Acesso remoto seguro a servidores: jump host, MFA e sem RDP exposto

Por que RDP exposto na internet é o vetor de ataque mais explorado hoje

Abrir a porta 3389 no firewall e liberar o RDP direto para a internet continua sendo a forma mais rápida de dar acesso remoto a um servidor — e também a mais perigosa. Bots varrem faixas inteiras de IP público em questão de minutos procurando serviços RDP respondendo. Assim que encontram um, começam tentativas de autenticação por força bruta e credential stuffing usando listas de senhas vazadas em incidentes anteriores. Um servidor com RDP exposto recebe, em média, milhares de tentativas de login por dia sem que ninguém na empresa perceba.

O problema não é apenas a força bruta. Vulnerabilidades críticas no próprio protocolo já permitiram execução remota de código sem autenticação — casos como BlueKeep (CVE-2019-0708) e as falhas da família DejaBlue mostraram que basta o serviço estar acessível para o servidor ser comprometido, mesmo com senhas fortes. E quando surge uma nova falha desse tipo, a janela entre a divulgação e a exploração em massa costuma ser de dias, não de semanas. Se o seu servidor está exposto, você está apostando que vai conseguir aplicar o patch antes dos atacantes.

Na prática, RDP exposto é a porta de entrada dominante nos ataques de ransomware contra pequenas e médias empresas no Brasil. O roteiro é sempre parecido: o atacante entra por uma conta de serviço com senha fraca ou reaproveitada, faz reconhecimento da rede interna, eleva privilégio no domínio, desativa o antivírus, apaga os backups acessíveis pela rede e só então dispara a criptografia. Todo esse processo pode levar dias ou semanas — tempo suficiente para ser detectado, se houvesse visibilidade.

Se a sua resposta para "como o time acessa o servidor de fora?" é "tem o IP e a senha", você não tem controle de acesso — tem uma senha compartilhada protegendo o seu ambiente inteiro.

Jump host (bastion): concentrar o acesso em um único ponto controlado

O jump host — também chamado de bastion host ou servidor de salto — é um servidor intermediário que funciona como a única porta de entrada para a rede administrativa. Em vez de cada servidor ter sua própria exposição, apenas o bastion é alcançável de fora, e ele é o único que consegue falar com os servidores internos nas portas administrativas. Os demais servidores passam a rejeitar conexões RDP ou SSH que não venham do IP do bastion.

A vantagem prática é reduzir a superfície de ataque de dezenas de servidores para um só — e concentrar nesse único ponto todo o esforço de hardening, monitoramento e atualização. Um bastion bem configurado é uma máquina enxuta, com o mínimo de software instalado, sem navegador, sem pacote de escritório, sem compartilhamentos de arquivo, com logging detalhado e patches em dia. É muito mais fácil manter um servidor assim protegido do que garantir o mesmo nível em toda a frota.

Um desenho de jump host maduro costuma incluir os seguintes elementos:

• Segmentação de rede: o bastion fica em uma DMZ ou VLAN própria, com regras de firewall explícitas definindo quais servidores internos ele alcança e em quais portas.
• Contas nominais: cada administrador acessa com seu próprio usuário. Nada de conta "admin" ou "suporte" compartilhada — sem identidade individual não existe auditoria.
• Sem credenciais salvas na máquina: nenhuma senha de servidor interno armazenada em arquivo, script ou gerenciador local do bastion. As credenciais vêm de um cofre corporativo no momento do uso.
• Acesso just-in-time: a permissão para acessar determinado servidor é liberada por janela de tempo e revogada automaticamente, em vez de ficar permanentemente ativa.
• Restrição por origem: mesmo o bastion não deve aceitar conexões de qualquer lugar do mundo. Limite por país, por IP fixo do escritório ou exija VPN antes.

Vale registrar que o bastion é um ponto único de acesso, não um ponto único de falha aceitável. Ele precisa de redundância, backup de configuração e um procedimento documentado de acesso de emergência — que deve ser guardado offline e auditado sempre que usado.

VPN e Zero Trust: a camada antes do login

A VPN continua sendo o caminho mais comum para chegar ao bastion sem expor nada diretamente. Com um túnel IPsec ou WireGuard, o servidor só é alcançável depois que o dispositivo já se autenticou na borda da rede. Quem varre a internet não enxerga nem o bastion, porque não há porta administrativa respondendo em endereço público.

A ressalva importante é que VPN tradicional entrega acesso amplo à rede. Uma vez conectado, o usuário costuma alcançar tudo o que a rota permite — inclusive o que não deveria. Por isso o modelo de acesso está migrando para abordagens de Zero Trust Network Access (ZTNA), em que cada conexão é autorizada individualmente por aplicação, considerando quem é o usuário, qual dispositivo está usando, se esse dispositivo está com o antivírus ativo e os patches em dia, e de onde a conexão parte.

Para ambientes Microsoft, há ainda a opção do Remote Desktop Gateway, que encapsula o tráfego RDP dentro de HTTPS na porta 443 e aplica políticas de autorização de conexão e de recurso. É um ganho real sobre expor 3389, mas não substitui a VPN nem dispensa MFA — apenas troca o protocolo do túnel. A regra que não muda: nenhuma porta administrativa deve responder diretamente na internet.

