Pontos principais
- Ative o MFA no RDP escolhendo um dos três padrões — MFA no RD Gateway, MFA no logon do endpoint ou Acesso Condicional na nuvem — conforme a forma como os usuários se conectam.
- Prepare-se antes da implantação: faça o inventário dos caminhos de acesso RDP, aprove um provedor de MFA e os fatores, garanta os certificados TLS do gateway e planeje janelas de mudança com etapas de reversão.
- Implante o MFA no RD Gateway em ambientes on-premises restringindo o tráfego à porta 443, exigindo a Autenticação em Nível de Rede e aplicando políticas CAP e RAP.
- Instale agentes de MFA de logon nos servidores e nas estações de trabalho privilegiadas quando não houver gateway e use o Acesso Condicional para exigir MFA no Azure Virtual Desktop e em dispositivos com ingresso híbrido.
- Registre os eventos 4624 e 4625 da Segurança do Windows, além da atividade do gateway e do provedor de MFA, documente cada exceção e teste os planos de acesso emergencial e de reversão.
O Remote Desktop Protocol (RDP) continua sendo uma das ferramentas mais eficazes dos MSPs para gerenciar ambientes de TI híbridos. Mas também é alvo frequente de diversos agentes maliciosos. Por isso, implementar a autenticação multifator (MFA) no RDP é essencial para manter o histórico limpo, preservar a confiança dos clientes e reduzir o estresse. Afinal, poucas coisas arruínam uma sexta-feira mais rápido do que uma invasão via RDP.
Proteja o acesso remoto e reduza a superfície de ataque com uma lista de verificação completa
Baixe nossa lista de verificação de fortalecimento de endpoints
Melhores configurações de MFA para RDP
Antes de ativar o MFA, verifique se o ambiente está totalmente preparado. Planejamento e comunicação evitam bloqueios de acesso, interrupções de serviço e cobertura incompleta nos endpoints. Comece por estes pré-requisitos:
- Inventário atualizado da exposição do RDP e dos caminhos de acesso
- Provedor de MFA e fatores aprovados (TOTP, push, FIDO2, smartcard)
- Um certificado TLS confiável no RD Gateway
- Controle de mudanças que cubra janelas de impacto no serviço e etapas de reversão
- Registro centralizado dos eventos da Segurança do Windows, logs do gateway e eventos do provedor de MFA
💡 Observação: os requisitos podem variar conforme sistemas, políticas e necessidades do negócio.
Casos de uso do RDP
O RDP costuma ser usado para administração remota segura, manutenção de servidores e suporte técnico. Os MSPs recorrem ao RDP para acessar sistemas de clientes, enquanto equipes internas de TI o usam para gerenciar a infraestrutura em vários locais. Fornecedores também podem usar acesso RDP controlado durante implantações ou integrações.
Padrão 1: RD Gateway com MFA
Na maioria dos ambientes on-premises, usar um RD Gateway com MFA oferece o melhor equilíbrio entre segurança, controle e facilidade de gerenciamento. Veja como fazer:
- Implante o RD Gateway com um certificado TLS confiável e publique-o na porta TCP 443. Se ativar o transporte UDP, libere também a porta UDP 3391.
- Integre o MFA por meio do Servidor de Políticas de Rede (NPS). Instale a extensão NPS do Microsoft Entra MFA ou aponte o NPS para um provedor de MFA de terceiros compatível com RADIUS. A Microsoft anunciou a descontinuação do MFA Server local em setembro de 2022, então novas implantações devem usar a extensão NPS.
- Exija a Autenticação em Nível de Rede (NLA) em todos os hosts RDP e bloqueie o RDP de entrada na porta 3389 vindo da internet, para que o gateway seja o único caminho.
- Crie uma Política de Autorização de Conexão (CAP) que defina quem pode se conectar e uma Política de Autorização de Recursos (RAP) que defina quais hosts podem ser acessados.
- Encaminhe os logs do RD Gateway, do NPS e do provedor de MFA para o SIEM e crie alertas para negações repetidas.
Essa configuração centraliza e protege todo o acesso RDP ao exigir MFA no nível do gateway.
Ao verificar a identidade do usuário antes que qualquer sessão alcance os sistemas internos, os MSPs ganham um ponto de controle único e auditável, que limita a exposição, simplifica a conformidade e reforça a segurança geral do acesso remoto.
