Como proteger o RDP do Windows contra força bruta: 7 passos

Enquanto você lê isso, alguém provavelmente está tentando adivinhar a senha do seu servidor Windows via RDP. Não é exagero: de acordo com a Kaspersky, ataques de força bruta a portas RDP abertas chegaram a 1,7 milhão de tentativas por dia no Brasil durante picos de atividade — e o Brasil historicamente concentra mais de 60% dos ataques registrados na América Latina. O RDP é hoje a principal porta de entrada para ransomware. Se você tem a porta 3389 aberta na internet sem as proteções abaixo, é questão de quando, não de se.

O que é o RDP e por que virou alvo favorito

O Remote Desktop Protocol é o protocolo da Microsoft que permite acessar e controlar um computador Windows de forma remota — muito usado por administradores de sistemas, pequenas empresas com servidores locais e equipes de suporte técnico. Por padrão, escuta na porta 3389 TCP/UDP.

O problema: quando essa porta fica visível na internet, robôs automatizados a encontram em minutos via ferramentas de varredura como Shodan ou Masscan. A partir daí, disparam tentativas de login com listas de senhas comuns. Segundo a CIS (Center for Internet Security), existem mais de 3 milhões de servidores RDP expostos na internet pública — a maioria sem nenhuma proteção adicional além de usuário e senha.

Um servidor RDP comprometido vira porta de entrada para roubo de dados, instalação de ransomware e movimento lateral pela rede. Por isso é o alvo número um de grupos como LockBit, Cl0p e similares.

Como funciona o ataque de força bruta via RDP

O ataque é mecânico e barato: o agressor usa uma ferramenta automatizada (como Hydra, Medusa ou scripts próprios) que tenta milhares de combinações de usuário e senha por minuto. Sem limite de tentativas configurado no servidor, o robô pode rodar horas até encontrar uma credencial válida.

Combinações mais testadas: Administrator:123456, admin:admin, usuario:senha123. Se a sua conta de administrador local tem nome padrão e senha fraca, o tempo médio até ser comprometido é de horas.

7 ajustes que bloqueiam ataques de força bruta no RDP

1. Ative a política de bloqueio de conta (Account Lockout Policy)

Bloquear a conta após um número de tentativas erradas é o ajuste mais eficaz contra força bruta. Sem isso, o atacante pode tentar indefinidamente.

No Windows Server e no Windows 10/11 Pro:

secpol.msc → Políticas de Conta → Política de Bloqueio de Conta
- Limite de bloqueio de conta: 5 tentativas
- Duração do bloqueio de conta: 15 minutos
- Zerar contador após: 15 minutos

O Windows 11 (a partir da build 22H2) já configura isso por padrão — bloqueio após 10 tentativas por 10 minutos, inclusive para a conta Administrator. Se você ainda usa Windows 10 ou versões antigas do Server, configure manualmente.

2. Force o NLA (Network Level Authentication)

O NLA exige que o usuário se autentique antes de a sessão RDP ser estabelecida. Isso impede que o atacante sequer chegue à tela de login do Windows, reduzindo a superfície de ataque e o consumo de recursos do servidor durante um ataque.

Para ativar: Propriedades do Sistema → Acesso Remoto → marcar "Permitir conexões somente de computadores que executam Área de Trabalho Remota com Autenticação no Nível da Rede".

3. Coloque o RDP atrás de uma VPN

A proteção mais eficaz é simplesmente não expor o RDP à internet. Se o acesso remoto for necessário, o caminho correto é:

1. Bloquear a porta 3389 no firewall externo (nenhum acesso direto da internet).
2. Configurar uma VPN (WireGuard, OpenVPN ou o próprio Windows Server VPN).
3. Só liberar RDP para a faixa de IP interna da VPN.

Assim, o atacante precisaria comprometer a VPN primeiro — outra camada de autenticação, geralmente com certificados. Para entender o que uma VPN realmente protege nesse contexto, vale ler o que uma VPN protege de verdade.

4. Restrinja o acesso por IP no firewall do Windows

Se você precisa manter o RDP acessível pela internet (cenário menos ideal), ao menos restrinja a quais IPs podem se conectar. No Firewall do Windows Defender:

wf.msc → Regras de Entrada → Área de Trabalho Remota (TCP-In)
→ Propriedades → Escopo → IP de Origem: [só seus IPs]

Se você tem IP fixo em casa ou no escritório, allowlist direta. Mesmo com IP dinâmico, dá para usar um serviço de DDNS e restringir a esse endereço.

5. Renomeie (ou desative) a conta Administrator local

A conta Administrator é sempre o primeiro alvo — todo robô começa por ela. Renomear não resolve sozinho (é segurança por obscuridade), mas remove o alvo mais óbvio das listas de credenciais automatizadas:

lusrmgr.msc → Usuários → clic direito em Administrator → Renomear

Melhor ainda: crie uma conta com nome não óbvio para acesso remoto e desative completamente a conta Administrator local. Garanta que essa conta de acesso tenha apenas as permissões que precisa — sem ser administrador local, se possível.

6. Monitore tentativas no Event Viewer

O Windows registra cada tentativa de login no Event Log. Falhas de autenticação ficam no canal Security com Event ID 4625 (login falhou) e sucessos com 4624. Um pico de 4625 de um mesmo IP é sinal claro de força bruta em andamento.

eventvwr.msc → Logs do Windows → Segurança → filtrar por ID 4625

Para automação, você pode usar PowerShell para exportar esses eventos e cruzar com IPs suspeitos — o mesmo fluxo de auditoria que descrevo no post sobre hardening do SSH no Linux se aplica conceitualmente aqui.

7. Desative o RDP se não estiver usando

Parece óbvio, mas muitos servidores têm o RDP ativo por padrão sem ninguém precisar dele ativamente. Se não usa, desative:

sysdm.cpl → Acesso Remoto → "Não permitir conexões remotas com este computador"

Ou via PowerShell:

Set-ItemProperty -Path 'HKLM:\System\CurrentControlSet\Control\Terminal Server' -Name "fDenyTSConnections" -Value 1

E a mudança de porta funciona?

Vale a pena trocar a porta 3389?

Reduz o ruído, mas não é proteção real. Ferramentas como Shodan varrem todas as 65.535 portas — mudar de 3389 para outra porta apenas elimina os scanners mais preguiçosos. A Malwarebytes confirma: mudar a porta "é barato e inofensivo, mas procure proteção de verdade em outros ajustes". Considere como complemento, nunca como substituto dos passos acima.

RDP, ransomware e o custo real de ignorar isso

O Colonial Pipeline (2021) entrou pela VPN sem MFA. O ataque ao Kaseya VSA (2021) começou por acesso remoto exposto. Em ambos os casos, o acesso inicial foi trivial — a exploração sofisticada veio depois. A lição é sempre a mesma: o ponto de entrada é o elo mais fraco, e RDP exposto sem proteção é um convite aberto.

Se você quiser aprofundar a parte de hardening do Windows além do RDP, o post 10 configurações que deixam o Windows 11 mais seguro cobre BitLocker, Secure Boot e outras camadas que complementam o que foi descrito aqui. E para o lado da autenticação — adicionar MFA ao acesso remoto — o guia de autenticação de dois fatores com TOTP explica como funciona o segundo fator que as VPNs corporativas exigem.

Os sete passos acima não exigem nenhum software pago — tudo está disponível no próprio Windows. O mais importante é agir antes que alguém adivinhe a senha.