MFA obrigatório: senha sozinha não protege mais nada

Autenticação multifator é o controle com melhor relação entre custo e redução de risco disponível hoje. Ela quebra a cadeia do ataque mais comum, porque a senha vazada, adivinhada ou roubada por infostealer deixa de ser suficiente para entrar. Em ambientes que ativaram MFA em todos os pontos de acesso remoto, as tentativas de força bruta simplesmente param de funcionar, mesmo continuando a acontecer.

Nem todo segundo fator, porém, oferece a mesma proteção. Vale conhecer a hierarquia:

1. SMS e ligação telefônica: melhor que nada, mas vulnerável a SIM swap e interceptação. Use apenas como fallback.
2. Código TOTP em aplicativo autenticador: bom padrão, amplamente compatível, sem custo. Ainda suscetível a phishing em tempo real, quando o atacante repassa o código na hora.
3. Notificação push com correspondência de número: reduz o risco de "MFA fatigue", em que o usuário aprova por cansaço uma solicitação que não fez.
4. Chave de segurança FIDO2 ou Windows Hello for Business: resistente a phishing por design, porque a credencial é vinculada criptograficamente ao domínio legítimo. É o padrão recomendado para contas administrativas.

Alguns cuidados fazem diferença na implantação. O MFA precisa cobrir também as contas de administrador e de serviço com acesso interativo, que são justamente as mais visadas e as mais frequentemente esquecidas nas exceções. Protocolos legados que não suportam MFA devem ser desativados, senão viram desvio. E o processo de recuperação — o que acontece quando alguém perde o celular — precisa ser tão rigoroso quanto o login, porque um help desk que reseta o fator sem validar identidade anula todo o controle.

Gravação de sessão e trilha de auditoria: saber o que foi feito

Controlar quem entra resolve metade do problema. A outra metade é saber o que a pessoa fez lá dentro. A gravação de sessão registra em vídeo ou em log estruturado tudo o que acontece durante o acesso administrativo: comandos digitados, telas acessadas, arquivos transferidos, alterações de configuração. Isso serve tanto para investigação de incidentes quanto para responsabilização e conformidade.

Na prática, a gravação cumpre quatro papéis que se reforçam. Primeiro, forense: quando algo quebra ou vaza, você reconstrói a linha do tempo em vez de depender da memória de quem estava no plantão. Segundo, dissuasão: administradores e fornecedores externos que sabem estar sendo gravados tomam mais cuidado. Terceiro, conformidade — a LGPD exige controle e rastreabilidade de acesso a dados pessoais, e trilha de auditoria é evidência concreta disso perante um auditor ou a ANPD. Quarto, treinamento: sessões reais são excelente material para documentar procedimentos e formar time novo.

Existem cuidados legais e operacionais que precisam ser tratados na implantação. A gravação de sessões administrativas deve estar prevista em política interna e comunicada aos envolvidos, com base legal definida — normalmente legítimo interesse para segurança da informação. As gravações contêm credenciais e dados sensíveis, portanto precisam ser cifradas em repouso, com acesso restrito, prazo de retenção definido e descarte automático no fim do prazo. E o armazenamento precisa ser dimensionado desde o início: vídeo de sessão consome espaço rápido, e logs de comando com metadados costumam ser mais eficientes para busca do que vídeo puro.

Sem trilha de auditoria, a pergunta "quem mexeu nesse servidor às 3h da manhã?" não tem resposta — e a ausência de resposta, num incidente, custa tanto quanto a falha original.

Como a Duk implanta acesso remoto seguro

Trocar RDP exposto por uma arquitetura de acesso controlado não é um projeto de um dia, mas também não precisa parar a operação. O caminho que funciona é incremental: mapear todos os pontos de acesso remoto existentes — inclusive os que ninguém lembra que criou —, subir o jump host com hardening e logging, publicar o acesso atrás de VPN ou ZTNA, ativar MFA resistente a phishing para todas as contas administrativas, ligar a gravação de sessão e só então fechar as portas antigas. Cada etapa reduz risco de forma mensurável, mesmo antes da última.

Com mais de 18 anos de mercado, 550+ empresas atendidas e certificação Microsoft Gold Partner, a Duk Informática & Cloud implanta esse desenho considerando o que a sua operação realmente exige: quem precisa acessar o quê, em quais horários, com qual nível de privilégio e por quanto tempo. Trabalhamos com data center próprio em Alphaville, monitoramento contínuo e suporte 24/7 com SLA — o que significa que o acesso remoto administrativo não fica dependente de um único profissional com a senha na cabeça.

Se a sua empresa ainda usa RDP direto, VPN sem segundo fator ou credenciais administrativas compartilhadas entre a equipe, vale começar por um diagnóstico do que está exposto hoje. Na maioria dos ambientes que avaliamos, o inventário revela pelo menos um acesso esquecido, aberto por uma demanda pontual e nunca fechado. Fale com a Duk e transforme o acesso remoto em um controle auditável, em vez de um risco silencioso.