Remote Desktop Protocol blijft een topdoelwit omdat blootgestelde poort 3389, zwakke wachtwoorden en luidruchtige login-telemetrie het leven gemakkelijk maken voor bots en laaggeschoolde actoren. Als u vraagt hoe u RDP-bruteforce-aanvallen kunt voorkomen, is het korte antwoord: de blootstelling verminderen, de authenticatiesterkte verhogen en de logs als een havik in de gaten houden. Verberg poort 3389 achter een VPN- of RD-gateway, dwing MFA af op elk toegangspunt, schakel authenticatie op netwerkniveau in, stel accountvergrendelingsbeleid in tussen 5 en 10 pogingen met een duur van 15-30 minuten en controleer voortdurend de pieken van Event ID 4625. Aanvallers scannen, raden en draaien elk jaar sneller, dus uw draaiboek heeft concrete controles nodig, geen wensdenken.
TL;DR: Snelle beschermingscontrolelijst
- Verberg poort 3389 achter VPN of RD Gateway om publieke blootstelling te voorkomen
- Vereist multi-factor authenticatie voor alle RDP-toegangspunten
- Schakel Network Level Authentication (NLA) in voor verificatie vóór de sessie
- Accountblokkering instellen: 5-10 ongeldige pogingen, duur van 15-30 minuten, reset van 15 minuten
- Controleer voortdurend de Windows-gebeurtenis-ID's 4625 (mislukt) en 4624 (succesvol).
- Gebruik IP-toelatingslijsten en geoblokkering om de brontoegang te beperken
- Handhaaf een sterk wachtwoordbeleid met een minimale lengte van 14+ tekens
Waarom RDP Brute Force-aanvallen slagen
Open RDP is aantrekkelijk omdat het binnen enkele minuten door massale scans kan worden gevonden, het vaak met lokale beheerdersrechten werkt en één zwak wachtwoord tot ransomware kan leiden. Poort 3389 is zichtbaar op het openbare internet, als een reclamebord, en geautomatiseerde tools hebben geen expertise nodig om inlogschermen te kraken. Wachtwoordaanvallen zijn dramatisch geëscaleerd Microsoft rapporteert een stijging van 74% alleen al van 2021 tot 2022. Dat is de reden waarom elke gids over het voorkomen van brute force-aanvallen altijd begint met het niet openbaar maken van 3389 op het openbare internet en vervolgens lagen zoals MFA en lock-outregels toevoegt voordat iemand het inlogscherm bereikt.
Recente campagnes van netwerken als FDN3 medio 2025 hebben laten zien hoe snel grootschalige wachtwoordverspreiding zich kan richten op SSL VPN- en RDP-apparaten op duizenden systemen. De aanvallen pieken tijdens bepaalde perioden waarin beveiligingsteams het minst voorbereid zijn, en het patroon herhaalt zich omdat de fundamentele zaken nog steeds niet kloppen. Plotselinge pieken in het aantal mislukte aanmeldingen, herhaalde pogingen bij veel gebruikersnamen en het wisselen van IP-adres zijn de veelbetekenende signalen, maar tegen de tijd dat u ze opmerkt zonder goed toezicht, is de schade vaak al begonnen. De inzet is hoog: Verizons rapport over datalekken uit 2025 ontdekte dat ransomware aanwezig was in 44% van alle inbreuken, waarbij RDP een geprefereerd toegangspunt voor deze aanvallen bleef.
Moderne eindpuntdetectie kan RDP-gegevens op sessieniveau aan elkaar koppelen, zodat hulpverleners eerder spray-and-pray-patronen kunnen opmerken. Maar preventie wint altijd van detectie. Daarom concentreert het volgende gedeelte zich op controles die aanvallen tegenhouden voordat ze incidenten worden.
