Externer Scan: RDP-Dienstexposition beheben
Warum RDP-Exposition gefährlich ist
RDP (Remote Desktop Protocol) ist das Remotezugriffsprotokoll von Microsoft. Es lauscht normalerweise auf TCP-Port 3389 und ist ein hochwertiger Einstiegspunkt für Angreifer.
Ein exponierter RDP-Dienst wird angreifbar, wenn:
er von einer öffentlichen Sicherheitslücke betroffen ist (zum Beispiel BlueKeep) oder
Anmeldeinformationen schwach, wiederverwendet oder geleakt sind.
Beides reicht in der Regel für den Erstzugriff und laterale Bewegung aus. Exponieren Sie RDP nur in internen Netzwerken, niemals direkt im Internet.
Empfohlene Lösungen
Die meisten exponierten RDP-Dienste existieren aus einem von zwei Gründen:
Remoteverwaltung. In absteigender Reihenfolge der Bevorzugung: Stellen Sie ein Remote Desktop Gateway (RDG) bereit, stellen Sie ein VPN bereit oder härten Sie den RDP-Dienst ab.
Zugriff auf Dokumente. Bevorzugen Sie Microsoft 365 und SharePoint-Speicher statt Remote-Desktop-Zugriff.
Mindestbasis in allen Fällen:
Blockieren Sie eingehenden Datenverkehr TCP/3389 auf der Perimeter-Firewall.
RDP nur zulassen von dem IP-Bereich Ihres RD-Gateways oder VPNs.
Option 1: Remote Desktop Gateway (bevorzugt)
Ein Remote Desktop Gateway (RDG) ist ein sichererer Weg, um interne RDP-Server zu erreichen. Es fungiert als Vermittler: Nur das Gateway wird exponiert, über HTTPS (TLS) auf TCP/443. Platzieren Sie es in einer vorhandenen DMZ.
Installieren Sie die Gateway-Rolle
Stellen Sie eine Verbindung zu dem Windows-Server her, der das Gateway hosten wird, und öffnen Sie Server-Manager.
Aus dem Verwalten Menü öffnen Sie Rollen und Features hinzufügen.
Klicken Sie auf dem ersten Bildschirm des Assistenten auf Weiter.
Wählen Sie Rollenbasierte oder featurebasierte Installation, dann Weiter.
Wählen Sie den Zielserver aus, dann Weiter.
Wählen Sie Remotedesktopdienste, dann Weiter.
Lassen Sie die standardmäßig ausgewählten Features markiert und fahren Sie fort.
Überspringen Sie den Informationsbildschirm zu Remotedesktopdiensten.
Wählen Sie die Remote Desktop Gateway Rollendienst aus und akzeptieren Sie die erforderlichen Features, wenn Sie dazu aufgefordert werden.
Bestätigen Sie die Auswahl und fahren Sie fort.
Der Assistent fügt die entsprechenden Registerkarten automatisch hinzu. Klicken Sie Weiter sich durch die Informationsbildschirme zu Netzwerkrichtlinien- und Zugriffsdiensten sowie zum Webserver (IIS), wobei Sie die standardmäßigen IIS-Dienste beibehalten.
Überprüfen Sie die Zusammenfassung und klicken Sie auf Installieren. Sie können aktivieren Zielserver automatisch neu starten falls erforderlich.
Warten Sie, bis die Installation abgeschlossen ist.
Gateway konfigurieren
In Server-Manager > Tools, öffnen Sie das Verwaltungs-Tool für das Remote Desktop Gateway.
Wählen Sie den Server links aus und öffnen Sie Zertifikatseigenschaften anzeigen oder ändern.
Installieren Sie ein Zertifikat. Bevorzugen Sie ein von einer anerkannten Zertifizierungsstelle ausgestelltes Zertifikat: Wählen Sie Ein Zertifikat in den Speicher RD Gateway Certificates (Lokaler Computer)/Personal importieren, dann Zertifikat durchsuchen und importieren.
Wenn Sie stattdessen ein selbstsigniertes Zertifikat verwenden, wählen Sie Ein selbstsigniertes Zertifikat erstellen und klicken Sie auf Zertifikat erstellen und importieren.
Geben Sie den vollständigen Servernamen als Zertifikatsnamen. Ein selbstsigniertes Zertifikat muss dann vom Server exportiert und auf jedem Computer importiert werden, der das Gateway verwenden wird. Klicken Sie auf OK zum Abschluss.
Fügen Sie Zugriffsregeln hinzu. Öffnen Sie im Server-Drop-down Richtlinien, dann Neue Autorisierungsrichtlinien erstellen.
Es werden zwei Regeln benötigt: eine Verbindungsregel (RD CAP) und eine Ressourcenregel (RD RAP). Wählen Sie Eine RD CAP und eine RD RAP erstellen (empfohlen), dann Weiter.
Geben Sie der CAP-Regel einen Namen, dann Weiter.
Wählen Sie die Benutzergruppe(n) aus, die das Gateway verwenden dürfen, dann Weiter.
Geräteumleitung festlegen. Um das Gateway zu härten, wählen Sie Geräteumleitung für die folgenden Clientgerätetypen deaktivieren und wählen Sie die aus, die Sie nicht benötigen. Andernfalls wählen Sie Geräteumleitung für alle Clientgeräte aktivieren, dann Weiter.
