Como proteger o RDP no Windows: 7 conselhos de segurança

1. Configure uma autenticação forte

Na proteção do RDP (Remote Desktop Protocol), uma autenticação forte é a primeira e mais importante linha de defesa. As palavras-passe fracas deixam a ligação vulnerável a ataques automatizados, concebidos para descobrir credenciais de acesso. Ao reforçar a autenticação, reduz significativamente a probabilidade de uma intrusão.

Crie palavras-passe fortes e únicas

A palavra-passe é a porta de entrada da sua ligação RDP, e as palavras-passe fracas são alvos preferenciais dos ataques de força bruta. Para se proteger, crie palavras-passe com pelo menos 8 caracteres que combinem letras maiúsculas e minúsculas, números e caracteres especiais. Evite palavras fáceis de adivinhar, informações pessoais e padrões previsíveis.

Uma boa abordagem é usar uma frase-passe, que junta palavras aleatórias numa palavra-passe segura e fácil de memorizar. Por exemplo, uma frase-passe como «Coffee!Mountain$Dance92» é forte e fácil de recordar. Igualmente importante: nunca reutilize a mesma palavra-passe em contas diferentes. Se uma conta for comprometida, as palavras-passe únicas mantêm as outras a salvo.

Gerir várias palavras-passe fortes pode ser difícil, por isso considere usar um gestor de palavras-passe. Estas ferramentas guardam as credenciais em segurança, geram palavras-passe complexas e simplificam o início de sessão. Com um gestor de palavras-passe, mantém uma segurança robusta sem ter de as decorar todas.

Depois de proteger as palavras-passe, está na altura de acrescentar mais uma camada de proteção com a autenticação multifator.

Ative a autenticação multifator (MFA)

As palavras-passe fortes são essenciais, mas combiná-las com a autenticação multifator (MFA) dá uma defesa ainda mais sólida. A MFA exige uma segunda forma de verificação, o que torna muito mais difícil a entrada de atacantes, mesmo que conheçam a sua palavra-passe. A Microsoft afirma que a MFA pode bloquear mais de 99,9% dos ataques de comprometimento de contas. [5]

Entre as opções de MFA estão os códigos de uma aplicação móvel, as mensagens SMS, as chamadas telefónicas, a biometria e os tokens de hardware. Por comodidade, considere métodos que reduzam a introdução manual de dados, como a verificação por chamada telefónica ou as notificações na aplicação. Por exemplo, se usar a MFA do Microsoft Entra ID com a extensão NPS, pode optar por chamadas automáticas ou notificações push para simplificar o processo.

Não implementar a MFA pode ter consequências graves. Veja-se o incidente de ransomware da LabCorp: segundo a CSO Online, em julho de 2018, um ataque de força bruta ao RDP espalhou ransomware por 7000 sistemas e 1900 servidores antes de a LabCorp o conseguir conter, o que fez em 50 minutos. [6] Isto mostra bem como a MFA é crucial para evitar intrusões tão rápidas e devastadoras.

Há várias formas de integrar a MFA na sua configuração RDP: o Microsoft Entra ID com uma extensão NPS, soluções de MFA de terceiros, um gateway RDP com MFA integrada ou uma VPN com suporte para MFA. Além da segurança, a MFA também ajuda as organizações a cumprir requisitos de conformidade como os da HIPAA, da PCI DSS e do RGPD.

Para reforçar ainda mais a sua configuração de MFA, confirme que usa o TLS 1.2 ou superior e ative a Autenticação ao Nível da Rede (NLA) para uma melhor encriptação. Acrescentar ferramentas de registo e monitorização também ajuda a acompanhar as tentativas de acesso e a detetar atividade suspeita.

2. Mantenha o software RDP atualizado

Usar software desatualizado é como deixar a porta de casa destrancada: os atacantes sabem exatamente onde procurar os pontos fracos. Se o seu software RDP não estiver atualizado, é como se entregasse aos cibercriminosos um mapa das vulnerabilidades a explorar. Manter o software em dia com os patches de segurança mais recentes é fundamental, porque os atacantes estão sempre atentos a novas falhas que possam aproveitar.

Os riscos do software RDP desatualizado são bem reais. Um exemplo é a vulnerabilidade CVE-2022-21893, descoberta em janeiro de 2022. Segundo o Threatpost, esta falha permitia a um atacante sem privilégios elevados aceder aos sistemas de ficheiros de outros utilizadores ligados. [8] Abria caminho ao acesso indevido a dados da área de transferência e do sistema de ficheiros, o que podia levar a violações de privacidade, a movimentos não autorizados dentro das redes ou à escalada de privilégios. É apenas um caso que mostra porque é que manter as atualizações em dia não é opcional: é essencial.

