2019accesso remoto e i flussi di lavoro di supporto nel tuo ambiente<\/p>\n<p style=\"text-align: center;\"><a href=\"https:\/\/www.ninjaone.com\/it\/accesso-remoto\/prova-gratuita\/\" rel=\"noopener\" target=\"_blank\">Prova NinjaOne Remote gratuitamente<\/a><\/p>\n<\/div>\n<h2>Integrazioni RDP e MFA di NinjaOne<\/h2>\n<p>NinjaOne offre un ampio supporto per diverse opzioni di configurazione MFA, per la gestione degli endpoint e per il reporting IT.<\/p>\n<ul>\n<li><strong>Supporto MFA:<\/strong> app di autenticazione, SMS, chiavi hardware, accessi con tempo di inattivit\u00e0 amministrativo globale e bypass condizionale dell\u2019MFA per gli utenti SSO.<\/li>\n<li>Distribuisci i prerequisiti dell\u2019agente gateway o gli agenti MFA sugli endpoint, applica le impostazioni RDP e Network Level Authentication (NLA) e verifica la conformit\u00e0 dei certificati TLS.<\/li>\n<li><strong>Automazione:<\/strong> metti in quarantena gli endpoint che falliscono ripetutamente i controlli MFA e avvia flussi di lavoro di rotazione delle credenziali in caso di sospetta compromissione.<\/li>\n<li><strong>Reporting IT:<\/strong> crea dashboard che riepilogano la copertura MFA per cliente, i tentativi RDP non riusciti, le modifiche alle policy CAP o RAP e le eccezioni prossime alla scadenza.<\/li>\n<\/ul>\n<p>NinjaOne Remote\u00ae offre inoltre un controllo e una gestione unificati degli endpoint per dispositivi Windows, Mac e Linux. Queste integrazioni RDP e il supporto MFA sono tutti inclusi nella piattaforma NinjaOne.<\/p>\n<p>\ud83d\udca1 <strong>Suggerimento<\/strong>: consulta le <a href=\"https:\/\/www.ninjaone.com\/it\/accesso-remoto\/domande-frequenti\/\">FAQ sull\u2019accesso remoto<\/a> per scoprire altre funzionalit\u00e0 di NinjaOne Remote\u00ae.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guida rapida<\/h2><p>Puoi implementare l\u2019MFA per le sessioni RDP configurando il tuo IdP (Identity Provider) e sfruttando le funzionalit\u00e0 <a href=\"https:\/\/www.ninjaone.com\/it\/docs\/non-conosci-ninjaone\/gestione-degli-accessi-alle-identita-saml-sso-mfa-e-scim\/linguaggio-di-marcatura-delle-asserzioni-di-sicurezza-saml\/piattaforma-ninjaone-configurare-ninjaone-saml-in-onelogin\/\">SAML<\/a>\/<a href=\"https:\/\/www.miniorange.com\/iam\/integrations\/ninja-rmm-single-sign-on-sso\" target=\"_blank\" rel=\"noopener\">SSO<\/a> di NinjaOne. Ecco come fare:<\/p>\n<p>1. Configurazione dell\u2019Identity Provider:<br \/>\n\u2013 Configura il tuo IdP (ad esempio Azure AD, Okta) in modo da richiedere l\u2019MFA per l\u2019accesso RDP. In questo modo gli utenti si autenticano con MFA quando tentano di accedere alle risorse tramite RDP.<\/p>\n<p>2. Configurazione SAML\/SSO in NinjaOne:<br \/>\n\u2013 In NinjaOne, vai su Amministrazione &gt; Account &gt; Identity Provider.<br \/>\n\u2013 Abilita il Single Sign-On (SSO) e configura i metadati del tuo IdP.<br \/>\n\u2013 Abilita il <a href=\"https:\/\/www.ninjaone.com\/it\/docs\/non-conosci-ninjaone\/gestione-degli-accessi-alle-identita-saml-sso-mfa-e-scim\/domande-frequenti-faq-su-identity-access-management-iam\/bypass-mfa-ninjaone-domande-frequenti\/\">bypass condizionale dell\u2019MFA di NinjaOne per fare in modo che l\u2019MFA<\/a> venga eseguita una sola volta durante l\u2019accesso, a livello di IdP oppure di NinjaOne, non in entrambi. Questa impostazione \u00e8 supportata per Azure e Okta.<\/p>\n<p>3. Flusso di accesso dell\u2019utente:<br \/>\n\u2013 Gli utenti accedono a NinjaOne tramite SSO. Se l\u2019MFA \u00e8 gi\u00e0 stata eseguita a livello di IdP, NinjaOne salta la propria richiesta MFA, garantendo un\u2019esperienza fluida senza rinunciare alla sicurezza.