Sicurezza del desktop remoto: 7 consigli per proteggere RDP

1. Configura un’autenticazione forte

Per proteggere RDP (Remote Desktop Protocol), la prima linea di difesa, e la più importante, è un’autenticazione forte. Le password deboli espongono la connessione ad attacchi automatici progettati per scoprire le credenziali di accesso. Rafforzando l’autenticazione riduci in modo significativo il rischio di un’intrusione.

Crea password robuste e uniche

La password è la porta d’ingresso alla tua connessione RDP e le password deboli sono il bersaglio ideale degli attacchi di forza bruta. Per proteggerti, crea password di almeno 8 caratteri che combinino lettere maiuscole e minuscole, numeri e caratteri speciali. Evita parole facili da indovinare, informazioni personali e sequenze prevedibili.

Un metodo efficace è usare una passphrase, cioè una combinazione di parole casuali che forma una password sicura ma facile da memorizzare. Per esempio, una passphrase come «Coffee!Mountain$Dance92» è robusta ma facile da ricordare. Altrettanto importante: non riutilizzare mai la stessa password su account diversi. Se ogni account ha la sua password, la compromissione di uno non mette a rischio gli altri.

Gestire molte password robuste può essere complicato, quindi valuta l’uso di un password manager. Questi strumenti conservano le credenziali in modo sicuro, generano password complesse e semplificano l’accesso. Con un password manager mantieni un livello di sicurezza elevato senza la fatica di ricordare tante password.

Una volta messe al sicuro le password, è il momento di aggiungere un altro livello di protezione con l’autenticazione a più fattori.

Attiva l’autenticazione a più fattori (MFA)

Le password robuste sono essenziali, ma abbinate all’autenticazione a più fattori (MFA) offrono una difesa ancora più solida. La MFA richiede una seconda forma di verifica: così per gli aggressori diventa molto più difficile ottenere l’accesso, anche se conoscono la tua password. Secondo Microsoft, la MFA può bloccare oltre il 99,9% degli attacchi volti a compromettere gli account. [5]

Tra le opzioni di MFA ci sono i codici generati da un’app sullo smartphone, gli SMS, le telefonate, la biometria e i token hardware. Per comodità, valuta i metodi che riducono al minimo l’inserimento manuale, come la verifica tramite telefonata o le notifiche dell’app. Per esempio, se usi la MFA di Microsoft Entra ID con l’estensione NPS, puoi scegliere le chiamate automatiche o le notifiche push per rendere il processo più rapido.

Non adottare la MFA può avere conseguenze gravi. Pensa all’incidente ransomware di LabCorp: secondo CSO Online, nel luglio 2018 un attacco di forza bruta contro RDP ha diffuso il ransomware su 7.000 sistemi e 1.900 server, prima che LabCorp riuscisse a contenerlo nel giro di 50 minuti. [6] Questo dimostra quanto sia fondamentale la MFA per evitare intrusioni così rapide e devastanti.

Ci sono diversi modi per integrare la MFA nella tua configurazione RDP: Microsoft Entra ID con l’estensione NPS, soluzioni MFA di terze parti, un gateway RDP con MFA integrata o una VPN che supporta la MFA. Oltre a migliorare la sicurezza, la MFA aiuta le organizzazioni a rispettare requisiti di conformità come quelli previsti da HIPAA, PCI DSS e GDPR.

Per rafforzare ulteriormente la MFA, assicurati di usare TLS 1.2 o versioni successive e attiva l’autenticazione a livello di rete (NLA) per una cifratura migliore. Anche gli strumenti di logging e monitoraggio ti aiutano a tenere traccia dei tentativi di accesso e a individuare attività sospette.

2. Mantieni aggiornato il software RDP

Usare software obsoleto è come non chiudere a chiave la porta di casa: gli aggressori sanno esattamente dove trovare i punti deboli. Se il tuo software RDP non è aggiornato, in pratica consegni ai criminali informatici una mappa delle vulnerabilità da sfruttare. Installare le patch di sicurezza più recenti è fondamentale, perché gli aggressori sono sempre a caccia di nuove falle.