Além de corrigirem vulnerabilidades, as atualizações também asseguram que o software suporta protocolos de encriptação modernos. Sem elas, até uma ligação aparentemente segura pode ficar perigosamente exposta.

Ative as atualizações automáticas

A forma mais fácil de se manter seguro? Ative as atualizações automáticas. Assim, os patches são aplicados logo que são publicados, o que reduz ao mínimo a janela de vulnerabilidade. O processo varia consoante o cliente RDP que usa, mas o objetivo é sempre o mesmo: manter o software seguro.

No Microsoft Remote Desktop Client (versão MSI), pode procurar atualizações manualmente: abra a aplicação Remote Desktop, clique nos três pontos no canto superior direito e selecione «About». O cliente procura então atualizações e, se houver alguma disponível, basta clicar em «Install update» para a aplicar.

Os administradores podem ajustar o comportamento das atualizações no registo. A entrada de registo AutomaticUpdates, em HKLM\Software\Microsoft\MSRDC\Policies, permite escolher como as atualizações são tratadas:

• Valor 0: desativa por completo as atualizações automáticas e as notificações.
• Valor 1: ativa as notificações, mas a instalação das atualizações fica a cargo do utilizador.
• Valor 2 (predefinição): nas instalações por utilizador, aplica as atualizações em segundo plano, sem aviso, quando o cliente está fechado; com o cliente aberto, limita-se a mostrar notificações. Nas instalações por máquina, só há notificações. [2]

A aplicação Microsoft Remote Desktop da Microsoft Store deixou de ser suportada: chegou ao fim do suporte em setembro de 2025 e já não pode ser transferida nem instalada. Para as ligações ao Azure Virtual Desktop e ao Windows 365, a Microsoft substituiu-a pela Windows App. As ligações aos Remote Desktop Services e a PCs remotos não são afetadas por esta mudança. A Microsoft também deixou de suportar o cliente MSI em ambientes de nuvem pública a 27 de março de 2026. [1]

Uma das vantagens do RDP integrado no Windows é que se mantém em dia através das atualizações normais do próprio sistema operativo. É uma camada extra de segurança que não exige esforço adicional.

Verifique os clientes RDP de terceiros

Se usar clientes RDP de terceiros, aplicam-se as mesmas regras: confirme que estão atualizados e que ainda têm suporte. Ao contrário do software RDP nativo, muitos clientes de terceiros não têm atualizações automáticas, por isso terá de verificar manualmente se está a usar as versões mais recentes. O software sem suporte ou desatualizado não recebe patches de segurança, e as vulnerabilidades conhecidas ficam expostas indefinidamente.

Ao escolher clientes RDP de terceiros, dê prioridade aos que seguem normas de segurança modernas. Procure funcionalidades como o suporte para protocolos de encriptação atuais e para a Autenticação ao Nível da Rede. Os clientes antigos ou mal mantidos muitas vezes não têm estas proteções essenciais, o que põe o seu sistema em risco.

Para reduzir a exposição, limite o número de clientes RDP usados no seu ambiente. Adotar um único cliente bem mantido simplifica a gestão das atualizações e reduz os possíveis vetores de ataque. Se forem identificadas vulnerabilidades em clientes de terceiros, corrija primeiro as que já têm exploits públicos conhecidos. São especialmente perigosas, porque os atacantes já têm as ferramentas para as explorar.

3. Controle o acesso à rede com regras de firewall

Configurar a firewall para bloquear ligações RDP não autorizadas é um passo crítico na proteção da sua rede. Uma boa configuração da firewall é uma camada de defesa vital para os serviços RDP. Segundo os dados de resposta a incidentes da Sophos, o abuso do RDP esteve presente em 90% dos ataques a que a empresa deu resposta em 2023.

As empresas devem retirar o RDP da internet pública para reduzirem o risco de serem alvo de cibercriminosos.

– Ryan Gregory, Coalition

As firewalls podem limitar o acesso às portas de escuta do Ambiente de Trabalho Remoto, como a porta predefinida TCP 3389. Com estas definições bem configuradas, bloqueia o tráfego externo não autorizado e continua a permitir que os utilizadores autorizados se liguem à sua rede.

Permita o acesso apenas a partir de endereços IP de confiança

Restringir o acesso RDP a endereços IP ou segmentos de rede específicos reduz significativamente a superfície de ataque. Eis como configurar isto na Firewall do Windows:

• Abra a aplicação Windows Security e vá a Firewall and Network Protection > Advanced Settings.
• Localize a regra «Remote Desktop – User Mode (TCP-In)» e edite-a para permitir apenas os endereços IP autorizados.

