Proteger o Ambiente de Trabalho Remoto de ataques de força bruta

Qualquer servidor com o Ambiente de Trabalho Remoto aberto à Internet recebe tentativas de início de sessão de bots poucos minutos depois de ser ligado. Não é um ataque contra ti: testam milhões de IP. Com estas medidas não têm nada a fazer.

1. Uma palavra-passe impossível de adivinhar

O primeiro e o que mais protege: 16 caracteres ou mais, sem palavras de dicionário e que não uses em mais nenhum sítio. Um gestor de palavras-passe gera-ta e lembra-se dela por ti.

2. Vê quem está a tentar

Os IP com mais tentativas falhadas nas últimas 24 horas (PowerShell como administrador):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Se vires centenas ou milhares de tentativas, é o normal numa porta 3389 aberta. O que importa é que nenhuma acerte.

3. Bloqueio após várias falhas

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Após 10 tentativas falhadas, a conta afetada fica bloqueada 15 minutos. Atenção: no Windows Server 2022 a conta integrada Administrator não é bloqueada por omissão (para nunca ficares trancado fora do teu próprio servidor), por isso isto protege sobretudo os outros utilizadores. É por isso que a palavra-passe do ponto 1 é o que mais conta.

4. Se tens IP fixo, deixa entrar só o teu

É a medida mais forte: o Ambiente de Trabalho Remoto só responde à tua ligação.

# Muda 198.51.100.7 para o teu IP público (vê-o em qualquer site de "qual é o meu IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Se mudaste a porta e criaste regras novas, aplica-lhes o mesmo com Set-NetFirewallRule -DisplayName "Ambiente de Trabalho Remoto TCP 50000" -RemoteAddress 198.51.100.7. E se o IP de tua casa mudar, ficas trancado fora: entra pela consola VNC e volta a abrir com -RemoteAddress Any.

5. Muda a porta

Passar o Ambiente de Trabalho Remoto para outra porta tira a maioria das tentativas automáticas. Explicamos como em mudar a porta do Ambiente de Trabalho Remoto.

O que não se deve fazer

Não mudes o nome da conta Administrator: o painel usa-a para repor a palavra-passe.
Não desatives o NLA (a autenticação ao nível da rede): vem ativado e trava muitos ataques antes de chegarem ao ecrã de início de sessão.
Não partilhes o teu utilizador: cria um para cada pessoa.