I rischi di un software RDP obsoleto sono molto concreti. Prendi ad esempio la vulnerabilità CVE-2022-21893, scoperta nel gennaio 2022: secondo Threatpost, questa falla permetteva a un aggressore senza privilegi elevati di accedere ai file system di altri utenti connessi. [8] Apriva la strada ad accessi illeciti ai dati degli Appunti e del file system, che potevano portare a violazioni della privacy, a spostamenti non autorizzati all’interno delle reti o a un’escalation dei privilegi. È solo un caso, ma mostra bene perché restare al passo con gli aggiornamenti non è facoltativo: è indispensabile.

Oltre a correggere le vulnerabilità, gli aggiornamenti assicurano anche che il software supporti i protocolli di cifratura moderni. Senza aggiornamenti, anche una connessione che sembra sicura potrebbe essere pericolosamente esposta.

Attiva gli aggiornamenti automatici

Il modo più semplice per restare al sicuro? Attivare gli aggiornamenti automatici. Così le patch vengono applicate appena escono e la finestra di vulnerabilità si riduce al minimo. La procedura cambia a seconda del client RDP che usi, ma l’obiettivo è lo stesso: mantenere il software sempre sicuro.

Con il client Microsoft Remote Desktop (versione MSI) puoi cercare gli aggiornamenti manualmente: apri l’applicazione Remote Desktop, fai clic sui tre puntini in alto a destra e seleziona «About». Il client verifica la disponibilità di aggiornamenti e, se ce n’è uno, basta fare clic su «Install update» per installarlo.

Gli amministratori possono regolare nel dettaglio gli aggiornamenti tramite il Registro di sistema. Il valore AutomaticUpdates nella chiave di registro HKLM\Software\Microsoft\MSRDC\Policies ti permette di scegliere come vengono gestiti gli aggiornamenti:

• Valore 0: disattiva completamente gli aggiornamenti automatici e le notifiche.
• Valore 1: attiva le notifiche, ma per installare gli aggiornamenti serve un intervento dell’utente.
• Valore 2 (predefinito): nelle installazioni per utente, applica gli aggiornamenti in background e in modo silenzioso quando il client è chiuso, e mostra solo le notifiche mentre è in esecuzione. Le installazioni per computer ricevono solo le notifiche. [2]

L’app Microsoft Remote Desktop del Microsoft Store non è più supportata: il supporto è terminato a settembre 2025 e l’app non si può più scaricare né installare. Per le connessioni ad Azure Virtual Desktop e Windows 365, Microsoft l’ha sostituita con Windows App. Le connessioni a Remote Desktop Services e ai PC remoti non sono interessate da questo cambiamento. Il 27 marzo 2026 Microsoft ha inoltre terminato il supporto del client MSI per gli ambienti di cloud pubblico. [1]

Uno dei vantaggi del client RDP integrato in Windows è che i suoi aggiornamenti arrivano insieme ai normali aggiornamenti del sistema operativo. È un livello di sicurezza in più che non ti costa alcuno sforzo.

Controlla i client RDP di terze parti

Se usi client RDP di terze parti, valgono le stesse regole: assicurati che siano aggiornati e ancora supportati. A differenza del software RDP nativo, molti client di terze parti non hanno aggiornamenti automatici, quindi dovrai verificare a mano di usare le versioni più recenti. Il software non supportato o obsoleto non riceve patch di sicurezza e lascia esposte a tempo indeterminato le vulnerabilità note.

Quando scegli un client RDP di terze parti, dai la priorità a quelli in linea con gli standard di sicurezza moderni. Cerca funzioni come il supporto dei protocolli di cifratura attuali e dell’autenticazione a livello di rete. I client datati o poco curati spesso non hanno queste protezioni fondamentali e mettono a rischio il sistema.

