Proteger VPS Windows contra ataques de força bruta no RDP

Toda VPS Windows exposta na internet pública começa a receber tentativas de login no RDP poucos minutos após o boot. Bots varrem ranges inteiros de IP em busca da porta 3389 aberta e disparam dicionários de senhas comuns contra contas como Administrator, admin, user e variações. Em uma VPS sem proteção, o Event Log enche de Event ID 4625 (falha de logon) em poucas horas — e basta uma senha fraca pra um atacante conseguir entrada.

Este tutorial é pra sysadmins Windows que provisionaram uma VPS recentemente e querem reduzir a superfície de ataque do RDP antes de colocar o servidor em produção. As medidas aqui não exigem software de terceiros — usam só recursos nativos do Windows Server 2019/2022/2025. Tempo estimado: 30 a 45 minutos pra aplicar todas as camadas.

A abordagem é em camadas — nenhuma medida sozinha é suficiente. Você vai aplicar quatro defesas: política de lockout de conta, troca da porta padrão do RDP, restrição de firewall por IP de origem e bloqueio automático de IPs ofensivos via Tarefa Agendada disparada por evento.

Pré-requisitos

Antes de começar, abra o Visualizador de Eventos em Logs do Windows > Segurança e filtre por Event ID 4625. Em uma VPS exposta há mais de 24 horas você tipicamente vê centenas de tentativas vindas de IPs em China, Rússia, Brasil e EUA. Esse é o baseline que vamos derrubar.

Aplicar política de lockout de conta

A política de lockout faz o Windows desabilitar uma conta temporariamente após N tentativas falhas. Sem isso, um atacante pode disparar milhares de senhas por minuto contra a conta Administrator. Com lockout de 5 tentativas e bloqueio de 30 minutos, o atacante consegue testar no máximo 240 senhas por dia por conta — inviabilizando o ataque por dicionário.

Configuração do Computador > Configurações do Windows > Configurações de Segurança >
Diretivas de Conta > Diretiva de Bloqueio de Conta

gpupdate /force

net accounts

Trocar a porta padrão do RDP

Mudar de 3389 pra uma porta alta (acima de 49152, range dinâmico) elimina o ruído de scanners automatizados que só procuram a porta padrão. Não é segurança real contra ataque direcionado — nmap -p- IP ainda encontra — mas reduz Event ID 4625 em 90%+ em VPS expostas.

HKLM\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp

New-NetFirewallRule -DisplayName "RDP Custom Port 54289 TCP" `
  -Direction Inbound -LocalPort 54289 -Protocol TCP -Action Allow

New-NetFirewallRule -DisplayName "RDP Custom Port 54289 UDP" `
  -Direction Inbound -LocalPort 54289 -Protocol UDP -Action Allow

Restart-Service TermService -Force

Restringir RDP por IP de origem

A medida mais efetiva: o firewall só aceita conexões RDP de IPs específicos. Funciona bem se sua equipe acessa de IPs fixos (escritório, VPN corporativa). Não funciona se você precisa acessar de redes residenciais com IP dinâmico — nesse caso, considere a alternativa de túnel WireGuard.

(Invoke-WebRequest -Uri "https://ifconfig.me/ip").Content

Set-NetFirewallRule -DisplayName "RDP Custom Port 54289 TCP" `
  -RemoteAddress @("203.0.113.10", "198.51.100.42")

Get-NetFirewallRule -DisplayName "RDP Custom Port 54289 TCP" |
  Get-NetFirewallAddressFilter

Bloquear automaticamente IPs ofensivos

Mesmo com lockout e porta trocada, se você não puder restringir por IP de origem (atendimento ao público, equipe distribuída), configure um bloqueio dinâmico: cada vez que aparece Event ID 4625 acima de um threshold, uma Tarefa Agendada dispara um script PowerShell que adiciona o IP de origem a uma regra de firewall de bloqueio.

param([string]$EventRecordID)

$event = Get-WinEvent -LogName Security -FilterXPath `
  "*[System[EventRecordID=$EventRecordID]]"

$ip = ($event.Properties | Where-Object { $_.Value -match '^\d+\.\d+\.\d+\.\d+$' } |
  Select-Object -First 1).Value

if (-not $ip -or $ip -eq "127.0.0.1") { exit }

$ruleName = "AutoBlock-$ip"
if (-not (Get-NetFirewallRule -DisplayName $ruleName -ErrorAction SilentlyContinue)) {
    New-NetFirewallRule -DisplayName $ruleName -Direction Inbound `
      -RemoteAddress $ip -Action Block | Out-Null
    Add-Content "C:\Scripts\blocked-ips.log" "$(Get-Date -Format o) BLOCKED $ip"
}

-ExecutionPolicy Bypass -File C:\Scripts\BlockBruteforceIP.ps1 -EventRecordID $(EventRecordID)

Get-NetFirewallRule | Where-Object DisplayName -like "AutoBlock-*"

Verificação

Depois de aplicar as quatro camadas, confirme cada uma rodando:

# Lockout policy
net accounts | findstr "Lockout"

# Nova porta RDP ativa
Get-ItemProperty "HKLM:\System\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" `
  | Select-Object PortNumber

# Firewall aceita conexão na nova porta
Test-NetConnection -ComputerName localhost -Port 54289

# Conta foi efetivamente "blindada" — tente login errado 5x de outro IP
# e verifique Event Log em busca de Event ID 4740 (Account Locked Out)
Get-WinEvent -LogName Security -MaxEvents 50 |
  Where-Object Id -eq 4740 | Format-Table TimeCreated, Message -AutoSize

Espere 24 horas e revisite o Event Viewer. Você deve ver Event ID 4625 cair de centenas/milhares por dia pra dezenas ou zero, dependendo de quão exposta a porta original ficou antes da mudança.

Próximos passos

• Configure NLA (Network Level Authentication) se não estiver ativo — exige autenticação antes do handshake completo de RDP, reduzindo superfície de ataque a vulnerabilidades pré-auth.
• Considere migrar do RDP nativo pro Azure Bastion ou um gateway RDS com MFA se o ambiente justifica.
• Implemente auditoria de logon bem-sucedido (Event ID 4624) e alertas por email pra logins fora do horário comercial.
• Faça backup periódico do registry (HKLM\System\CurrentControlSet\Control\Terminal Server) — assim você reverte rápido se algo quebrar.
• Se você está provisionando uma nova VPS pra produção, uma VPS Hostini Windows já vem com console out-of-band acessível pelo painel — então mesmo que você se tranque fora do RDP aplicando essas regras, recuperação não exige ticket de suporte.