RDP Brute Force-aanvallen voorkomen: kernbeschermingsmethoden
De snelste winst komt voort uit het terugdringen van de netwerkblootstelling, sterkere aanmeldingspoorten en ingebouwd Windows-beleid. Als u wilt weten hoe u RDP-bruteforce-aanvallen kunt voorkomen, betekent dit dat u RDP-bruteforce-bescherming implementeert die al deze lagen combineert.
Sluit eerst de open deur: verwijder Public 3389
Verberg RDP achter een VPN of implementeer Remote Desktop Gateway op poort 443 met TLS-encryptie. Een korte toelatingslijst voor bekende IP's plus een gateway verslaat elke keer onbewerkte port forwarding. Deze stap vermindert de ruis en verlaagt het wachtwoord-raadvolume dramatisch. Configureer uw perimeterfirewall om directe toegang tot poort 3389 vanaf internet te blokkeren en leid vervolgens al het legitieme verkeer via de beveiligde gateway. De aanvallers kunnen niet bruut forceren wat ze niet kunnen bereiken.
Schakel Multi-Factor Authenticatie in voor RDP
Push-spambestendige MFA, zoals app-prompts met overeenkomende nummers of hardwaresleutels, blokkeert de meeste inbraken met alleen een wachtwoord. Voeg MFA toe op gatewayniveau of via een RDP-provider met nauwe directory-integratie. Volgens onderzoek van Microsoft is MFA bij ruim 99% van de gecompromitteerde accounts niet ingeschakeld, wat je alles vertelt over waarom deze controle belangrijk is. Implementeer het via RD Gateway met behulp van Network Policy Server-integratie met Azure AD, of gebruik oplossingen van derden die TOTP en hardwaretokens ondersteunen.
Verificatie op netwerkniveau (NLA) vereisen
NLA dwingt authenticatie af voordat een volledige desktop wordt geladen, waardoor het beslag op hulpbronnen door mislukte sessies wordt verminderd en het aanvalsoppervlak wordt verkleind. Koppel NLA met TLS voor gecodeerde overdracht van inloggegevens. Hierdoor wordt de verificatie verplaatst naar het allereerste begin van het verbindingsproces met behulp van Credential Security Support Provider (CredSSP). Volgens peer-reviewed onderzoek kan NLA de RDP-latentie tijdens actieve aanvallen met 48% verminderen door te voorkomen dat niet-geverifieerde sessies serverbronnen verbruiken. Schakel dit in via Systeemeigenschappen, op het tabblad Extern, door 'Alleen verbindingen toestaan vanaf computers waarop verificatie op netwerkniveau wordt uitgevoerd' te selecteren.
Pas accountvergrendelingsbeleid toe
Stel verstandige drempels in en sluit vensters uit, zodat bots niet voor altijd kunnen raden. Dit zijn klassieke RDP-methoden voor het voorkomen van brute force-aanvallen, en ze werken nog steeds als ze correct zijn geconfigureerd. Configureer via Lokaal beveiligingsbeleid (secpol.msc) onder Accountbeleid met deze parameters: een drempel van 5-10 ongeldige pogingen, een uitsluitingsduur van 15-30 minuten en een resetteller na 15 minuten. Deze waarden komen voort uit consensus over meerdere beveiligingsbasislijnen voor 2025, inclusief Windows-beveiligingsaanbevelingen en branchekaders. Zorg voor een evenwicht tussen de beveiliging en de belasting van de helpdesk, omdat elk vergrendeld account een supportticket genereert.
Gebruik toelatingslijsten en geo-fencing
Beperk wie er zelfs maar op de deur kan kloppen. Landblokkeringen, ASN-blokkeringen en korte statische toelatingslijsten zorgen ervoor dat het verkeer in veel kleine kantoren tot bijna nul wordt teruggebracht. Configureer deze regels op firewallniveau, blokkeer hele geografische regio's waarmee u nooit zaken doet en beperk de toegang tot specifieke IP-bereiken voor externe medewerkers. Sommige omgevingen gaan nog een stap verder door op tijd gebaseerde toegangscontroles te implementeren die RDP alleen tijdens kantooruren toestaan.