Per ridurre l’esposizione, limita il numero di client RDP usati nel tuo ambiente. Adottare come standard un unico client ben mantenuto semplifica la gestione degli aggiornamenti e riduce al minimo i possibili vettori di attacco. Se nei client di terze parti emergono vulnerabilità, correggi per prime quelle per cui esistono exploit pubblici noti: sono particolarmente pericolose, perché gli aggressori hanno già gli strumenti per sfruttarle.

3. Controlla l’accesso di rete con le regole del firewall

Configurare il firewall per bloccare le connessioni RDP non autorizzate è un passaggio fondamentale per proteggere la rete. Una configurazione solida del firewall offre un livello di difesa essenziale per i servizi RDP. Secondo i dati del team di risposta agli incidenti di Sophos, l’abuso di RDP è emerso nel 90% degli attacchi gestiti nel 2023.

Le aziende dovrebbero togliere RDP dalla rete Internet pubblica per ridurre il rischio di finire nel mirino dei criminali informatici.

– Ryan Gregory, Coalition

Il firewall può limitare l’accesso alle porte su cui è in ascolto il desktop remoto, come la porta TCP 3389 predefinita. Configurandolo correttamente, blocchi il traffico esterno non autorizzato e permetti comunque agli utenti autorizzati di connettersi alla rete.

Consenti l’accesso solo dagli IP attendibili

Limitare l’accesso RDP a indirizzi IP o segmenti di rete specifici riduce in modo significativo la superficie di attacco. Ecco come configurarlo in Windows Firewall:

• Apri Windows Security e vai in Firewall and Network Protection > Advanced Settings.
• Individua la regola «Remote Desktop – User Mode (TCP-In)» e modificala in modo che consenta solo gli indirizzi IP autorizzati.

Per sapere quali indirizzi IP esterni devono avere accesso, usa un servizio che mostra il tuo IP pubblico.

È essenziale rivedere e aggiornare regolarmente l’elenco degli IP attendibili, perché le configurazioni di rete possono cambiare nel tempo. Esporre le porte RDP a tutta Internet non è mai consigliabile. Il filtraggio per IP, insieme a un monitoraggio attento, costituisce una base solida per la sicurezza.

Cambia la porta RDP predefinita

Un altro modo efficace per aumentare la sicurezza è cambiare la porta RDP predefinita (3389). Non sostituisce le altre misure di sicurezza, ma può ridurre l’esposizione agli attacchi basati su scansioni automatiche. Gli esperti consigliano di scegliere una porta tra 49152 e 65535 per evitare conflitti con altri servizi.

Ecco come cambiare la porta RDP:

Con l’Editor del Registro di sistema

1. Apri Registry Editor (l’Editor del Registro di sistema).

2. Vai alla chiave:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. Trova la voce PortNumber, aprila con un doppio clic, scegli Decimal e inserisci il nuovo numero di porta.

4. Fai clic su OK e riavvia il servizio Remote Desktop Services (o il computer) per applicare le modifiche.

Con PowerShell

• Controlla la porta attuale con:

  Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"

• Cambia la porta con:

  Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value <new_port>

• Aggiungi le regole del firewall per la nuova porta:

  New-NetFirewallRule -DisplayName "RDP New Port TCP" -Profile Public -Direction Inbound -Action Allow -Protocol TCP -LocalPort <new_port>  
  New-NetFirewallRule -DisplayName "RDP New Port UDP" -Profile Public -Direction Inbound -Action Allow -Protocol UDP -LocalPort <new_port>  

Dopo aver cambiato la porta, crea in Windows Firewall una regola in ingresso corrispondente. Prova la nuova porta collegandoti all’indirizzo nel formato IP_address:new_port (per esempio 192.168.1.1:50123) e verifica che sia attiva con questo comando:

netstat -an | find "<new_port>"

Aggiungi un ulteriore livello con il NAT

Il NAT (Network Address Translation) è un’altra opzione per proteggere la tua configurazione RDP. Con il NAT puoi mappare una porta esterna sulla porta RDP interna: aggiungi così un ulteriore livello di offuscamento e rendi più difficile agli aggressori individuare la connessione. Insieme alle regole del firewall, questo approccio rafforza la tua strategia complessiva di sicurezza RDP.

