Melhores práticas para um acesso remoto seguro em ambientes de PMEs

O Remote Desktop Protocol (RDP) é uma ferramenta essencial para profissionais de TI e MSPs. Ele dá acesso direto a sistemas remotos para suporte, manutenção e resolução de problemas.

Pequenas e médias empresas costumam não ter firewalls e sistemas de identidade de nível corporativo. Por isso, o acesso remoto seguro é indispensável nessas organizações.

Estratégias de implantação recomendadas:

Escolha um método	Melhor para usuários individuais	Melhor para empresas
Método 1: desative o RDP se não for necessário	✓
Método 2: use a autenticação em nível de rede		✓
Método 3: restrinja o acesso RDP por firewalls e grupos	✓	✓
Método 4: exija criptografia forte nas sessões RDP		✓
Método 5: configure bloqueios inteligentes e políticas de conta		✓
Método 6: porta RDP personalizada + desativação automática fora do expediente	✓	✓

O vídeo Melhores práticas para proteger o acesso remoto em ambientes de PMEs cobre os seis métodos.

Como garantir um acesso remoto seguro?

Método 1: desative o RDP se não for necessário

Casos de uso: ótimo para estações administrativas de uso local ou computadores públicos compartilhados que não precisam de acesso remoto
Pré-requisitos:

• Acesso de administrador local ou de domínio
• PowerShell ou Editor do Registro
• Editor de Política de Grupo (para o método via GPO)
• Recomendamos fortemente fazer backup do Registro do Windows antes de continuar.

Passos:

1. No PowerShell

1. Abra o PowerShell.
2. Execute o comando a seguir:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

2. No Prompt de Comando

1. Abra o Prompt de Comando como administrador.
2. Execute o comando a seguir:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server"
/v fDenyTSConnections /t REG_DWORD /d 1 /f

3. Na Política de Grupo

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Navegue até o caminho: Configuração do Computador > Modelos Administrativos > Componentes do Windows > Serviços de Área de Trabalho Remota > Host da Sessão da Área de Trabalho Remota > Conexões
3. Defina “Permitir que os usuários se conectem remotamente usando os Serviços de Área de Trabalho Remota” como Desativado.

Método 2: use a autenticação em nível de rede

Com a NLA ativada, os usuários remotos precisam se autenticar antes que a sessão seja estabelecida.

Casos de uso: recomendado para sistemas que precisam de acesso remoto, mas devem autenticar os usuários antes de carregar a sessão.

Pré-requisitos:

• Windows 10/11 Pro, Enterprise ou Server 2016+
• Registro ou Editor de Política de Grupo.
• Acesso de administrador.
• Recomendamos fortemente fazer backup do Registro do Windows antes de continuar.

Passos:

1. No PowerShell

1. Abra o PowerShell.
2. Execute o comando a seguir:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1

2. No Prompt de Comando

1. Abra o Prompt de Comando como administrador.
2. Execute o comando a seguir:

reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\
WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f

3. Na Política de Grupo

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Navegue até o caminho: Configuração do Computador > Modelos Administrativos > Componentes do Windows > Serviços de Área de Trabalho Remota > Host da Sessão da Área de Trabalho Remota > Segurança
3. Ative “Exigir autenticação de usuário para conexões remotas usando NLA.”

Método 3: restrinja o acesso RDP por firewall e grupos locais

Casos de uso: este método reduz a exposição ao liberar o acesso RDP apenas para IPs e grupos de usuários confiáveis.

Pré-requisitos:

• Acesso de administrador.
• Direitos de gerenciamento do PowerShell e do firewall.
• Acesso ao grupo Usuários da Área de Trabalho Remota.

Passos:

1. Abra o PowerShell.
2. Execute os comandos a seguir, conforme a necessidade.

1. Restrinja o escopo do firewall

Isso limita o escopo da regra de RDP a IPs ou sub-redes específicos.

Exemplo:

Set-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" -RemoteAddress "192.168.1.0/24"

Altere o endereço remoto conforme a necessidade.

2. Controle o acesso por grupo

Isso remove grupos genéricos como “Everyone” ou usuários desnecessários.

Add-LocalGroupMember -Group "Remote Desktop Users" -Member "JohnDoe"

Troque “JohnDoe” pelo usuário ou administrador de TI desejado.