Para confirmar quais são os endereços IP externos que devem ter acesso, use uma ferramenta que mostre o seu IP público.

É essencial rever e atualizar regularmente a lista de endereços IP de confiança, porque as configurações de rede podem mudar com o tempo. Expor as portas RDP a toda a internet nunca é aconselhável. Esta combinação de filtragem por IP e monitorização cuidadosa é uma base sólida para a sua configuração de segurança.

Altere a porta RDP predefinida

Outra forma eficaz de melhorar a segurança é alterar a porta RDP predefinida (3389). Não substitui as outras medidas de segurança, mas pode reduzir a exposição a ataques automatizados de varrimento de portas. Os especialistas recomendam escolher uma porta entre 49152 e 65535 para evitar conflitos com outros serviços.

Para alterar a porta RDP:

No Editor de Registo

1. Abra o Registry Editor.

2. Navegue até:

   HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

3. Localize a entrada PortNumber, faça duplo clique nela, escolha Decimal e introduza o número da nova porta.

4. Clique em OK e reinicie o serviço Remote Desktop Services (ou o computador) para aplicar as alterações.

Com o PowerShell

• Verifique a porta atual com:

  Get-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber"

• Altere a porta com:

  Set-ItemProperty -Path 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -name "PortNumber" -Value <new_port>

• Adicione regras de firewall para a nova porta:

  New-NetFirewallRule -DisplayName "RDP New Port TCP" -Profile Public -Direction Inbound -Action Allow -Protocol TCP -LocalPort <new_port>  
  New-NetFirewallRule -DisplayName "RDP New Port UDP" -Profile Public -Direction Inbound -Action Allow -Protocol UDP -LocalPort <new_port>  

Depois de alterar a porta, crie uma regra de entrada correspondente na Firewall do Windows. Teste a nova porta ligando-se com o formato IP_address:new_port (por exemplo, 192.168.1.1:50123) e confirme que está ativa com este comando:

netstat -an | find "<new_port>"

Acrescente uma camada extra com NAT

A tradução de endereços de rede (NAT) é outra opção para proteger a sua configuração RDP. Com o NAT, pode mapear uma porta externa para a porta RDP interna, o que acrescenta uma camada extra de obscuridade e torna mais difícil aos atacantes encontrarem a sua ligação. Combinada com regras de firewall, esta abordagem reforça a sua estratégia global de segurança RDP.

4. Use uma VPN para um acesso remoto seguro

Uma VPN cria um túnel encriptado entre o seu dispositivo e a rede, para que os dados intercetados continuem ilegíveis. Estabelecer a ligação VPN antes de iniciar a sessão RDP dá uma camada extra de proteção contra possíveis ciberataques. Veja a seguir como configurar o acesso VPN para a sua ligação ao ambiente de trabalho remoto.

Configurar o acesso VPN para o RDP

Escolher a solução VPN

Há duas opções principais para configurar o acesso VPN. Um serviço VPN empresarial, como as opções alojadas do OpenVPN, liga os seus dispositivos e o seu servidor numa única rede privada, sem exigir muita configuração. As aplicações VPN para consumidores, como o TunnelBear e o Proton VPN, são outro tipo de produto: encaminham a sua navegação pelos servidores do fornecedor e não lhe dão qualquer ligação privada ao seu próprio servidor, pelo que não protegem o RDP desta forma.

Montar o seu próprio servidor VPN

Se quiser mais controlo sobre a sua segurança, alojar o seu próprio servidor VPN é uma ótima opção. Ao gerir o seu próprio servidor, pode personalizar as definições de encriptação, controlar o acesso dos utilizadores e aplicar medidas de segurança à medida. Para começar, use um servidor Linux com acesso root, como um VPS Linux; o nosso guia sobre o WireGuard explica toda a configuração, passo a passo. Normalmente, a configuração passa por:

• Ligar-se ao VPS por SSH.
• Instalar software de servidor VPN, como o OpenVPN.
• Configurar o acesso para os seus dispositivos.

Ao configurar o servidor, escolha uma localização próxima da região-alvo, para melhorar o desempenho. Use sempre uma encriptação forte, como AES de 256 bits, para proteger os seus dados.

Configurações de segurança essenciais

Com a VPN a funcionar, siga estes passos importantes para a proteger ainda mais:

• Ative a autenticação de dois fatores (2FA) em todas as sessões VPN.
• Restrinja o acesso à VPN apenas aos dispositivos autorizados.
• Ajuste as regras de firewall para funcionarem em conjunto com a VPN e bloquearem os acessos não autorizados.
• Use ferramentas como o Fail2Ban, desative o início de sessão como root e monitorize regularmente os registos à procura de atividade invulgar.
• Altere as portas predefinidas para que os atacantes tenham mais dificuldade em encontrar o seu servidor VPN.

