Externe scan: los blootstelling van RDP-service op
Waarom RDP-blootstelling gevaarlijk is
RDP (Remote Desktop Protocol) is Microsofts protocol voor externe toegang. Het luistert meestal op TCP-poort 3389 en is een waardevol toegangspunt voor aanvallers.
Een blootgestelde RDP-service wordt misbruikbaar wanneer:
deze wordt getroffen door een openbare kwetsbaarheid (bijvoorbeeld BlueKeep), of
inloggegevens zwak, hergebruikt of gelekt zijn.
In beide gevallen is dat meestal voldoende voor initiële toegang en laterale beweging. Stel RDP alleen bloot op interne netwerken, nooit rechtstreeks op internet.
Aanbevolen oplossingen
De meeste blootgestelde RDP-services bestaan om een van twee redenen:
Beheer op afstand. In afnemende volgorde van voorkeur: implementeer een Remote Desktop Gateway (RDG), implementeer een VPN, of harden de RDP-service.
Toegang tot documenten. Geef de voorkeur aan Microsoft 365 en SharePoint-opslag in plaats van toegang via een extern bureaublad.
Minimale basis in alle gevallen:
Blokkeer inkomend TCP/3389 op de perimeterfirewall.
Sta RDP alleen toe vanaf uw RD Gateway- of VPN-IP-bereik.
Optie 1: Remote Desktop Gateway (voorkeur)
Een Remote Desktop Gateway (RDG) is een veiligere manier om interne RDP-servers te bereiken. Het fungeert als tussenlaag: alleen de gateway is blootgesteld, via HTTPS (TLS) op TCP/443. Plaats deze in een bestaande DMZ.
Installeer de gatewayrol
Verbind met de Windows-server die de gateway zal hosten en open Serverbeheer.
Via het Beheren menu, open Functies en onderdelen toevoegen.
Klik op het eerste scherm van de wizard op Volgende.
Selecteer Installatie op basis van rollen of onderdelen, daarna Volgende.
Selecteer de doelserver, daarna Volgende.
Selecteer Remote Desktop Services, daarna Volgende.
Laat de standaard geselecteerde functies staan en ga verder.
Sla het informatiedocument voor Remote Desktop Services over.
Selecteer de Remote Desktop Gateway rolservice en accepteer de vereiste functies wanneer daarom wordt gevraagd.
Bevestig de selectie en ga verder.
De wizard voegt de gerelateerde tabbladen automatisch toe. Klik Volgende door de informatieschermen Network Policy and Access Services en Web Server (IIS), waarbij u de standaard IIS-services behoudt.
Controleer de samenvatting en klik op Installeren. U kunt aanvinken De doelserver automatisch opnieuw opstarten indien nodig.
Wacht tot de installatie is voltooid.
De gateway configureren
in Serverbeheer > Hulpprogramma's, open het beheerprogramma voor Remote Desktop Gateway.
Selecteer de server aan de linkerkant en open vervolgens Certificeereigenschappen weergeven of wijzigen.
Installeer een certificaat. Geef de voorkeur aan een certificaat van een erkende certificeringsinstantie: selecteer Een certificaat importeren in de RD Gateway Certificates (Local Computer)/Personal-opslag, daarna Certificaat bladeren en importeren.
Als u in plaats daarvan een zelfondertekend certificaat gebruikt, selecteer Een zelfondertekend certificaat maken en klik op Certificaat maken en importeren.
Voer de volledige servernaam in als Certificaatnaam. Een zelfondertekend certificaat moet vervolgens van de server worden geëxporteerd en op elke machine worden geïmporteerd die de gateway zal gebruiken. Klik op OK om te voltooien.
Voeg toegangsregels toe. Open via de serverkeuzelijst Beleid, daarna Nieuw machtigingsbeleid maken.
Er zijn twee regels nodig: een verbindingsregel (RD CAP) en een resourceregel (RD RAP). Selecteer Maak een RD CAP en een RD RAP (aanbevolen), daarna Volgende.
Geef de CAP-regel een naam, daarna Volgende.
Selecteer de gebruikersgroep(en) die de gateway mogen gebruiken, daarna Volgende.
Stel omleiding van apparaten in. Om de gateway te hardenen, selecteer Schakel omleiding van apparaten uit voor de volgende typen clientapparaten en kies de apparaten die u niet nodig hebt. Selecteer anders Schakel omleiding van apparaten in voor alle clientapparaten, daarna Volgende.
Schakel time-outs voor sessieverbinding verbreken en sessieverval in om de gateway te hardenen, daarna Volgende.
Controleer de CAP-samenvatting en daarna Volgende om de RAP-regel te configureren.
Selecteer de lidmaatschapsgroep voor de RAP-regel, daarna Volgende. Alleen groepen met legitieme, geautoriseerde gebruikers mogen worden toegevoegd via Groep toevoegen.
Geef de interne resources op die via de gateway bereikbaar zijn.
Geef de toegestane poorten op: de standaard 3389, of andere indien vereist. Daarna Volgende.
Controleer de RAP-samenvatting en bevestig. Een laatste venster bevestigt zowel de CAP- als de RAP-regels.
Zorg ervoor dat de gatewayservice actief is. Zoek in Serverbeheer > Remote Desktop Services > Servers > Services, zoek Remote Desktop Gateway. Als deze is gestopt, klik er met de rechtermuisknop op en kies Services starten.
Verkeer naar interne servers filteren
Interne servers mogen RDP alleen accepteren vanaf de gateway. Configureer de Windows Firewall op elke server.
Open de Windows Firewall, lijst Inkomende regels, en open de eigenschappen van Remote Desktop - User Mode (TCP-In).
Ga naar het tabblad Bereik .
Onder Extern IP-adres, sta alleen de toegestane bronnen toe: het IP-adres van de gateway, of 127.0.0.1 als de gateway op de doelserver zelf draait.
Verbinden via de gateway
Open Verbinding met extern bureaublad, ga naar het tabblad Geavanceerd , daarna Instellingen.
Selecteer Gebruik deze RD Gateway-serverinstellingen, voer de gateway FQDN, vink aan Gebruik mijn RD Gateway-inloggegevens voor de externe computer, en klik op OK.
Terug op het tabblad Algemeen , voer de naam of het IP-adres van de interne server en uw gebruikersnaam in, en daarna Verbinden.
Bevestig de gatewaynaam en voer het wachtwoord van het account in.
Als het gatewaycertificaat niet wordt vertrouwd door de client (gebruikelijk bij zelfondertekende of interne-CA-certificaten), verschijnt dit bericht:
Optie 2: Het RDP-protocol hardenen (alleen tijdelijk)
Deze maatregelen zijn op zichzelf niet voldoende en mogen alleen tijdelijk worden gebruikt, terwijl u een gateway of VPN implementeert.
Minimale tijdelijke basislijn:
Dwing MFA af voor externe toegang (bij voorkeur via een RD Gateway of VPN).
Inschakelen Netwerkniveau-authenticatie (NLA) op doelservers.
Beperk inkomend RDP tot een strikte IP-allowlist (idealiter alleen de gateway).
Gebruikerstoegang beperken
Maak een speciale Active Directory-groep voor toegestane RDP-gebruikers en pas deze toe met de Group Policy Management Console (GPMC).
Typische aanpak:
Voeg uw AD-groep toe aan de lokale Remote Desktop Users groep via GPO, of
stel de gebruikersrechtinstelling in Aanmelden via Remote Desktop Services toestaan.
Voorbeeld met Beperkte groepen / lidmaatschap van lokale groepen:
Voeg de toegestane gebruikers of groepen toe en klik vervolgens op OK.
Het gastaccount uitschakelen
Windows Server 2012 R2 wordt standaard geleverd met een ingeschakeld gastaccount. Schakel het uit om pogingen tot privilege-escalatie te voorkomen. Voer compmgmt.msc uit om Computerbeheer te openen en het account uit te schakelen.
Accounts vergrendelen na mislukte aanmeldingen
Configureer een beleid voor accountvergrendeling (lokaal of, bij voorkeur, domein via de Group Policy Management Console):
Computerconfiguratie>Windows-instellingen>Beveiligingsinstellingen>Accountbeleid>Beleid voor accountvergrendelingStel Drempel voor accountvergrendeling in op 5 ongeldige aanmeldingen.
Stel de vergrendelingsduur en de reset-teller in op 15 minuten (typische basislijn).
Dwing een sterk wachtwoordbeleid af
Sterke wachtwoorden verkleinen het risico op brute-force- en woordenboekaanvallen: gebruik hoofdletters en kleine letters, cijfers en speciale tekens. Voer gpedit.msc uit om de Editor voor lokaal groepsbeleid te openen, ga vervolgens naar Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Wachtwoordbeleid.
Laatst bijgewerkt
Was dit nuttig?