Un server Windows RDP è uno strumento potente e un bersaglio appetibile. I bot scansionano internet alla ricerca di porte desktop remoto aperte giorno e notte. Questi passaggi richiedono circa dieci minuti ed eliminano la maggior parte del rischio.
1. Cambia la configurazione dell'account Administrator
- Imposta una password lunga e univoca (16 caratteri o più).
- Crea un normale utente nominale per il lavoro quotidiano e rinomina o disattiva l'account Administrator integrato dove possibile.
- Usa un gestore di password. Non riutilizzare mai una password di un altro sito.
2. Attiva Network Level Authentication
Apri Proprietà del sistema, Remoto e assicurati che sia spuntata l'opzione "Consenti connessioni solo da computer che eseguono Desktop remoto con Autenticazione a livello di rete". NLA obbliga il client ad autenticarsi prima che venga creata una sessione completa, bloccando un'intera classe di attacchi.
3. Limita chi può connettersi
Il singolo passaggio più efficace è una regola del firewall che consente la porta 3389 solo dal tuo indirizzo IP.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowSostituisci l'indirizzo di esempio con il tuo e disattiva la regola generica predefinita "Desktop remoto - Modalità utente (TCP-In)". Se il tuo IP cambia spesso, usa una VPN con indirizzo fisso e consenti solo quello.
4. Blocca i tentativi di indovinare la password
Imposta un criterio di blocco account: Criteri di sicurezza locali, Criteri account, Criteri di blocco account. Bloccare un account per 15 minuti dopo 5 tentativi falliti rende impraticabili gli attacchi a forza bruta.
5. Mantieni Windows aggiornato
Installa tempestivamente gli aggiornamenti, soprattutto per i Servizi Desktop remoto. Diverse tra le peggiori falle di RDP sono state corrette negli aggiornamenti mensili molto prima che gli attaccanti le sfruttassero su larga scala.
6. Facoltativo: cambia la porta
Spostare RDP dalla 3389 riduce il rumore nei log dovuto ai bot occasionali, ma non ferma uno scanner determinato. Consideralo un extra minore, mai un sostituto dei passaggi precedenti. Se la cambi, ricordati di aprire la nuova porta nel firewall.
7. Controlla i log
Apri il Visualizzatore eventi, Registri di Windows, Sicurezza, e cerca l'ID evento 4625 (accesso non riuscito). Centinaia di errori dallo stesso indirizzo significano che qualcuno sta provando a indovinare. Blocca quell'indirizzo e rivedi il passaggio 3.
Buone abitudini
- Non navigare sul web e non aprire allegati email su un server da cui dipendi.
- Tieni Defender attivo e aggiornato.
- Disconnettiti (non limitarti a chiudere la finestra) quando hai finito ed esci dalle sessioni inutilizzate.
- Fai il backup dei file importanti fuori dal server.