4. Usa una VPN per un accesso remoto sicuro

Una VPN crea un tunnel cifrato tra il tuo dispositivo e la rete, così gli eventuali dati intercettati restano illeggibili. Stabilire la connessione VPN prima di avviare la sessione RDP aggiunge un ulteriore livello di protezione contro possibili attacchi informatici. Ecco come configurare l’accesso VPN per la tua connessione al desktop remoto.

Configurare l’accesso VPN per RDP

Scegliere la soluzione VPN

Per l’accesso VPN hai due opzioni principali. Un servizio VPN aziendale, come le soluzioni in hosting di OpenVPN, collega i tuoi dispositivi e il tuo server in un’unica rete privata con una configurazione minima. Le app VPN per uso personale, come TunnelBear e Proton VPN, sono un prodotto diverso: fanno passare la tua navigazione attraverso i server del provider e non ti offrono alcuna connessione privata con il tuo server, quindi non proteggono RDP in questo modo.

Creare il tuo server VPN

Se vuoi più controllo sulla sicurezza, avere un server VPN tutto tuo è un’ottima opzione. Gestendo direttamente il server puoi personalizzare le impostazioni di cifratura, controllare l’accesso degli utenti e adottare misure di sicurezza adatte alle tue esigenze. Per iniziare, usa un server Linux con accesso root, come un VPS Linux; la nostra guida a WireGuard ti accompagna in tutta la procedura. La configurazione di solito prevede questi passaggi:

• Connettersi al VPS via SSH.
• Installare un software per server VPN come OpenVPN.
• Configurare l’accesso per i tuoi dispositivi.

Quando configuri il server, scegli una località vicina alla tua regione di riferimento per migliorare le prestazioni. Usa sempre una cifratura robusta, come AES a 256 bit, per proteggere i dati.

Impostazioni di sicurezza fondamentali

Una volta che la VPN è attiva e funzionante, proteggila ulteriormente con questi passaggi importanti:

• Attiva l’autenticazione a due fattori (2FA) per tutte le sessioni VPN.
• Limita l’accesso alla VPN ai soli dispositivi autorizzati.
• Adatta le regole del firewall perché funzionino senza problemi con la VPN e blocchino gli accessi non autorizzati.
• Usa strumenti come Fail2Ban, disattiva l’accesso come root e controlla regolarmente i log per individuare attività insolite.
• Cambia le porte predefinite, così per gli aggressori sarà più difficile individuare il server VPN.

Connettersi tramite la VPN

5. Configura un gateway RDP

Un gateway RDP fa da punto di controllo essenziale e aggiunge un ulteriore livello di sicurezza alla rete. Assicura che ogni accesso dall’esterno ai sistemi interni sia rigorosamente controllato: autentica gli utenti e cifra il traffico prima di concedere l’accesso a risorse specifiche.

Come un gateway RDP migliora la sicurezza

I gateway RDP instradano il traffico del desktop remoto via HTTPS sulla porta 443, invece che sulla porta RDP standard 3389. Incapsulando RDP in HTTPS, questo approccio protegge i dati sensibili dagli attacchi man-in-the-middle e tiene al riparo la rete interna. Gli utenti possono accedere solo alle risorse autorizzate, e questo riduce in modo significativo le possibili vulnerabilità.

RD Gateway incapsula il Remote Desktop Protocol (RDP) in RPC, a sua volta incapsulato in HTTP su una connessione SSL (Secure Sockets Layer). - Microsoft

Un altro vantaggio importante sono l’autenticazione e l’auditing centralizzati. Il gateway registra e monitora ogni tentativo di connessione, quindi è più facile seguire l’attività degli utenti e notare comportamenti insoliti. Per ottenere la massima sicurezza è fondamentale configurare correttamente i criteri del gateway.