Método 4: exija criptografia forte nas sessões RDP

Casos de uso: ideal para sistemas acessados por VPN ou redes semiconfiáveis que exigem sessões criptografadas,

Pré-requisitos:

• Direitos de administrador.
• Acesso ao Registro ou à GPO.
• Recomendamos fortemente fazer backup do Registro do Windows antes de continuar.

Passos:

1. Na Política de Grupo

1. Pressione Win + R, digite gpedit.msc e pressione Enter.
2. Vá até: Configuração do Computador > Modelos Administrativos > Componentes do Windows > Serviços de Área de Trabalho Remota > Host da Sessão da Área de Trabalho Remota > Segurança
3. Defina o nível de criptografia da conexão do cliente como Alto

2. No Editor do Registro

1. Pressione Win + R, digite regedit e pressione Enter.
2. Execute este comando:

Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name MinEncryptionLevel -Value 3

Método 5: configure bloqueios inteligentes e políticas de bloqueio de conta

Casos de uso: impede tentativas de login por força bruta ao bloquear contas após falhas repetidas.

Pré-requisitos:

• Acesso à Política de Grupo ou à Política de Segurança Local.
• Privilégios de administrador.

Passos:

1. Vá até este caminho na GPO: Configuração do Computador > Configurações do Windows > Configurações de Segurança > Políticas de Conta > Política de Bloqueio de Conta
2. Configurações recomendadas:
   • Limite de bloqueio de conta: 5
   • Duração do bloqueio: 15 minutos
   • Zerar contador após: 15 minutos

Exemplo no PowerShell:

net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15

Observação: este é apenas um comando recomendado. Ajuste o número (por exemplo, 15) para a quantidade de segundos que preferir.

Método 6: porta RDP personalizada + desativação automática fora do expediente

Casos de uso: este método ajuda a reduzir ataques de scanners automatizados e a bloquear acessos fora do horário comercial.

Pré-requisitos:

• Acesso ao Registro e ao PowerShell.
• Acesso ao Agendador de Tarefas (opcional)
• Privilégios de administrador.

Passos:

1. Para alterar a porta do RDP

1. Pressione Win + R, digite regedit e pressione Enter.
2. Vá até HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
3. Defina uma porta não utilizada, como 3395.
4. Reinicie a máquina.

2. Monitore a nova porta

1. Abra o Prompt de Comando.
2. Execute o comando: netstat -an | find "3395"

3. Desative o RDP fora do expediente (manualmente ou por automação)

1. Abra o PowerShell
2. Execute o comando:

Stop-Service -Name TermService

Dica: dá para automatizar isso com o Agendador de Tarefas, parando os Serviços de Área de Trabalho Remota (TermService) após o expediente e religando-os pela manhã, se necessário.

Pontos de atenção

Riscos	Possíveis consequências	Como reverter
Desativar o RDP em sistemas críticos	Pode impedir o acesso remoto para suporte ou aplicação de patches	Use ferramentas como NinjaOne ou acesso local para reativar o RDP ou ajustar a política.
Regras de firewall mal configuradas	Usuários legítimos podem ficar sem acesso	Teste o escopo de IPs, documente as mudanças e libere um acesso mais amplo temporariamente durante a investigação.
Limites de bloqueio agressivos demais	Podem bloquear usuários e aumentar o volume do Help Desk	Monitore os logs de auditoria; aumente um pouco os limites se houver muitos falsos positivos.
Alterar a porta do RDP	Pode quebrar scripts, ferramentas de monitoramento ou integrações	Avise as partes interessadas e atualize documentação e ferramentas com a nova porta.
Desativar o RDP fora do expediente	Pode interromper manutenções noturnas ou tarefas automatizadas	Crie exceções para as janelas de manutenção e agende a reativação, se necessário.
Configuração inconsistente da NLA	Clientes sem suporte a NLA não conseguem se conectar	Garanta que os endpoints estejam atualizados ou mude o nível de criptografia temporariamente para “Compatível com Cliente”.

Outras considerações para proteger o acesso remoto

Use um gateway RDP

Um Gateway de Área de Trabalho Remota centraliza o gerenciamento do acesso RDP. Ele cria um túnel HTTPS seguro, aceita autenticação multifator (MFA) e oferece mais controle sobre logs, auditoria e restrições de sessão.