Verhard wachtwoorden en rotatie
Gebruik lange wachtwoordzinnen, unieke geheimen per beheerder en een wachtwoordbeheerder. Dit is de basisbescherming tegen brute force van RDP, maar toch beginnen hier nog steeds te veel inbreuken. Stel de minimale wachtwoordlengte in op 14 tekens, waarbij complexiteitsvereisten worden afgedwongen via Groepsbeleid. Hoe langer het wachtwoord, hoe moeilijker het wordt voor geautomatiseerde tools om brute force-methoden te kraken. Voorkom hergebruik van wachtwoorden tussen verschillende beheerdersaccounts, omdat één gecompromitteerde inloggegevens door uw hele infrastructuur kan stromen.
Update Windows en RDP Stack onmiddellijk
Herstel bekende RDP-fouten en roll-updates op servers en clients. Oude kwetsbaarheden duiken nog steeds op in het wild en aanvallers richten zich eerst op niet-gepatchte systemen omdat deze gemakkelijker zijn. Implementeer een regelmatig patchschema met behulp van Windows Update-, WSUS- of Intune-basislijnen om ervoor te zorgen dat uw RDP-infrastructuur up-to-date blijft tegen bekende exploits.
Verzamelen en waarschuwen bij mislukte aanmeldingen
Stuur Windows-beveiligingslogboeken door naar een SIEM, bekijk gebeurtenis-ID's 4625 en 4624 en waarschuwt bij abnormale volumes, brongeografieën en serviceaccounthits. Leren hoe u brute force-aanvallen kunt voorkomen, houdt altijd in dat u logboeken in de gaten moet houden, omdat reactieve detectie de schade beperkt wanneer preventieve controles mislukken. Configureer binnen een uur waarschuwingen voor meer dan tien mislukte pogingen vanaf één IP-adres en controleer op aanmeldingspatronen van Type 10 (interactief op afstand) en Type 3 (netwerk) die RDP-activiteit aangeven.
Elk van deze vermindert het risico op zichzelf. Samen vormen ze RDP-methoden voor de preventie van brute force-aanvallen die standhouden onder echte druk.
| Methode | Implementatiecomplexiteit | Waar te configureren | Primair voordeel |
| VPN/RD-gateway | Medium | Firewall of RD Gateway (poort 443) | Elimineert blootstelling aan openbare poort 3389 |
| Multi-factor authenticatie | Medium | Gateway, identiteitsprovider of RDP-add-on | Stopt inlogpogingen met alleen een wachtwoord |
| Authenticatie op netwerkniveau | Laag | Systeemeigenschappen → Op afstand → NLA-selectievakje | Authenticatie vóór het maken van een sessie |
| Beleid voor accountvergrendeling | Laag | secpol.msc → Account Policies → Account Lockout | Beperkt het oneindig raden van wachtwoorden |
| Controle van gebeurtenislogboeken | Medium | SIEM/EDR of Windows Gebeurtenisviewer | Vroegtijdige detectie van aanvalspatronen |
| IP-toelatingslijst/Geo-Fence | Laag | Firewallregels of IPS/Geo-beleid | Beperkt de toegang tot de verbindingsbron |
| Sterk wachtwoordbeleid | Laag | Domein GPO of lokaal beveiligingsbeleid | Verhoogt de moeilijkheidsgraad van brute kracht |
| Regelmatig patchen | Laag | Windows Update, WSUS of Intune | Sluit bekende RDP-kwetsbaarheden |
Hoe u actieve RDP Brute Force-aanvallen kunt detecteren
Houd vóór de bediening de basis in de gaten. Controleer gebeurtenis-ID 4625 in het Windows-beveiligingslogboek op mislukte aanmeldingspogingen, omdat pieken actieve aanvallen aangeven. Wanneer u binnen enkele minuten tientallen of honderden 4625-gebeurtenissen van hetzelfde bron-IP ziet, kijkt u in realtime naar een brute force-poging. Moderne detectie zoekt naar Type 3-aanmeldingen (netwerkverificatie via NLA) gevolgd door Type 10-aanmeldingen (interactief op afstand), aangezien de authenticatiestroom veranderde met de adoptie van authenticatie op netwerkniveau.
