MFA inschakelen voor RDP: zo pakt u het aan

Remote Desktop Protocol (RDP) blijft een van de effectiefste hulpmiddelen van MSP’s voor het beheren van hybride IT-omgevingen. Het is echter ook een veelgebruikt doelwit van allerlei threat actors. Multi-factor authentication (MFA) voor RDP is dan ook essentieel om schoon te blijven, het vertrouwen van klanten te behouden en stress te beperken. Er is immers maar een heel kort lijstje met dingen die een vrijdag sneller kunnen verpesten dan een RDP-inbraak.

De beste MFA-opstellingen voor RDP

Zorg dat de omgeving volledig is voorbereid voordat u MFA inschakelt. Goede planning en communicatie voorkomen lockouts, serviceonderbrekingen en onvolledige dekking op endpoints. Werk bijvoorbeeld aan deze randvoorwaarden:

• Een actuele inventarisatie van RDP-blootstelling en toegangspaden
• Een goedgekeurde MFA-provider en goedgekeurde factoren (TOTP, push, FIDO2, smartcard)
• Een vertrouwd TLS-certificaat op de RD Gateway
• Wijzigingsbeheer met vensters voor service-impact en terugrolstappen
• Centrale logging voor Windows-beveiligingsgebeurtenissen, gatewaylogs en gebeurtenissen van de MFA-provider

💡 Let op: de vereisten kunnen verschillen per systeem, beleid en zakelijke behoefte.

Toepassingen van RDP

RDP wordt vaak gebruikt voor veilig beheer op afstand, serveronderhoud en technische ondersteuning. MSP’s gebruiken RDP om bij klantsystemen te komen, terwijl interne IT-teams er infrastructuur op meerdere locaties mee beheren. Ook leveranciers kunnen tijdens implementaties of integraties gecontroleerde RDP-toegang krijgen.

Patroon 1: RD Gateway met MFA

Voor de meeste on-premises omgevingen biedt een RD Gateway met MFA de beste balans tussen beveiliging, controle en beheersbaarheid. Zo pakt u dat aan:

1. Gebruik RD Gateway met een vertrouwd TLS-certificaat en publiceer die op TCP-poort 443. Als u UDP-transport inschakelt, moet u ook UDP-poort 3391 toestaan.
2. Integreer MFA via Network Policy Server (NPS). Installeer de Microsoft Entra MFA NPS-extensie of laat NPS verwijzen naar een MFA-provider van derden die RADIUS ondersteunt. Microsoft kondigde in september 2022 het uitfaseren van de on-premises MFA Server aan, dus nieuwe implementaties zouden de NPS-extensie moeten gebruiken.
3. Vereis Network Level Authentication (NLA) op elke RDP-host en blokkeer inkomend RDP op poort 3389 vanaf het internet, zodat de gateway de enige route is.
4. Maak een Connection Authorization Policy (CAP) die bepaalt wie verbinding mag maken en een Resource Authorization Policy (RAP) die bepaalt welke hosts zij mogen benaderen.
5. Stuur logs van RD Gateway, NPS en de MFA-provider door naar uw SIEM en stel notificaties in bij herhaalde weigeringen.

Deze opzet centraliseert en beveiligt alle RDP-toegang door MFA af te dwingen op gatewayniveau.

Door de identiteit van de gebruiker te verifiëren voordat een sessie met interne systemen wordt opgebouwd, krijgen MSP’s één controleerbaar controlepunt dat blootstelling beperkt, compliance vereenvoudigt en de algehele beveiliging van remote access versterkt.

Patroon 2: MFA bij aanmelding op het endpoint (agentgebaseerd)

Wanneer een RD Gateway niet beschikbaar of praktisch is, kunt u MFA bij aanmelding op het endpoint inrichten als directe manier om RDP-sessies op deviceniveau te beschermen. Het is ook een ideaal MFA-patroon voor geïsoleerde systemen, werkstations met verhoogde rechten of omgevingen die handhaving op het apparaat zelf vereisen zonder afhankelijk te zijn van netwerkinfrastructuur.

1. Installeer een ondersteunde MFA-aanmeldagent op alle doelservers en endpoints met verhoogde rechten.
2. Stel beleid in dat MFA vereist voor zowel RDP- als lokale aanmeldingen, met uitzonderingen alleen voor serviceaccounts die geen interactieve authenticatie ondersteunen.
3. Valideer herstelroutes, zoals offlinecodes of hardwaretokens, voor onderhoud of situaties met uitvaltijd.
4. Schakel centrale logging in om geslaagde en mislukte MFA-pogingen vast te leggen en configureer notificaties bij herhaalde weigeringen of mislukte pogingen.

MFA bij aanmelding op het endpoint brengt MFA-bescherming rechtstreeks naar elk endpoint, zodat toegangscontrole intact blijft, ook zonder RD Gateway.

Patroon 3: Microsoft Entra Conditional Access

Gebruik dit patroon voor sessiehosts van Azure Virtual Desktop en voor Windows-hosts die aan Microsoft Entra ID zijn gekoppeld of hybride gekoppeld zijn. Met Microsoft Entra-authenticatie voor RDP kan een Conditional Access-beleid MFA, devicecompliance en aanmeldfrequentie beoordelen zodra gebruikers verbinding maken en worden passkeys en FIDO2-beveiligingssleutels ondersteund.