Consigli per configurare bene il gateway

Per sfruttare al meglio il gateway RDP devi configurare i criteri di autorizzazione delle connessioni (Connection Authorization Policies, CAP) e i criteri di autorizzazione delle risorse (Resource Authorization Policies, RAP):

• Criteri CAP: definiscono chi può connettersi: i gruppi di utenti (e, se vuoi, i computer) autorizzati a usare il gateway, il metodo di accesso (password o smart card) e quali dispositivi locali si possono reindirizzare. Il blocco degli account dopo tentativi di accesso non riusciti è un’impostazione separata dei Criteri di gruppo, mentre gli intervalli di IP di origine si limitano nel firewall.
• Criteri RAP: stabiliscono a quali risorse possono accedere gli utenti una volta connessi. Seguendo il principio del privilegio minimo, puoi limitare l’accesso alle sole risorse necessarie a ciascun utente e ridurre il rischio di danni se un account viene compromesso.

Altri passaggi importanti:

• Attiva la MFA: aggiungere l’autenticazione a più fattori per l’accesso al gateway rafforza la sicurezza.
• Usa certificati SSL attendibili: ottieni i certificati da autorità riconosciute come DigiCert, GlobalSign o Let's Encrypt. Imponi TLS 1.2 o versioni successive, disattiva gli algoritmi di cifratura deboli e rinnova regolarmente i certificati per mantenere sicure le connessioni.
• Limita l’accesso: una volta messo in funzione il gateway, limita l’accesso a utenti e sistemi specifici. Assicurati che tutti i servizi Desktop remoto accettino connessioni solo attraverso l’RD Gateway.
• Controlla i log: registra tutti i tentativi di connessione e rivedili regolarmente per individuare eventuali anomalie.

Il server RD Gateway fa da intermediario tra il client remoto e l’RDSH e offre un ulteriore livello di sicurezza, perché autentica l’utente e cifra il traffico. - Limitless Technology

6. Aggiungi cifratura e tunneling

Per proteggere le sessioni RDP (Remote Desktop Protocol) da intercettazioni o monitoraggi non autorizzati, le tecnologie di cifratura e di tunneling sono essenziali. Sovrapponendo più livelli di cifratura crei uno scudo solido contro lo spionaggio delle comunicazioni e i possibili attacchi. Un passaggio chiave per riuscirci è rafforzare i metodi di autenticazione, per esempio attivando l’autenticazione a livello di rete (NLA).

Attiva l’autenticazione a livello di rete (NLA)

L’autenticazione a livello di rete (NLA, Network Level Authentication) aggiunge una protezione in più, perché richiede agli utenti di autenticarsi prima che inizi la sessione di desktop remoto. Gli utenti non autorizzati, quindi, non arrivano nemmeno alla schermata di accesso: per questo la NLA è una barriera di sicurezza fondamentale.

La NLA aiuta a ridurre rischi come gli attacchi di forza bruta, i tentativi di denial of service (DoS) e il furto di credenziali durante la connessione. Migliora anche l’uso delle risorse, perché impedisce ai tentativi non autorizzati di consumare memoria e CPU del server. Per gli utenti legittimi, la NLA supporta NT Single Sign-On (SSO), che rende l’accesso più fluido.

Per la massima sicurezza, attiva sempre la NLA sulle connessioni RDP. Se problemi di compatibilità ti costringono a disattivarla, compensa con altre misure di protezione: password robuste, firewall configurati a dovere e controlli di accesso rigorosi.

Usa un tunnel SSH o IPSec

Il tunneling SSH è un altro modo efficace per proteggere le sessioni RDP. Incapsulando il traffico RDP in un tunnel SSH cifrato, aggiungi un ulteriore livello di sicurezza durante la trasmissione dei dati.

CloudThat, partner di AWS e Microsoft, ha pubblicato una guida che spiega come configurare l’accesso RDP attraverso un tunnel SSH con PuTTY. La procedura passo passo prevede:

• Configurare PuTTY con i dati del server SSH (per esempio hostname, porta 22, connessione SSH).
• Impostare il tunnel per inoltrare una porta locale (per esempio 127.0.0.1:9999) alla porta RDP interna (localhost:3389).
• Tenere attiva la sessione SSH e connettersi via RDP a «localhost:9999».