Let op mislukte inlogpatronen voor meerdere gebruikersnamen vanaf afzonderlijke IP's, wat duidt op het verspreiden van wachtwoorden in plaats van op gerichte aanvallen. Geografische inconsistenties zijn ook van belang. Als uw gebruikers in Noord-Amerika werken, maar u inlogpogingen uit Oost-Europa of Azië ziet, is dat een alarmsignaal dat de moeite waard is om onmiddellijk te onderzoeken. Sommige aanvallers gebruiken residentiële proxy's om hun ware locatie te verbergen, maar volume- en timingpatronen onthullen nog steeds hun aanwezigheid.
Stuur deze gebeurtenissen door naar een gecentraliseerd logboekregistratiesysteem of SIEM dat activiteiten op meerdere servers kan correleren. Stel waarschuwingsdrempels in op basis van de normale authenticatiepatronen van uw omgeving, want wat er normaal uitziet voor een grote onderneming, kan voor een klein bedrijf verdacht zijn. Het doel is om te leren hoe je brute force-aanvallen en hun patronen kunt stoppen voordat ze slagen, en niet alleen om ze te documenteren nadat er schade is opgetreden.
Hoe u een lopende RDP Brute Force-aanval kunt stoppen
Als de monitoring een waarschuwing activeert voor herhaalde mislukte aanmeldingen of het sprayen van inloggegevens, voert u de stappen in de juiste volgorde uit. Beperk eerst de bron door het IP-adres of bereik bij de perimeterfirewall te blokkeren. Als het volume hoog is, pas dan tijdelijke snelheidslimieten toe om de aanval te vertragen terwijl je onderzoek doet. Wacht niet tot geautomatiseerde tools de achterstand inhalen wanneer u de aanval in realtime kunt zien plaatsvinden.
Ten tweede: stabiliseer de identiteit door het wachtwoord van het beoogde account te laten verlopen en te controleren op hergebruik op andere services. Schakel het account uit als er vermoed wordt dat er sprake is van een inbreuk, omdat het voorkomen van toegang belangrijker is dan het opruimen na een inbreuk. Bekijk recente succesvolle aanmeldingen voor dat account om te bepalen of de aanvaller al binnenkwam voordat je het merkte.
Ten derde: valideer toegangspaden door te bevestigen dat RD Gateway of VPN vereist is voor toegang, en verwijder eventuele frauduleuze port-forwarding waardoor 3389 opnieuw wordt blootgesteld aan internet. Sommige aanvallen slagen omdat iemand maanden geleden een tijdelijke firewallregel heeft geopend en vergat deze te sluiten. Ten vierde: zoek naar bijwerkingen door RDP-sessielogboeken, nieuwe lokale beheerders, service-installaties en geplande taken te bekijken. EDR-telemetrie helpt bij het onderscheppen van persistentiebewegingen die aanvallers plaatsen tijdens korte toegangsvensters.
Tenslotte kunt u detecties afstemmen door regels toe te voegen voor mislukte aanmeldingsstormen op geprivilegieerde accounts, en ticketing voor vervolgacties activeren, zodat lessen standaard worden. Deze acties houden incidenten kort en demonstreren precies hoe u kunt voorkomen dat brute force-aanvallen schade veroorzaken zodra detectiewaarschuwingen afgaan.