Ligar-se através da VPN

5. Configure um gateway RDP

Um gateway RDP funciona como um ponto de controlo essencial e acrescenta uma camada extra de segurança à sua rede. Faz com que todo o acesso externo aos sistemas internos seja rigorosamente controlado: autentica os utilizadores e encripta o tráfego antes de dar acesso a recursos específicos.

Como os gateways RDP reforçam a segurança

Os gateways RDP encaminham o tráfego de ambiente de trabalho remoto por HTTPS, na porta 443, em vez da porta RDP habitual, a 3389. Ao encapsular o RDP em HTTPS, protegem os dados sensíveis contra ataques man-in-the-middle e mantêm a rede interna resguardada. Os utilizadores só conseguem aceder aos recursos autorizados, o que reduz significativamente as possíveis vulnerabilidades.

O RD Gateway encapsula o protocolo RDP (Remote Desktop Protocol) em RPC, dentro de HTTP, sobre uma ligação SSL (Secure Sockets Layer). - Microsoft

Outra vantagem importante é a centralização da autenticação e da auditoria. O gateway regista e monitoriza todas as tentativas de ligação, o que facilita o acompanhamento da atividade dos utilizadores e a deteção de comportamentos invulgares. Para maximizar a segurança, é fundamental configurar corretamente as políticas do gateway.

Conselhos para configurar bem o gateway

Para tirar o máximo partido do seu gateway RDP, tem de configurar políticas de autorização de ligação (CAP) e políticas de autorização de recursos (RAP):

• Políticas CAP: definem quem se pode ligar: os grupos de utilizadores (e, se quiser, os computadores) autorizados a usar o gateway, o método de início de sessão (palavra-passe ou smart card) e os dispositivos locais que podem ser redirecionados. O bloqueio de contas após tentativas de início de sessão falhadas configura-se à parte, na Política de Grupo, e os intervalos de IP de origem limitam-se na firewall.
• Políticas RAP: controlam os recursos a que os utilizadores podem aceder depois de ligados. Seguindo o princípio do privilégio mínimo, pode limitar o acesso aos recursos estritamente necessários a cada utilizador, o que reduz os danos possíveis se uma conta for comprometida.

Outros passos importantes:

• Ative a MFA: acrescentar autenticação multifator ao acesso pelo gateway reforça a segurança.
• Use certificados SSL de confiança: obtenha certificados de entidades reconhecidas, como a DigiCert, a GlobalSign ou o Let's Encrypt. Imponha o TLS 1.2 ou superior, desative algoritmos de encriptação fracos e renove os certificados regularmente para manter as ligações seguras.
• Restrinja o acesso: depois da implementação, limite o acesso a utilizadores e sistemas específicos. Certifique-se de que todos os serviços de ambiente de trabalho remoto só aceitam ligações através do RD Gateway.
• Monitorize os registos: registe todas as tentativas de ligação e reveja-as regularmente para detetar anomalias.

O servidor RD Gateway funciona como intermediário entre o cliente remoto e o RDSH, acrescentando uma camada adicional de segurança ao autenticar o utilizador e encriptar o tráfego. - Limitless Technology

6. Acrescente encriptação e túneis

Para proteger as suas sessões RDP (Remote Desktop Protocol) contra interceção ou monitorização não autorizadas, as tecnologias de encriptação e de túneis são essenciais. Com várias camadas de encriptação, cria um escudo sólido contra escutas e possíveis ataques. Um passo fundamental para o conseguir é reforçar os métodos de autenticação, por exemplo ativando a Autenticação ao Nível da Rede (NLA).

Ative a Autenticação ao Nível da Rede (NLA)

A Autenticação ao Nível da Rede (NLA) acrescenta uma camada extra de proteção, porque obriga os utilizadores a autenticar-se antes de a sessão de ambiente de trabalho remoto começar. Assim, os utilizadores não autorizados nem sequer chegam ao ecrã de início de sessão, o que faz da NLA uma barreira de segurança crucial.

A NLA ajuda a reduzir riscos como ataques de força bruta, tentativas de negação de serviço (DoS) e roubo de credenciais durante a ligação. Também poupa recursos, porque impede que tentativas não autorizadas consumam memória e CPU do servidor. Para os utilizadores legítimos, a NLA suporta o início de sessão único (SSO) do NT, o que torna o acesso mais fluido.