Come dice Chrissy LeMaire, MVP per SQL e PowerShell:

Se hai esposto su Internet protocolli non sicuri, valuta di affidarli alle amorevoli braccia di SSH.

Per una sicurezza maggiore, usa porte SSH diverse da quella predefinita e un inoltro personalizzato delle porte interne, così la configurazione risulta meno prevedibile. Ora che OpenSSH è integrato in Windows 10, applicare questo metodo è ancora più semplice. Puoi migliorare ulteriormente l’approccio con un bastion host o jump server, che fa da punto di controllo aggiuntivo e regola l’accesso alle risorse sensibili della tua rete protetta. Questa strategia di tunneling a più livelli rafforza in modo significativo la sicurezza di RDP.

7. Applica i principi di sicurezza Zero Trust

Nella sicurezza RDP moderna, affidarsi solo alla cifratura e al controllo degli accessi non basta. Per affrontare davvero i rischi interni è essenziale un approccio Zero Trust. Questo modello si basa su una regola semplice ma efficace: «Non fidarti mai, verifica sempre».

Lo Zero Trust è particolarmente importante per le connessioni RDP, perché le credenziali compromesse sono una via d’accesso frequente ai sistemi remoti. A differenza dei modelli di sicurezza tradizionali, basati sulla protezione del perimetro di rete, lo Zero Trust richiede a ogni utente e dispositivo di dimostrare la propria identità, ovunque si trovi.

I principi fondamentali dello Zero Trust

Il modello Zero Trust rafforza la sicurezza di RDP puntando su tre principi fondamentali:

Applicando questi principi puoi migliorare in modo significativo il livello di sicurezza del tuo ambiente RDP.

Richiedi una verifica continua

Le configurazioni RDP tradizionali autenticano gli utenti solo al momento dell’accesso. Lo Zero Trust, invece, adotta un approccio più proattivo e richiede autenticazione e convalida continue per tutta la durata della sessione. Così, anche durante una sessione attiva, ogni azione viene monitorata e verificata.

Immagina, per esempio, un utente che di solito lavora da New York e all’improvviso inizia a scaricare file riservati da un indirizzo IP sconosciuto. Un sistema Zero Trust segnalerebbe l’attività e chiederebbe un’ulteriore verifica, aiutando a intercettare le possibili minacce prima che si aggravino.

Concedi solo l’accesso strettamente necessario

Un altro pilastro dello Zero Trust è il principio del privilegio minimo: utenti e applicazioni dovrebbero avere accesso solo alle risorse di cui hanno davvero bisogno per svolgere il proprio ruolo. Come dice Hubert Brychczynski:

Zero Trust significa che ogni persona all’interno dell’organizzazione può essere un potenziale vettore di attacco, intenzionalmente o no.

Per applicare il privilegio minimo:

• Limita l’accesso alle sole risorse necessarie per il ruolo di ciascun utente.
• Rimuovi i privilegi eccessivi o inutilizzati.
• Riduci al minimo indispensabile il numero di account privilegiati.
• Assicurati che le autorizzazioni NTFS e quelle delle risorse condivise rispettino il principio del privilegio minimo.

Usa strumenti come Active Directory e i gruppi di Microsoft Entra ID per gestire e controllare le autorizzazioni di accesso in modo centralizzato. Limita l’accesso RDP a un elenco preapprovato di indirizzi IP e account utente. Inoltre, impedisci l’accesso RDP diretto dalle reti esterne richiedendo come primo passo una connessione VPN.

Per contenere ulteriormente le possibili violazioni, adotta la microsegmentazione: dividi l’infrastruttura in segmenti più piccoli, così gli aggressori hanno meno possibilità di muoversi lateralmente nella rete. Abbinala a criteri di privilegio minimo e al monitoraggio continuo di tutto il traffico di rete, per mantenere la visibilità e rilevare presto le minacce.