Padrão 2: MFA no logon do endpoint (com agente)
Quando um RD Gateway não está disponível ou não é viável, o MFA no logon do endpoint protege as sessões RDP diretamente no nível do dispositivo. É também o padrão ideal para sistemas isolados, estações de trabalho privilegiadas ou ambientes que exigem aplicação local, sem depender da infraestrutura de rede.
- Instale um agente de logon MFA compatível em todos os servidores e endpoints privilegiados.
- Configure políticas que exijam MFA tanto nos logins por RDP quanto no console, com exclusões apenas para contas de serviço incapazes de usar autenticação interativa.
- Valide os caminhos de recuperação, como códigos offline ou tokens de hardware, para cenários de manutenção ou indisponibilidade.
- Ative o registro centralizado para gravar sucessos e falhas de MFA e configure alertas para negações repetidas ou tentativas malsucedidas.
O MFA no logon do endpoint estende a proteção diretamente a cada endpoint e garante que o controle de acesso permaneça intacto mesmo sem um RD Gateway.
Padrão 3: Acesso Condicional do Microsoft Entra
Use este padrão em hosts de sessão do Azure Virtual Desktop e em hosts Windows ingressados no Microsoft Entra ID ou com ingresso híbrido. A autenticação do Microsoft Entra para RDP permite que uma política de Acesso Condicional avalie MFA, conformidade do dispositivo e frequência de entrada quando o usuário se conecta, além de oferecer suporte a passkeys e chaves de segurança FIDO2.
- Confirme que cada host está ingressado no Microsoft Entra ou com ingresso híbrido e executa uma versão compatível do Windows.
- Permita a autenticação do Microsoft Entra para RDP no tenant e nos hosts.
- Crie uma política de Acesso Condicional para os aplicativos de nuvem Microsoft Remote Desktop e Windows Cloud Login que exija MFA, uma força de autenticação como MFA resistente a phishing ou um dispositivo em conformidade.
- Adicione os usuários ao grupo local Usuários da Área de Trabalho Remota, porque grupos do Microsoft Entra incluídos nesse grupo local não são considerados na entrada por RDP.
- Teste com contas de administrador e de alto risco, documente as exceções com data de validade e envie os logs de entrada para o SIEM.
Qual padrão escolher?
| Padrão | Indicado para | Onde o MFA é aplicado | Requisito principal | Atenção a |
| RD Gateway com MFA | Hosts Windows on-premises e híbridos acessados por um gateway | No gateway, antes de a sessão chegar ao host | RD Gateway, NPS e um provedor de MFA, ou a extensão NPS do Microsoft Entra MFA | O RDP direto na porta 3389 precisa continuar bloqueado para a internet |
| MFA no logon do endpoint | Hosts isolados, estações de trabalho privilegiadas e sites sem gateway | No host, na entrada do Windows | Um agente de logon MFA em cada host protegido | Cobertura e atualização do agente em todos os hosts |
| Acesso Condicional do Microsoft Entra | Hosts ingressados no Entra, com ingresso híbrido e do Azure Virtual Desktop | No provedor de identidade, quando o usuário se conecta | Versão compatível do Windows e estado de ingresso em cada host | Exclusões e a conta de emergência (break-glass) |
Escolha métodos de MFA resistentes a phishing
Nem todo método de MFA protege igual. A CISA classifica as chaves de segurança FIDO2 e WebAuthn e os cartões inteligentes baseados em PKI como resistentes a phishing, recomenda a correspondência de números como etapa intermediária nas aprovações por push e considera os códigos por SMS e voz as opções mais frágeis. No RDP, exija primeiro métodos resistentes a phishing para administradores e outras contas privilegiadas e depois amplie para todos os usuários.
Monitoramento, evidências e controles de risco
Cada implementação deve acompanhar a cobertura em todos os endpoints, documentando o percentual de sistemas protegidos por um RD Gateway ou por MFA no nível do endpoint, além dos usuários regidos por políticas de Acesso Condicional.
Registro de eventos
Os logs dos eventos da Segurança do Windows (IDs 4624 e 4625), das conexões do RD Gateway e dos resultados do provedor de MFA precisam ser coletados e analisados com regularidade, para confirmar a aplicação das políticas e detectar anomalias.
