Quantos ataques o seu servidor repele enquanto dorme

Uma máquina sob a nossa vigilância repeliu quase três mil tentativas de acesso em dois dias e meio. Não foi um pico, nem um incidente, nem um «fomos invadidos» — foi apenas uma terça-feira normal para um servidor virado para a internet. E o mais incómodo aqui nem são as três mil tentativas, mas sim a facilidade com que isto podia ter passado despercebido. A monitorização registava tudo com rigor — mas o canal de alertas estava mudo: uma configuração avariada andava a engolir, silenciosamente, cada aviso, dia após dia. Encontrámos isto durante uma revisão de rotina à nossa própria frota: corrigimos uma linha — e vimos o que se passava, tranquilamente, este tempo todo.

Contamos esta história com números reais, tirados do nosso próprio hardware — anonimizados, mas sem enfeites. Porque a melhor explicação de segurança não é uma história de terror de manual, mas sim aquilo que se passa no seu próprio servidor neste preciso momento, enquanto não está a pensar nisso.

O que é um ataque de força bruta ao RDP — e a quem diz respeito

O RDP é o protocolo de ambiente de trabalho remoto: aquele mesmo botão «ligar ao servidor a partir de casa» que milhões de pessoas usam. Por predefinição, escuta na porta 3389 — um número que todos os bots da rede sabem de cor. O método é simples ao ponto de ser maçador: a automação varre a internet dia e noite à procura de uma porta 3389 aberta e, ao encontrá-la, tenta pares de utilizador e palavra-passe aos milhares, até acertar ou ser travada.

O essencial aqui: não é um ataque dirigido a si pessoalmente. É ruído de fundo que cai sobre todos por igual — o banco, a padaria e o servidor de testes que alguém pôs no ar «por cinco minutos» há três anos. Se a sua empresa — ou um fornecedor seu — alguma vez expôs a porta 3389 «para facilitar o acesso remoto», parabéns: já está na amostra. A única questão é se a porta está trancada ou não — e se ficaria a saber caso alguém a atravessasse.

Já mostrámos os leitores do seu site que não vê — bots de IA inofensivos que folheiam as suas páginas em silêncio. Estas visitas são da mesma estirpe — invisíveis, só que com a intenção oposta.

O que mostram os números reais

Comecemos pela firewall. Ao longo de mais de cem dias de funcionamento contínuo, bloqueou, num dos servidores, 218.211 pacotes a martelar a porta RDP — cerca de dois mil por dia. Noutro dos nossos servidores, foram 61.436, mais seiscentos por dia. Isto nem sequer são tentativas de acesso — são fontes agressivas que a firewall cortou ainda à entrada, com uma regra simples: cinco tentativas a partir do mesmo endereço num minuto, e o endereço vai para a lista de bloqueio.

A parte interessante começa depois desta barreira. Um ataque distribuído contorna de propósito o limite «por endereço»: muitas fontes, cada uma a bater só um bocadinho, para o bloqueio nunca disparar. O registo de uma máquina, nesses mesmos 2,5 dias, mostrou 2.893 tentativas de início de sessão falhadas que chegaram à janela de autenticação. Dessas, 2.890 — exatamente 99,9% — visavam uma única conta: o administrator incorporado. Foram 34 fontes espalhadas pelo mundo: Coreia do Sul, Alemanha, EUA, mais um punhado de blocos asiáticos e latino-americanos — um botnet global de manual, a quem é indiferente quem está do outro lado da porta. E o ataque não abrandou — manteve-se na casa das centenas e milhares por dia: 571, depois 1.242, depois 1.080.

Nenhuma teve sucesso — porque o administrator nessa máquina está desativado. Mas eis o número que vale a pena chegar até aqui para ler. Outro servidor — parecido, só que o RDP nele escuta numa porta não convencional em vez da 3389 nua — registou, no mesmo período, apenas 634 bloqueios. Contra 218 mil. A mesma internet, os mesmos botnets, um único parâmetro de configuração — e cerca de trezentas vezes menos ruído à porta.

«Tudo verde» é a mentira mais cara da monitorização

Agora a parte mais honesta. Todas estas máquinas mostravam «tudo em ordem» o tempo todo — e é precisamente aí que se esconde a armadilha principal. Eis três ciladas em que caímos na nossa própria frota, durante essa mesma revisão.