Geavanceerde RDP Brute Force-beschermingsstrategieën
Een paar extra stappen zijn de moeite waard, vooral voor werklasten op het internet en voor beheerders die onderweg zijn. Stel drempels per IP in op uw RD Gateway of firewall, en stem IPS-handtekeningen af die overeenkomen met RDP mislukte handshake-floods. Dit zorgt ervoor dat bots je niet op machinesnelheid kunnen hameren en geeft SOC-waarschuwingen meer context voor triage. Snelheidsbeperking aan de netwerkrand voorkomt dat individuele aanvallers al uw authenticatiebronnen gebruiken. Grote ransomwaregroepen, waaronder Black Basta en RansomHub, hebben RDP-bruteforce als primaire toegangstechniek aangenomen.
Moderne EDR voegt metagegevens van sessies toe die helpen het administratieve werk te onderscheiden van geënsceneerde aanvallen, en ondersteunt het zoeken naar gerelateerde hosts. Die context verkort de verblijftijd wanneer aanvallers zich zijdelings door uw omgeving bewegen. Het verschil tussen het opsporen van een inbraak in uren en dagen komt vaak neer op het beschikken over de juiste telemetrie op de juiste plaatsen.
Schakel onnodige schijf-, klembord- en printeromleiding uit op hosts met een hoog risico. Het uitschakelen van gemaksfuncties zorgt voor meer wrijving bij indringers die proberen gegevens te stelen of tools naar uw omgeving te verplaatsen. Combineer dit met de principes van de minste privileges en een scheiding van lokale beheerders, zodat het compromitteren van één account niet alles overdraagt. Het stoppen van pogingen met brute kracht is gemakkelijker wanneer de zijwaartse beweging vertraagt tot een kruip.
Poortverduistering door het wijzigen van de standaardpoort 3389 stopt bepaalde scans niet, maar vermindert wel de ruis van bots die alleen standaardpoorten bereiken. Als u dit wijzigt, moet u nog steeds verbinding maken met VPN, toelatingslijsten en MFA, omdat obscuriteit alleen niet werkt tegen gerichte aanvallen. Op nieuwe Windows-servers bevestigt u de instellingen voor Extern bureaublad, NLA en firewallregels vanaf een verhoogde terminal met behulp van PowerShell of CMD. Taken zoals het inschakelen van RDP via de opdrachtregel blijven schoon en reproduceerbaar wanneer ze in een script worden geschreven en beoordeeld, waardoor deze stappen aan uw veranderingsproces worden gekoppeld, zodat afwijkingen vroegtijdig worden opgemerkt.
RDP-hygiëne maakt deel uit van een breder verhaal over externe toegang. Als u systemen beheert via browsers of apps van derden, controleer deze dan ook:Beveiligingsrisico voor Chrome Remote Desktopkan bijvoorbeeld net zoveel logruis genereren als blootgestelde 3389. Goede hygiëne bij alle tools zorgt ervoor dat de RDP-bruteforce-bescherming over de hele linie sterk is.
Conclusie
Nu heb je een duidelijk, gelaagd antwoord op de vraag “hoe je RDP-bruteforce-aanvallen kunt voorkomen?” Houd de blootstelling laag met een VPN of gateway, leg de lat hoger met MFA-, NLA- en lockout-beleid en houd de authenticatielogboeken nauwlettend in de gaten. Deze stappen vormen een praktische preventie van brute force-aanvallen die werkt in echte omgevingen onder daadwerkelijke druk, en niet alleen in documentatie.
Als u een schone omgeving nodig heeft om deze controles te testen of een productiebasis met de juiste beveiliging, dan kunt u dat doen RDP kopen van providers die snelle connectiviteit, NVMe-opslag voor snelle I/O en een goede monitoringinfrastructuur bieden. Kies datacenters die passen bij de locatie van uw team, zodat de latentie laag blijft en zorg ervoor dat de provider de beveiligingsmaatregelen ondersteunt die u nodig heeft.
Een extern bureaublad nodig?
Betrouwbare, krachtige RDP-servers met een uptime van 99,95. Neem uw desktop mee naar alle grote steden in de VS, Europa en Azië.
Koop een RDP-server