Aktivieren Sie Trennungs- und Ablaufzeitlimits für Sitzungen, um das Gateway zu härten, dann Weiter.
Überprüfen Sie die CAP-Zusammenfassung, dann Weiter um die RAP-Regel zu konfigurieren.
Wählen Sie die Benutzergruppenmitgliedschaft für die RAP-Regel aus, dann Weiter. Nur Gruppen legitimer, autorisierter Benutzer sollten über Gruppe hinzufügen.
Geben Sie die internen Ressourcen an, die über das Gateway erreichbar sind.
Geben Sie die zulässigen Ports an: standardmäßig 3389, oder andere, falls erforderlich. Dann Weiter.
Überprüfen Sie die RAP-Zusammenfassung und bestätigen Sie sie. Ein abschließendes Fenster bestätigt sowohl die CAP- als auch die RAP-Regeln.
Stellen Sie sicher, dass der Gateway-Dienst ausgeführt wird. In Server-Manager > Remotedesktopdienste > Server > Dienste, suchen Sie Remote Desktop Gateway. Wenn er gestoppt ist, klicken Sie mit der rechten Maustaste darauf und wählen Sie Dienste starten.
Den Datenverkehr zu internen Servern filtern
Interne Server dürfen RDP nur vom Gateway akzeptieren. Konfigurieren Sie die Windows-Firewall auf jedem Server.
Öffnen Sie die Windows-Firewall, listen Sie Eingehende Regeln, und öffnen Sie die Eigenschaften von Remotedesktop - Benutzermodus (TCP-In).
Wechseln Sie zur Bereich Registerkarte.
Unter Remote-IP-Adresse, lassen Sie nur die zulässigen Quellen zu: die IP-Adresse des Gateways oder 127.0.0.1 wenn das Gateway auf dem Zielserver selbst ausgeführt wird.
Über das Gateway verbinden
Öffnen Sie Remotedesktopverbindung, wechseln Sie zur Erweitert Registerkarte, dann Einstellungen.
Wählen Sie Diese RD-Gateway-Servereinstellungen verwenden, geben Sie das Gateway FQDN, aktivieren Sie Meine RD-Gateway-Anmeldeinformationen für den Remotecomputer verwenden, und klicken Sie auf OK.
Zurück auf der Allgemein Registerkarte geben Sie den Namen oder die IP des internen Servers und Ihren Benutzernamen ein, dann Verbinden.
Bestätigen Sie den Gateway-Namen und geben Sie das Kontopasswort ein.
Wenn das Gateway-Zertifikat vom Client nicht als vertrauenswürdig eingestuft wird (häufig bei selbstsignierten oder Zertifikaten interner CAs), erscheint diese Meldung:
Option 2: Das RDP-Protokoll härten (nur vorübergehend)
Minimale vorläufige Basis:
Durchsetzen MFA für den Remotezugriff (vorzugsweise über ein RD-Gateway oder VPN).
Aktivieren Sie Authentifizierung auf Netzwerkebene (NLA) auf Zielservern.
Beschränken Sie eingehendes RDP auf eine strikte IP-Zulassungsliste (idealerweise nur das Gateway).
Benutzerzugriff einschränken
Erstellen Sie eine dedizierte Active-Directory-Gruppe für zulässige RDP-Benutzer und wenden Sie sie mit der Gruppenrichtlinien-Verwaltungskonsole (GPMC).
Typisches Vorgehen:
Fügen Sie Ihre AD-Gruppe zur lokalen Remotedesktopbenutzer Gruppe über eine GPO hinzu, oder
legen Sie das Benutzerrecht Anmeldung über Remotedesktopdienste zulassen.
Beispiel mit Eingeschränkten Gruppen / lokaler Gruppenmitgliedschaft:
Fügen Sie die zulässigen Benutzer oder Gruppen hinzu, dann klicken Sie auf OK.
Deaktivieren Sie das Gastkonto
Windows Server 2012 R2 wird standardmäßig mit aktiviertem Gastkonto ausgeliefert. Deaktivieren Sie es, um Versuche der Privilegienerweiterung zu verhindern. Führen Sie compmgmt.msc aus, um die Computerverwaltung zu öffnen und das Konto zu deaktivieren.
Konten nach fehlgeschlagenen Anmeldungen sperren
Konfigurieren Sie eine Kontosperrungsrichtlinie (lokal oder vorzugsweise domänenweit über die Gruppenrichtlinien-Verwaltungskonsole):
Computerkonfiguration>Windows-Einstellungen>Sicherheitseinstellungen>Kontorichtlinien>KontosperrungsrichtlinieSetzen Sie Kontosperrungsschwelle auf 5 ungültige Anmeldungen.
Setzen Sie die Sperrdauer und den Rücksetzungszähler auf 15 Minuten (typische Ausgangsbasis).
Erzwingen Sie eine starke Kennwortrichtlinie
Starke Kennwörter verringern das Risiko von Brute-Force- und Wörterbuchangriffen: Verwenden Sie Groß- und Kleinbuchstaben, Zahlen und Sonderzeichen. Führen Sie gpedit.msc aus, um den Editor für lokale Gruppenrichtlinien zu öffnen, dann wechseln Sie zu Computerkonfiguration > Windows-Einstellungen > Sicherheitseinstellungen > Kontorichtlinien > Kennwortrichtlinie.
Zuletzt aktualisiert
War das hilfreich?