Documentação precisa e periódica
Além disso, cada exceção deve ter um responsável definido, uma justificativa documentada, datas de início e fim e medidas de segurança compensatórias. Nos relatórios periódicos, resuma as solicitações de MFA, as entradas malsucedidas, as tentativas bloqueadas e quaisquer endpoints desprotegidos.
Controles de risco
Por fim, para manter a segurança operacional, as organizações devem preservar um processo de emergência monitorado (break-glass) que conceda acesso limitado e por tempo determinado. Métodos de acesso offline precisam estar disponíveis para manutenção e ser testados trimestralmente para confirmar a confiabilidade.
Considere ainda incluir um plano de reversão em cada implantação, para o caso de indisponibilidade do gateway ou falha do agente. Depois, defina janelas de mudança pré-aprovadas para minimizar a interrupção durante a recuperação.
Teste os fluxos de acesso remoto e suporte no seu ambiente
Onde NinjaOne entra
NinjaOne não adiciona MFA às sessões RDP nos endpoints, então combine a solução com um RD Gateway, um agente de logon MFA ou uma política de Acesso Condicional. O que NinjaOne faz é ajudar a implantar e manter esse controle.
- Acesso remoto: o NinjaOne Cloud RDP permite que os técnicos abram sessões RDP em dispositivos gerenciados com Windows Professional, Enterprise e Server direto do console do NinjaOne. NinjaOne Remote conecta os técnicos a endpoints Windows, macOS e Linux em um único console.
- Implantação: use a implantação de software e scripts para distribuir agentes de logon MFA e pré-requisitos do gateway, além de aplicar configurações de RDP e NLA, como o script Enable or Disable RDP using PowerShell, disponível no NinjaOne Script Hub.
- Visibilidade: use condições de monitoramento e scripts para identificar quais hosts estão com o RDP ativado ou sem o agente de MFA.
- Acesso dos técnicos: exija MFA na entrada dos técnicos no NinjaOne, conforme descrito na próxima seção.
Além disso, NinjaOne Remote® oferece controle e gerenciamento unificados de endpoints para dispositivos Windows, Mac e Linux. Essas integrações com RDP e o suporte a MFA fazem parte da plataforma NinjaOne.
💡 Dica: confira as perguntas frequentes sobre acesso remoto para conhecer mais recursos do NinjaOne Remote®.
Guia de início rápido
Dá para implementar o MFA em sessões RDP configurando o provedor de identidade (IdP) e aproveitando os recursos de SAML/SSO do NinjaOne. Veja como:
1. Configuração do provedor de identidade:
– configure o IdP (por exemplo, Azure AD ou Okta) para exigir MFA no acesso por RDP. Assim, os usuários se autenticam com MFA ao tentar acessar recursos via RDP.
2. Configuração de SAML/SSO no NinjaOne:
– no NinjaOne, acesse Administração > Contas > Provedor de Identidade.
– Ative o logon único (SSO) e configure os metadados do IdP.
– Ative o bypass condicional de MFA do NinjaOne para que o MFA seja feito apenas uma vez no login — no IdP ou no NinjaOne, não nos dois. Esse recurso é compatível com Azure e Okta.
3. Fluxo de login do usuário:
– os usuários entram no NinjaOne por SSO. Se o MFA já tiver sido feito no IdP, NinjaOne ignora a própria solicitação de MFA, o que garante uma experiência fluida sem abrir mão da segurança.
4. Considerações de segurança:
– mesmo com o SSO ativado, o MFA continua obrigatório em transações de alto risco dentro do NinjaOne (por exemplo, alterar políticas ou editar scripts).
– Garanta que as políticas do IdP exijam MFA no acesso por RDP, para manter um ambiente de área de trabalho remota seguro.
Fluxos de trabalho de RDP mais enxutos para MSPs
Ativar o MFA no RDP reforça a segurança do acesso remoto contra vulnerabilidades do RDP comuns. Com bom planejamento, também serve de impulso para melhorar os fluxos de trabalho dos técnicos e outras sessões remotas de TI. À medida que mais ambientes de clientes se tornam híbridos, os MSPs podem ir além e unificar o conjunto de ferramentas de TI, o que reduz ainda mais os riscos ao gerenciar ativos remotos, controlar acessos compartilhados e armazenar credenciais.
Temas relacionados:
