Remote Desktop Protocol blijft een geliefd doelwit: de zichtbare poort 3389, zwakke wachtwoorden en uitgebreide inlogtelemetrie maken het bots en onervaren aanvallers gemakkelijk. Als je wilt weten hoe je RDP-brute force-aanvallen kunt voorkomen: beperk de blootstelling, verhoog de verificatiesterkte en houd de logs nauwlettend in de gaten. Verberg poort 3389 achter een VPN of RD Gateway, vereis MFA bij elk toegangspunt, schakel Network Level Authentication in, stel accountvergrendelingsbeleid in op 5 tot 10 pogingen met een duur van 15 tot 30 minuten, en bewaak Event ID 4625-pieken continu. Aanvallers scannen, raden en bewegen zich elk jaar sneller, dus je aanpak moet bestaan uit concrete maatregelen, geen vrome wensen.
TL;DR: snelle beveiligingschecklist
- Verberg poort 3389 achter VPN of RD Gateway om publieke blootstelling te vermijden
- Vereis meervoudige verificatie voor alle RDP-toegangspunten
- Schakel Network Level Authentication (NLA) in voor verificatie vóór de sessie
- Stel accountvergrendeling in: 5-10 ongeldige pogingen, duur 15-30 minuten, reset na 15 minuten
- Bewaak Windows Event ID's 4625 (mislukt) en 4624 (geslaagd) continu
- Gebruik IP-allowlisting en geo-blokkering om de toegang per bron te beperken
- Hanteer een sterk wachtwoordbeleid met een minimale lengte van 14 tekens
Waarom RDP-bruteforce-aanvallen slagen
Open RDP is aantrekkelijk omdat het binnen enkele minuten door massale scans te vinden is, het vaak draait met lokale beheerdersrechten, en één zwak wachtwoord kan leiden tot ransomware. Poort 3389 staat blootgesteld op het publieke internet als een reclamebord dat toegang adverteert, en geautomatiseerde tools hebben geen expertise nodig om inlogschermen te bestoken. Wachtwoordaanvallen zijn sterk toegenomen, met Microsoft meldt een stijging van 74% van 2021 tot 2022 alleen al. Dat is waarom elke gids over het voorkomen van bruteforce-aanvallen altijd begint met het niet blootstellen van 3389 op het publieke internet, gevolgd door extra lagen zoals MFA en vergrendelingsregels voordat iemand het inlogscherm bereikt.
Recente campagnes van netwerken zoals FDN3 in medio 2025 toonden hoe snel grootschalig password spraying gericht kan zijn op SSL VPN en RDP-apparaten verspreid over duizenden systemen. De aanvallen pieken tijdens specifieke perioden wanneer beveiligingsteams het minst voorbereid zijn, en het patroon herhaalt zich omdat de basisproblemen blijven bestaan. Plotselinge pieken in mislukte aanmeldingen, herhaalde pogingen over veel gebruikersnamen, en IP-adressen die van land tot land springen zijn de duidelijke signalen - maar tegen de tijd dat je ze opmerkt zonder goede monitoring, is de schade vaak al begonnen. De inzet is hoog: Verizon's 2025 Data Breach Investigations Report constateerde dat ransomware aanwezig was bij 44% van alle datalekken, waarbij RDP een veelgebruikt toegangspunt voor deze aanvallen blijft.
Moderne endpointdetectie kan RDP-gegevens op sessieniveau aan elkaar koppelen, zodat responders spray-and-pray-patronen eerder herkennen. Maar preventie wint het altijd van detectie, en daarom richt het volgende gedeelte zich op maatregelen die aanvallen stoppen voordat ze incidenten worden.
Hoe RDP-bruteforce-aanvallen te voorkomen: kernbeveiligingsmethoden
De snelste winst komt van het beperken van netwerkblootstelling, sterkere aanmeldingsdrempels en ingebouwd Windows-beleid. Effectief RDP bruteforce-aanvallen voorkomen betekent RDP bruteforce-bescherming implementeren die al deze lagen combineert.
Sluit eerst de open deur: verwijder publieke toegang op 3389
Verberg RDP achter een VPN of zet Remote Desktop Gateway in op poort 443 met TLS-encryptie. Een korte allowlist voor bekende IP-adressen plus een gateway is altijd beter dan directe port forwarding. Deze stap vermindert ruis en verlaagt het volume aan wachtwoordpogingen aanzienlijk. Configureer je perimetersfirewall om directe toegang tot poort 3389 vanaf internet te blokkeren en leid al het legitieme verkeer door de beveiligde gateway. Aanvallers kunnen niets bruteforcen wat ze niet kunnen bereiken.
Schakel Multi-Factor Authentication in voor RDP
Push-spambestendige MFA, zoals app-prompts met nummerkoppeling of hardwaresleutels, blokkeert de meeste aanvallen die alleen op wachtwoorden leunen. Voeg MFA toe op gatewayniveau of via een RDP-provider met strikte directoryintegratie. Volgens Microsofts onderzoek heeft meer dan 99% van de gecompromitteerde accounts geen MFA ingeschakeld - dat zegt genoeg over waarom deze maatregel ertoe doet. Implementeer het via RD Gateway met Network Policy Server-integratie met Azure AD, of gebruik oplossingen van derden die TOTP en hardwaretokens ondersteunen.
Vereis Network Level Authentication (NLA)
NLA dwingt authenticatie af voordat een volledig bureaublad laadt, waardoor resourceverbruik door mislukte sessies afneemt en het aanvalsoppervlak kleiner wordt. Combineer NLA met TLS voor versleutelde overdracht van inloggegevens. Dit verschuift verificatie naar het allereerste begin van het verbindingsproces via Credential Security Support Provider (CredSSP). Uit peer-reviewed onderzoek blijkt dat NLA de RDP-latentie tijdens actieve aanvallen met 48% kan verlagen door niet-geverifieerde sessies te blokkeren voordat ze serverresources verbruiken. Schakel het in via Systeemeigenschappen, tabblad Extern, door "Verbindingen alleen toestaan vanaf computers met Network Level Authentication" te selecteren.
Pas accountvergrendelingsbeleid toe
Stel verstandige drempels en vergrendelingsvensters in zodat bots niet eindeloos kunnen raden. Dit zijn klassieke RDP bruteforce-preventiemethoden, en ze werken nog steeds wanneer ze correct zijn geconfigureerd. Configureer via Lokaal beveiligingsbeleid (secpol.msc) onder Accountbeleid met deze parameters: een drempel van 5-10 ongeldige pogingen, een vergrendelingsduur van 15-30 minuten, en een teller die na 15 minuten wordt gereset. Deze waarden komen uit consensus over meerdere beveiligingsbasislijnen uit 2025, waaronder Windows-beveiligingsaanbevelingen en brancheraamwerken. Zoek de balans tussen beveiliging en helpdesklast, want elk vergrendeld account levert een supportticket op.
Gebruik allowlists en geo-fencing
Beperk wie er überhaupt kan aankloppen. Landblokkades, ASN-blokkades en korte statische allowlists reduceren het verkeer in veel kleinere kantooromgevingen tot bijna nul. Configureer deze regels op firewall-niveau, blokkeer volledige geografische regio's waarmee je nooit zaken doet, en beperk toegang tot specifieke IP-bereiken voor thuiswerkers. Sommige omgevingen gaan verder door tijdsgebonden toegangscontroles in te stellen die RDP alleen tijdens kantooruren toestaan.
Versterk wachtwoorden en rotatie
Gebruik lange wachtzinnen, unieke wachtwoorden per beheerder, en een wachtwoordmanager. Dit is basale RDP bruteforce-bescherming, toch beginnen nog te veel datalekken hier. Stel de minimale wachtwoordlengte in op 14 tekens met complexiteitsvereisten afgedwongen via Groepsbeleid. Hoe langer het wachtwoord, hoe moeilijker het voor geautomatiseerde tools wordt om het via bruteforce te kraken. Vermijd hergebruik van wachtwoorden over verschillende beheerdersaccounts, want één gecompromitteerde inloggegevens kan door je gehele infrastructuur cascaderen.
Werk Windows en de RDP-stack tijdig bij
Patch bekende RDP-kwetsbaarheden en rol updates uit naar servers en clients. Oude kwetsbaarheden duiken nog steeds op in het wild, en aanvallers richten zich als eerste op ongepatchte systemen omdat die makkelijker te compromitteren zijn. Stel een vast patchschema in via Windows Update, WSUS of Intune-basislijnen om je RDP-infrastructuur beschermd te houden tegen bekende exploits.
Mislukte inlogpogingen verzamelen en bewaken
Stuur Windows Security-logs door naar een SIEM, houd Event ID's 4625 en 4624 in de gaten, en stel waarschuwingen in voor afwijkende volumes, verdachte bronlocaties en serviceaccounttoegang. Wie brute force-aanvallen wil voorkomen, moet zijn logs actief monitoren - reactieve detectie beperkt de schade wanneer preventieve maatregelen falen. Configureer waarschuwingen voor meer dan 10 mislukte pogingen vanaf één IP-adres binnen een uur, en monitor Type 10 (remote interactief) en Type 3 (netwerk) aanmeldpatronen die op RDP-activiteit wijzen.
Elk van deze maatregelen verkleint het risico afzonderlijk. Samen vormen ze RDP-methoden voor brute force-bescherming die ook onder echte druk standhouden.
| Methode | Implementatiecomplexiteit | Waar in te stellen | Primair voordeel |
| VPN/RD Gateway | Gemiddeld | Firewall of RD Gateway (poort 443) | Elimineert publieke blootstelling van poort 3389 |
| Meervoudige authenticatie | Gemiddeld | Gateway, identiteitsprovider of RDP-add-on | Blokkeert inlogpogingen op basis van wachtwoord alleen |
| Authenticatie op netwerkniveau | Laag | Systeemeigenschappen → Extern → NLA-selectievakje | Authenticatie vóór het aanmaken van een sessie |
| Accountvergrendelingsbeleid | Laag | secpol.msc → Account Policies → Account Lockout | Beperkt eindeloos raden van wachtwoorden |
| Gebeurtenislogboek bewaken | Gemiddeld | SIEM/EDR of Windows Event Viewer | Vroege detectie van aanvalspatronen |
| IP-allowlist/geo-fence | Laag | Firewallregels of IPS/geo-beleid | Beperkt toegang op basis van verbindingsbron |
| Sterk wachtwoordbeleid | Laag | Domein-GPO of lokaal beveiligingsbeleid | Verhoogt de drempel voor brute force-aanvallen |
| Regelmatige patches | Laag | Windows Update, WSUS of Intune | Sluit bekende RDP-kwetsbaarheden |
Actieve RDP Brute Force-aanvallen detecteren
Zorg eerst dat de basis op orde is. Controleer Event ID 4625 in het Windows Security-logboek op mislukte aanmeldingspogingen, want pieken wijzen op actieve aanvallen. Als je binnen enkele minuten tientallen of honderden 4625-events ziet van hetzelfde bron-IP, kijk je in real time naar een brute force-poging. Moderne detectie zoekt naar Type 3-aanmeldingen (netwerkauthenticatie via NLA) gevolgd door Type 10-aanmeldingen (externe interactieve sessies), omdat de authenticatiestroom is veranderd met de invoering van Network Level Authentication.
Let op patronen van mislukte aanmeldingen over meerdere gebruikersnamen vanaf één IP-adres. Dat wijst op password spraying in plaats van gerichte aanvallen. Geografische afwijkingen tellen ook mee. Als je gebruikers in Noord-Amerika werken maar je aanmeldingspogingen ziet vanuit Oost-Europa of Azië, is dat een direct onderzoekwaardig signaal. Sommige aanvallers gebruiken residentiële proxies om hun werkelijke locatie te verhullen, maar volume- en timingpatronen verraden ze alsnog.
Stuur deze events door naar een centraal logsysteem of SIEM dat activiteit over meerdere servers kan correleren. Stel drempelwaarden voor meldingen in op basis van de normale authenticatiepatronen in je omgeving, want wat normaal is voor een groot bedrijf kan verdacht zijn voor een klein bedrijf. Het doel is leren hoe je brute force-aanvallen en hun patronen stopt vóórdat ze slagen, niet alleen vastleggen wat er al fout is gegaan.
Een actieve RDP Brute Force-aanval stoppen
Als monitoring een melding geeft over herhaalde mislukte aanmeldingen of credential sprays, werk dan de stappen in volgorde af. Stap één: beperk de bron door het IP-adres of het bereik te blokkeren op de perimeterFirewall. Bij hoog volume pas je tijdelijke rate limits toe om de aanval te vertragen terwijl je onderzoek doet. Wacht niet op geautomatiseerde tools als je de aanval al in real time ziet.
Stap twee: stabiliseer de identiteit door het wachtwoord van het aangevallen account te verlopen en te controleren of het elders hergebruikt wordt. Schakel het account uit als er vermoedens van compromittering zijn, want toegang voorkomen weegt zwaarder dan achteraf opruimen. Bekijk recente geslaagde aanmeldingen voor dat account om te bepalen of de aanvaller al binnen was voordat je het opmerkte.
Stap drie: valideer toegangspaden door te bevestigen dat RD Gateway of VPN verplicht is voor toegang, en verwijder eventuele ongeautoriseerde port-forwarding die 3389 opnieuw blootstelt aan het internet. Sommige aanvallen slagen doordat iemand maanden geleden een tijdelijke firewallregel heeft geopend en vergeten te sluiten. Stap vier: zoek naar neveneffecten door RDP-sessielogboeken, nieuwe lokale beheerders, service-installaties en geplande taken te controleren. EDR-telemetrie helpt bij het opsporen van persistentiemechanismen die aanvallers plaatsen tijdens korte toegangsvensters.
Verfijn ten slotte de detectie door regels toe te voegen voor aanmeldingsstormen op bevoorrechte accounts, en maak tickets aan voor opvolging zodat lessen standaardprocedures worden. Deze stappen houden incidenten kort en laten precies zien hoe je voorkomt dat brute force-aanvallen schade aanrichten zodra detectiemeldingen afgaan.
Geavanceerde RDP Brute Force-beveiligingsstrategieën
Een paar extra stappen renderen zich terug, vooral voor internet-gerichte workloads en beheerders onderweg. Stel per-IP-drempelwaarden in op je RD Gateway of firewall, en stem IPS-signatures af die overeenkomen met RDP mislukte-handshake-floods. Dit voorkomt dat bots je op machinesnelheid kunnen bestoken en geeft SOC-meldingen meer context voor triage. Rate limiting op de netwerkedge voorkomt dat individuele aanvallers al je authenticatiebronnen opmaken. Grote ransomwaregroepen, waaronder Black Basta en RansomHub, gebruiken RDP brute-forcing inmiddels als primaire techniek voor initiële toegang.
Moderne EDR voegt sessiemetadata toe die helpt onderscheid te maken tussen beheerwerk en gestage aanvallen, wat hunting over gerelateerde hosts ondersteunt. Die context verkort de verblijftijd wanneer aanvallers lateraal door je omgeving bewegen. Het verschil tussen een inbraak in uren of dagen ontdekken hangt vaak af van de juiste telemetrie op de juiste plaatsen.
Schakel onnodige schijf-, klembord- en printeromleiding uit op hosts met een hoog risico. Het uitschakelen van handige functies verhoogt de drempel voor aanvallers die data proberen te exfiltreren of tools in je omgeving proberen te brengen. Combineer dit met least-privilege-principes en scheiding van lokale beheerdersaccounts, zodat het compromitteren van één account niet alles blootgeeft. Brute force-pogingen stoppen is eenvoudiger wanneer laterale beweging vertraagt tot een kruipgang.
Port-obfuscatie door de standaard 3389 te wijzigen stopt gerichte scans niet, maar vermindert wel het ruisniveau van bots die alleen standaardpoorten aanvallen. Als je de poort wijzigt, combineer dit dan alsnog met VPN, allowlists en MFA, want verduistering alleen faalt tegen gerichte aanvallen. Bevestig op nieuwe Windows-servers de Remote Desktop-instellingen, NLA en firewallregels vanuit een verhoogde terminal via PowerShell of CMD. Taken zoals RDP inschakelen via de opdrachtregel blijven overzichtelijk en herhaalbaar wanneer ze gescript en beoordeeld worden, zodat deze stappen aansluiten op je wijzigingsproces en afwijkingen vroeg worden opgespoord.
RDP-hygiene maakt deel uit van een breder verhaal over externe toegang. Als je systemen beheert via browsers of externe apps, controleer die dan ook —Chrome Remote Desktop beveiligingsrisico, kan bijvoorbeeld evenveel lograuzen genereren als een blootgestelde 3389. Goede hygiene over alle tools heen houdt RDP brute force-beveiliging breed en sterk.
Conclusie
Je hebt nu een duidelijk, gelaagd antwoord op "hoe voorkom je RDP brute force-aanvallen?". Houd de blootstelling laag met een VPN of gateway, verhoog de lat met MFA, NLA en vergrendelingsbeleid, en houd authenticatielogboeken nauwlettend in de gaten. Deze stappen vormen praktische brute force-aanvalspreventie die werkt in echte omgevingen onder werkelijke druk, niet alleen in documentatie.
Als je een schone omgeving nodig hebt om deze beveiligingsmaatregelen te testen, of een productieomgeving met degelijke beveiliging, kun je koop RDP kiezen bij providers die snelle verbindingen, NVMe-opslag voor snelle I/O en goede monitoringinfrastructuur bieden. Kies datacenters die dicht bij je team staan zodat de latency laag blijft, en controleer of de provider de beveiligingsmaatregelen ondersteunt die je nodig hebt.
Op zoek naar een remote desktop?
Betrouwbare, krachtige RDP-servers met 99,95% uptime. Neem je desktop overal mee naartoe, naar de grote steden in de VS, Europa en Azië.
Haal een RDP Server