Dica: leia Como configurar o Gateway de Área de Trabalho Remota.

Combine o RDP com acesso por VPN

Recomendamos fortemente exigir que todas as conexões remotas passem antes por uma VPN. Isso não elimina o risco de ransomware, mas reduz bastante.

Limite o redirecionamento de dispositivos

Evite vazamento de dados desativando a área de transferência e o redirecionamento de impressoras e unidades durante as sessões RDP. Use a Política de Grupo:

Configuração do Computador > Modelos Administrativos > Componentes do Windows > Serviços de Área de Trabalho Remota > Host da Sessão da Área de Trabalho Remota > Redirecionamento de Dispositivo e de Recurso

Audite logins e falhas de RDP

Sugerimos usar o PowerShell para monitorar tentativas de login bem-sucedidas (Event ID 4624) e malsucedidas (Event ID 4625):

Get-WinEvent -LogName "Security" | Where-Object { $_.Id -eq 4624 -or $_.Id -eq 4625 }

Configure alertas para atividades anormais, como padrões de força bruta ou horários de login incomuns.

Restrinja o acesso RDP por horário

Use o Agendador de Tarefas ou scripts de PowerShell para desativar o RDP fora do horário comercial. Outra opção é criar regras de firewall com janelas de ativação agendadas para bloquear o tráfego RDP após o expediente.

Resolução de problemas comuns

O que pode acontecer	Por que acontece	Como resolver
Usuários não conseguem se conectar	Incompatibilidade de NLA ou porta bloqueada	Verifique a configuração de NLA e confira a porta (padrão ou personalizada) no firewall
Muitos logins com falha	Ataque de força bruta em andamento	Aplique a política de bloqueio de conta e limite as faixas de IP
Incompatibilidade de criptografia do RDP	Cliente RDP antigo ou sistema operacional desatualizado	Reduza a criptografia temporariamente para “Compatível com Cliente”
O serviço RDP não inicia	Conflito de porta ou erro no TermService	Reinicie o TermService e verifique os logs de eventos ou conflitos de porta
A troca de porta não funciona	Firewall ou dispositivo NAT não atualizado	Atualize as regras de firewall, o encaminhamento de portas no NAT e as configurações dos clientes

Como NinjaOne ajuda a proteger o RDP

NinjaOne, o software automatizado de gerenciamento de endpoints com a confiança de mais de 40.000 clientes em mais de 140 países, ajuda a proteger o RDP ao:

• Ativar e desativar o RDP remotamente conforme grupo de dispositivos, função do usuário ou política
• Rotacionar portas de RDP ou bloquear portas padrão em ambientes inteiros.
• Agendar a parada do serviço RDP fora do expediente ou em endpoints sem uso.
• Enviar alertas sobre picos de logins com falha ou tentativas incomuns de acesso remoto.
• Auditar a exposição do RDP (interna e externa) com relatórios de inventário em tempo real.
• Automatizar a implantação de regras de firewall e restrições de sessão com scripts personalizados.

NinjaOne adota um modelo de acesso remoto de confiança zero em todos os endpoints. Essa abordagem não atrapalha os usuários nem aumenta a carga administrativa. Assim, as equipes seguem focadas nas operações essenciais, sem risco adicional.

Tenha mais segurança no RDP

O RDP é uma ferramenta essencial para as organizações. Com segurança fraca, ele vira uma porta de entrada direta para invasores.

Coloque em prática as estratégias de acesso remoto seguro deste guia. Essas medidas reduzem a superfície de ataque e são ainda mais importantes em ambientes de PMEs que não contam com segurança em camadas.

Temas relacionados:

• O que é o Remote Desktop Protocol (RDP)?
• Como configurar o Gateway de Área de Trabalho Remota
• Ative ou desative o Remote Desktop Protocol (RDP) em estações de trabalho com o PowerShell
• Entenda os protocolos de acesso remoto
• Melhores práticas de acesso remoto para MSPs e profissionais de TI
• Guia de TI: como excluir credenciais RDP salvas no Windows
• Automatize a criação de atalhos de área de trabalho remota com o PowerShell