1. Controleer of elke host aan Microsoft Entra is gekoppeld of hybride gekoppeld is en een ondersteunde versie van Windows draait.
2. Sta Microsoft Entra-authenticatie voor RDP toe in uw tenant en op de hosts.
3. Maak een Conditional Access-beleid voor de cloud-apps Microsoft Remote Desktop en Windows Cloud Login dat MFA vereist, een authenticatiesterkte zoals phishingbestendige MFA of een compliant device.
4. Voeg gebruikers toe aan de lokale groep Extern bureaublad-gebruikers, want Microsoft Entra-groepen die aan die lokale groep worden toegevoegd, tellen niet mee bij RDP-aanmelding.
5. Test met beheerdersaccounts en accounts met een hoog risico, documenteer uitzonderingen met een vervaldatum en stuur aanmeldlogs naar uw SIEM.

Welk patroon kunt u het beste gebruiken?

Kies MFA-methoden die bestand zijn tegen phishing

Niet elke MFA-methode biedt dezelfde bescherming. CISA omschrijft FIDO2- en WebAuthn-beveiligingssleutels en op PKI gebaseerde smartcards als phishingbestendig, beveelt number matching aan als tussenstap voor push-goedkeuringen en beschouwt sms- en spraakcodes als de zwakste opties. Vereis bij RDP eerst phishingbestendige methoden voor beheerders en andere accounts met verhoogde rechten en breid daarna uit naar alle gebruikers.

Monitoring, bewijsvoering en risicobeheersing

Elke implementatie moet de dekking over alle endpoints bijhouden: documenteer welk percentage systemen is beschermd door een RD Gateway of MFA op endpointniveau, samen met de gebruikers die onder Conditional Access-beleid vallen.

Logging van gebeurtenissen

Zo moeten logs van Windows-beveiligingsgebeurtenissen (ID’s 4624 en 4625), RD Gateway-verbindingen en resultaten van de MFA-provider regelmatig worden verzameld en geanalyseerd om handhaving te verifiëren en afwijkingen te signaleren.

Nauwkeurige en regelmatige documentatie

Daarnaast moet elke uitzondering een toegewezen eigenaar hebben, een gedocumenteerde motivering, een start- en einddatum en compenserende beveiligingsmaatregelen. Vat in de reguliere rapportage de MFA-prompts, mislukte aanmeldingen, geblokkeerde pogingen en eventuele onbeschermde endpoints samen.

Risicobeheersing

Tot slot zouden organisaties voor de operationele veiligheid een bewaakt break-glass-proces moeten behouden dat beperkte noodtoegang voor een vastgestelde periode verleent. Offline toegangsmethoden moeten beschikbaar zijn voor onderhoud en elk kwartaal worden getest om de betrouwbaarheid te bevestigen.

Overweeg daarnaast voor elke implementatie een terugrolplan voor het geval de gateway uitvalt of agents falen. Stel vervolgens vooraf goedgekeurde wijzigingsvensters in om verstoring tijdens herstel te beperken.

De rol van NinjaOne

NinjaOne voegt zelf geen MFA toe aan RDP-sessies op endpoints, dus combineer het met een RD Gateway, een aanmeldagent op het endpoint of een Conditional Access-beleid. NinjaOne helpt u die controle uit te rollen en te onderhouden.

• Remote access: met NinjaOne Cloud RDP kunnen technici vanuit het NinjaOne-portaal RDP-sessies openen naar beheerde devices met Windows Professional, Enterprise en Server. NinjaOne Remote verbindt technici met Windows-, macOS- en Linux-endpoints in één portaal.
• Implementatie: gebruik softwaredistributie en scripts om MFA-aanmeldagents en gatewayvereisten uit te rollen en om RDP- en NLA-instellingen toe te passen, zoals het script Enable or Disable RDP using PowerShell in de NinjaOne Script Hub.
• Inzicht: gebruik monitoringcondities en scripts om te rapporteren op welke hosts RDP is ingeschakeld of de MFA-agent ontbreekt.
• Toegang voor technici: vereis MFA bij het aanmelden van technici in NinjaOne, zoals beschreven in het volgende gedeelte.

Daarnaast biedt NinjaOne Remote® uniforme endpointcontrole en -beheer voor Windows-, Mac- en Linux-devices. Deze RDP-integraties en MFA-ondersteuning maken allemaal deel uit van het NinjaOne-platform.

💡 Tip: bekijk de veelgestelde vragen over remote access voor meer mogelijkheden van NinjaOne Remote®.

Gestroomlijnde RDP-workflows voor MSP’s

MFA inschakelen voor RDP versterkt de beveiliging van remote access tegen veelvoorkomende RDP-kwetsbaarheden. Met een goede planning kan het ook een aanjager zijn om workflows van technici en andere IT-sessies op afstand te verbeteren. Naarmate meer klantomgevingen hybride worden, kunnen MSP’s de voorbereiding nog een stap verder brengen door hun IT-stack te verenigen, wat de risico’s verder beperkt bij het beheren van assets op afstand, het regelen van gedeelde toegang en het opslaan van referenties.

Gerelateerde onderwerpen:

• Een pc op afstand bedienen
• Zo stelt u Remote Desktop Gateway in
• Beste praktijken voor remote access voor MSP’s en IT-professionals
• Zo stelt u Remote Desktop Gateway in
• RDP in- of uitschakelen op werkstations met PowerShell [NinjaOne-script]