<\/p>\n<p>4. Considerazioni sulla sicurezza:<br \/>\n\u2013 Anche con l\u2019SSO abilitato, l\u2019MFA resta necessaria per le operazioni ad alto rischio all\u2019interno di NinjaOne (ad esempio la modifica delle policy o degli script).<br \/>\n\u2013 Assicurati che le policy del tuo IdP richiedano l\u2019MFA per l\u2019accesso RDP, cos\u00ec da mantenere sicuro l\u2019ambiente desktop remoto.<\/p>\n<\/div>\n<h2>Flussi di lavoro RDP semplificati per gli MSP<\/h2>\n<p>Abilitare l\u2019MFA per RDP rafforza la sicurezza dell\u2019accesso remoto contro le <a href=\"https:\/\/www.cloudflare.com\/learning\/access-management\/rdp-security-risks\/\" target=\"_blank\" rel=\"noopener\">vulnerabilit\u00e0 RDP<\/a> pi\u00f9 comuni. Con la giusta pianificazione, pu\u00f2 diventare anche l\u2019occasione per migliorare i flussi di lavoro dei tecnici e le altre sessioni IT da remoto. Man mano che gli ambienti dei clienti diventano ibridi, gli MSP possono fare un ulteriore passo avanti unificando il proprio stack IT: un modo per ridurre ancora di pi\u00f9 i rischi nella gestione degli asset remoti, nel controllo degli accessi condivisi e nella conservazione delle credenziali.<\/p>\n<p><strong>Argomenti correlati:<\/strong><\/p>\n<ul>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/come-controllare-un-computer-da-remoto\/\">Come controllare un PC da remoto<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/come-configurare-un-remote-desktop-gateway\/\">Come configurare il Gateway Desktop remoto<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/blog\/best-practice-di-accesso-remoto\/\">Best practice per l\u2019accesso remoto per MSP e professionisti IT<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/videos\/it-ops\/how-to-set-up-remote-desktop-gateway\/\">Come configurare il Gateway Desktop remoto<\/a><\/li>\n<li><a href=\"https:\/\/www.ninjaone.com\/it\/script-hub\/abilitare-o-disabilitare-rdp-usando-powershell\/\">Abilitare o disabilitare RDP sulle workstation con PowerShell<\/a> [script NinjaOne]<\/li>\n<\/ul>\n","protected":false},"excerpt":{"rendered":"<p>Remote Desktop Protocol (RDP) resta uno degli strumenti pi\u00f9 efficaci a disposizione degli MSP per gestire ambienti IT ibridi. Allo stesso tempo, \u00e8 anche uno dei bersagli preferiti da numerosi attori malevoli. Per questo abilitare l\u2019autenticazione a pi\u00f9 fattori (MFA) per RDP \u00e8 fondamentale per mantenere una situazione pulita, conservare la fiducia dei clienti e [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":729898,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4367],"tags":[],"class_list":["post-916631","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-sicurezza"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916631","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/comments?post=916631"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916631\/revisions"}],"predecessor-version":[{"id":916632,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/posts\/916631\/revisions\/916632"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media\/729898"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/media?parent=916631"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/categories?post=916631"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/it\/wp-json\/wp\/v2\/tags?post=916631"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}