Para máxima segurança, ative sempre a NLA nas suas ligações RDP. Se problemas de compatibilidade o obrigarem a desativá-la, compense com outras medidas de proteção, como palavras-passe fortes, firewalls bem configuradas e controlos de acesso rigorosos.

Use túneis SSH ou IPSec

Um túnel SSH é outra forma eficaz de proteger as sessões RDP. Ao envolver o tráfego RDP num túnel SSH encriptado, acrescenta uma camada extra de segurança durante a transmissão dos dados.

A CloudThat, parceira da AWS e da Microsoft, publicou um guia que explica como configurar o acesso RDP através de um túnel SSH com o PuTTY. O processo, passo a passo, inclui:

• Configurar o PuTTY com os dados do servidor SSH (por exemplo, o nome do anfitrião, a porta 22 e o tipo de ligação SSH).
• Configurar o túnel para reencaminhar uma porta local (por exemplo, 127.0.0.1:9999) para a porta RDP interna (localhost:3389).
• Manter a sessão SSH ativa e ligar-se por RDP a «localhost:9999».

Como diz Chrissy LeMaire, MVP de SQL & PowerShell:

Se tem andado a expor protocolos inseguros à internet, considere, por favor, envolvê-los nos braços acolhedores do SSH.

Para mais segurança, use portas SSH não predefinidas e reencaminhamentos personalizados de portas internas, para tornar a configuração menos previsível. Com o OpenSSH já integrado no Windows 10, este método tornou-se ainda mais fácil de implementar. Pode ainda reforçar esta abordagem com um bastion host ou um jump server, que funciona como um ponto de controlo adicional no acesso aos recursos sensíveis da sua rede protegida. Esta estratégia de túneis em camadas reforça significativamente a segurança do seu RDP.

7. Aplique os princípios de segurança Zero Trust

Na segurança RDP moderna, confiar apenas na encriptação e no controlo de acessos não chega. Para enfrentar a sério os riscos internos, é essencial uma abordagem Zero Trust. Este modelo assenta numa regra simples mas poderosa: «Nunca confiar, verificar sempre».

O Zero Trust é particularmente crucial nas ligações RDP, porque as credenciais comprometidas são uma via de entrada comum em sistemas remotos. Ao contrário dos modelos de segurança tradicionais, que dependem da proteção do perímetro da rede, o Zero Trust exige que todos os utilizadores e dispositivos comprovem a sua identidade, estejam onde estiverem.

Princípios fundamentais do Zero Trust

O Zero Trust reforça a segurança do RDP com base em três princípios fundamentais:

Ao aplicar estes princípios, melhora significativamente a segurança global do seu RDP.

Exija verificação contínua

As configurações RDP tradicionais só autenticam os utilizadores no início de sessão. O Zero Trust adota uma abordagem mais proativa e exige autenticação e validação contínuas ao longo de toda a sessão. Assim, mesmo durante uma sessão ativa, cada ação é monitorizada e verificada.

Imagine, por exemplo, que um utilizador que costuma trabalhar em Nova Iorque começa de repente a transferir ficheiros sensíveis a partir de um endereço IP desconhecido. Um sistema Zero Trust assinalaria essa atividade e pediria uma verificação adicional, o que ajuda a travar possíveis ameaças antes de se agravarem.

Conceda apenas o acesso mínimo necessário

Outro pilar do Zero Trust é o princípio do privilégio mínimo: os utilizadores e as aplicações só devem ter acesso aos recursos estritamente necessários para desempenharem as suas funções. Como diz Hubert Brychczynski:

Zero Trust significa que qualquer pessoa dentro da organização pode ser um potencial vetor de ataque, intencionalmente ou não.

Para aplicar o privilégio mínimo:

• Limite o acesso aos recursos necessários para a função de cada utilizador.
• Remova privilégios excessivos ou que não sejam usados.
• Reduza ao mínimo indispensável o número de contas privilegiadas.
• Confirme que as permissões NTFS e dos recursos partilhados seguem o princípio do privilégio mínimo.

Use ferramentas como o Active Directory e os grupos do Microsoft Entra ID para gerir e controlar as permissões de acesso de forma centralizada. Restrinja o acesso RDP a uma lista pré-aprovada de endereços IP e contas de utilizador. Além disso, impeça o acesso RDP direto a partir de redes externas, exigindo primeiro uma ligação VPN.

Para conter ainda mais possíveis intrusões, implemente a microssegmentação: divida a infraestrutura em segmentos mais pequenos, o que limita a capacidade de os atacantes se moverem lateralmente na rede. Combine-a com políticas de privilégio mínimo e com a monitorização contínua de todo o tráfego de rede, para manter a visibilidade e detetar ameaças cedo.