Primeiro. Uma cópia de segurança noturna reportou sucesso durante cinco noites seguidas — código de saída zero, tudo a verde — quando na realidade falhava sempre. A causa é típica: corria através de um lançador intermédio em modo «disparar e esquecer», e o agendador via o código de saída do lançador (sempre zero), não o do script real por trás dele. A lição: é o resultado que se deve monitorizar — a data do ficheiro-marcador, o conteúdo do registo — não o estado da tarefa. «Concluído com sucesso» não significa nada se nunca se verifica o que foi realmente feito.

Segundo — a mesma história do início do texto. Um sistema de segurança registou fielmente eventos críticos durante vários dias — e durante esses mesmos dias não conseguiu avisar ninguém: o canal de alertas não estava configurado. E todas as tarefas brilhavam a verde. Uma monitorização silenciosa é pior do que nenhuma — dá uma falsa sensação de calma. Por isso, a primeira coisa a testar depois de configurar alertas é se eles chegam mesmo.

Terceiro. Outra máquina acumulou silenciosamente mais de mil processos — centenas de zombies de uma tarefa que deixava dois processos por trás em cada execução e nunca os limpava. Ao fim de cinquenta dias esgotou a memória virtual, e as cópias de segurança começaram a falhar com «memória insuficiente» — mais uma vez sob o estado verde e animado do agendador. O estado dos processos e dos recursos também é monitorização, não só o código de saída.

Sim, estas são as nossas próprias falhas, e mostramo-las não por orgulho, mas porque se nós tropeçámos nelas — gente para quem isto é trabalho do dia a dia — qualquer um que ainda confie num estado verde vai tropeçar nelas também.

Como se proteger — o que realmente funciona

A boa notícia: aqui não é preciso nada de exótico ou caro. Eis o stack que aplicamos a nós próprios e aos clientes.

Se leu até aqui pelos números e não pela configuração, pode passar este bloco diretamente ao seu técnico de TI — é escrito para ele aplicar item a item.

1. Uma porta não convencional em vez da 3389 nua. A diferença entre 218 mil e 634 é prova direta de que funciona. Não é a única defesa, mas é o filtro inicial mais barato, e elimina a grande maioria do ruído automatizado.
2. Rate-limit ao nível da firewall — a mesma regra «cinco tentativas por minuto do mesmo endereço → bloqueio». Apanha fontes agressivas isoladas ainda antes de chegarem ao início de sessão.
3. Desativar as contas incorporadas administrator e guest. Quando 99,9% dos ataques visam o administrator, uma conta administrator desativada torna toda essa força bruta inútil.
4. Uma conta de reserva para acesso de emergência — com um nome não convencional e uma palavra-passe forte guardada num gestor de palavras-passe, para que, ao desativar a conta predefinida, não feche a porta a si próprio.
5. Monitorização de eventos de segurança com um canal de alertas ativo — no nosso caso, o registo de eventos transformado num resumo curto e enviado para uma aplicação de mensagens. Sempre com verificação de que o alerta chega mesmo: ver a cilada número dois.
6. Gerir através de uma rede mesh privada (Tailscale e semelhantes), e retirar por completo o RDP público se o acesso a partir de fora não for necessário. A defesa mais fiável de uma porta aberta é uma porta fechada.

A porta a que batem todas as noites

Três mil tentativas em dois dias e meio não são porque o seu servidor interesse a alguém. São porque a internet nunca é assim tão silenciosa para ninguém: a automação experimenta todas as portas todas as noites, a sua incluída. Toda a diferença está em quem está preparado — numa porta trancada, alguém vê a pancada; na outra, mostra-se «tudo verde», simplesmente porque nada foi montado para dar o alarme.

Mostramos este ruído de fundo ao vivo e anonimizado — uma vista de segurança do nosso próprio site: o fornecedor e o país de cada tentativa, sem endereços completos. É a mesma abordagem que está por trás do nosso «Sentinela» — uma vigilância permanente que apanha o que importa e fica em silêncio sobre as ninharias. E se tiver curiosidade em saber quão ruidosa é a sua própria noite, e se esse estado verde lhe está a mentir, uma auditoria gratuita mostra isso mesmo — com calma e com números.