Windows Remote Desktop Protocol (RDP)

• Ataque de força bruta
• Porta de acesso foi alterada
• O serviço está desativado ou definido como manual
• Conexão RDP não é permitida
• Firewall configurado incorretamente
• Falta do patch CredSSP

Verificar o 'Event Viewer' para registrar sinais de ataque de força bruta (Também utilizado para visualizar outros erros)

Na barra de pesquisa procuraremos por 'Event Viewer' ou rodaremos o seguinte comando: eventvwr.msc

Uma vez acessado, seguimos com 'Applications and Services Logs > Microsoft > Windows > RemoteDesktopServices-RdpCoreTS > Operational'.

Caso o servidor esteja sofrendo ataque, haverá várias tentativas de conexões, sendo registradas por segundo.

Se este for o problema enfrentado, conseguiremos conectar RDP, ao realizar tentativas rapidamente, caso contrário, será necessário fornecer os dados de acesso novamente.

Um bom método de contornar esse tipo de problema, é alterando a porta de conexão RDP. Porém, pode não ser muito efetivo por muito tempo, sendo descoberto por Scanners de porta.

Infelizmente, o Windows, não possui proteção RDP nativa, que possam impedir esse tipo de ataque.

Outra solução alternativa, seria a alteração do escopo de regras do firewall, para permitir somente conexões de determinados IP's.

Verificar porta de conexão

Para verificar o número da porta RDP, devemos ir no seguinte registro:

Verificação do serviços RDP

Conectado ao servidor, verifique se o serviço RDP está rodando, para isso, clique no menu iniciar e digite o seguinte: services.msc

Será possível visualizar a seguinte imagem:

Se estiver desativado, basta alterar para automático ou manual.

Verificar se conexões RDP estão permitidas

No Windows Server 2019, seguiremos conforme a imagem abaixo:

Já no Windows Server 2012 R2, será a opção abaixo:

Verificando o Firewall

Normalmente, as regras padrões, estarão da seguinte forma:

• Área de trabalho remota - Modo usuário (TCP-In)
• Área de trabalho remota - Modo usuário (UDP-In)

Verificaremos se as opções existem e estão habilitadas:

• Verificando se o 'Scoope' não está bloqueando o IP
• O número da porta está correto (Regras de firewall já definidas, não podem ser utilizadas em uma nova porta, sendo necessário uma nova regra)
• Perfil está correto.

Erro de criptografia CredSSP

Para este tipo de problema, deve aparecer a seguinte caixa:

O servidor, apresentará esse problema, quando necessitar de um patch de atualização do Windows, para correção de vulnerabilidades RDP.

Este tipo de problema é mais comum em Windows server's 2012-2016, que não tiveram as atualizações executadas corretamente.

A própria Microsoft disponibilizou as atualizações para instalação, podemos verificar neste link: https://docs.microsoft.com/en-US/troubleshoot/azure/virtual-machines/credssp-encryption-oracle-remediation

Alguns problemas comuns

Domínio configurado incorreto

Podemos nos deparar com esse problema, onde podemos, configurar o cliente RDP, para não usar nenhum domínio. Normalmente, conseguimos fazer isso, clicando em 'mostrar opções' e excluindo o nome de usuário pré-preenchido. Assim, o campo 'Domínio' ao ser solicitado as credenciais, devem ficar em branco.

Nome da conta, diferente do padrão inglês

Em alguns casos, é possível que o servidor não utilize o nome padrão em inglês como usuário, sendo 'Administrator', podendo variar para diferentes regiões.

Para alguns exemplos de usuários, podemos verificar este artigo: https://social.technet.microsoft.com/wiki/contents/articles/13813.localized-names-for-administrator-account-in-windows.aspx

Conflito de Porta

Podemos verificar se outro processo está utilizando a porta RDP, para isso, procuraemos por 'Resource Monitor' ou executar o comando 'resmon.exe'

Uma vez executado, seguiremos em 'Networking' e abrir a guia 'Listening Ports'.