Belangrijkste punten
- Gelaagde maatregelen beperken de blootstelling van RDP: het beveiligen van Remote Desktop Protocol (RDP) in SMB-omgevingen vraagt om gelaagde maatregelen (toegangsbeperking, verharding van authenticatie, versleuteling, monitoring) om de blootstelling aan brute-force-aanvallen en ransomware te beperken.
- Schakel ongebruikte RDP-toegang uit: zet RDP uit op systemen die geen remote access nodig hebben om het aanvalsoppervlak te verkleinen.
- Authenticatie en versleuteling blokkeren ongeautoriseerde toegang: dwing Network Level Authentication (NLA), sterke versleuteling en een accountvergrendelingsbeleid af om ongeautoriseerde toegang en brute-force-pogingen te voorkomen.
- Beperk toegang tot vertrouwde bronnen: beperk RDP-toegang met firewalls, vertrouwde IP-reeksen en gecontroleerde gebruikersgroepen om de blootstelling te minimaliseren.
- Extra maatregelen versterken het beveiligingsbeleid: gebruik aanvullende maatregelen (VPN’s, RDP-gateways, poortwijzigingen, sessieplanning, activiteitenmonitoring) om het totale beveiligingsbeleid te versterken.
- Controleer RDP-activiteit continu en reageer snel: houd inlogpogingen in de gaten, spoor ongebruikelijke toegangspatronen op en stel notificaties in voor afwijkingen om mogelijke dreigingen snel aan te pakken en laterale beweging te voorkomen.
Remote Desktop Protocol (RDP) is een onmisbaar hulpmiddel voor IT-professionals en MSP’s. Het geeft rechtstreeks toegang tot systemen op afstand voor support, onderhoud en probleemoplossing.
Kleine en middelgrote bedrijven beschikken vaak niet over firewalls en identiteitssystemen van enterpriseniveau. Juist voor deze organisaties is veilige remote desktop-toegang essentieel.
Aanbevolen implementatiestrategieën:
Kies een methode | Het beste voor individuele gebruikers | Het beste voor grote organisaties |
| Methode 1: schakel RDP uit als het niet nodig is | ✓ | |
| Methode 2: gebruik Network Level Authentication | ✓ | |
| Methode 3: beperk RDP-toegang via firewalls en groepen | ✓ | ✓ |
| Methode 4: dwing sterke versleuteling van RDP-sessies af | ✓ | |
| Methode 5: configureer slimme vergrendelingen en accountbeleid | ✓ | |
| Methode 6: aangepaste RDP-poort + automatisch uitschakelen buiten kantooruren | ✓ | ✓ |
De video Beste praktijken voor het beveiligen van remote desktop-toegang in SMB-omgevingen behandelt alle zes de methoden.
Hoe beveiligt u remote desktop-toegang?
Methode 1: schakel RDP uit als het niet nodig is
Toepassingen: uitstekend voor beheerstations die alleen lokaal werken of voor gedeelde computers met publieke toegang die geen remote access nodig hebben
Vereisten:
- Lokale of domeinbeheerderstoegang
- PowerShell of de Register-editor
- Editor voor lokaal groepsbeleid (voor de GPO-methode)
- Het wordt sterk aangeraden om een back-up te maken van het Windows-register voordat u verdergaat.
Stappen:
Via PowerShell
- Open PowerShell.
- Voer de volgende opdracht uit:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1
Via de opdrachtprompt
- Open de opdrachtprompt als administrator.
- Voer de volgende opdracht uit:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server"
/v fDenyTSConnections /t REG_DWORD /d 1 /f
Via groepsbeleid
- Druk op Win + R, typ gpedit.msc en druk op Enter.
- Ga naar het volgende pad: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Extern bureaublad-services > Host voor Extern bureaublad-sessies > Verbindingen
- Zet “Gebruikers toestaan om extern verbinding te maken met Extern bureaublad-services” op Uitgeschakeld.
Methode 2: gebruik Network Level Authentication
Met NLA moeten gebruikers op afstand zich authenticeren voordat er een sessie tot stand komt.
Toepassingen: aanbevolen voor systemen die remote access nodig hebben maar gebruikers moeten authenticeren voordat de sessie wordt geladen.
Vereisten:
- Windows 10/11 Pro, Enterprise of Server 2016+
- Register-editor of Editor voor lokaal groepsbeleid.
- U moet beheerderstoegang hebben.
- Het wordt sterk aangeraden om een back-up te maken van het Windows-register voordat u verdergaat.
Stappen:
Via PowerShell
- Open PowerShell.
- Voer de volgende opdracht uit:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name UserAuthentication -Value 1
Via de opdrachtprompt
- Open de opdrachtprompt als administrator.
- Voer de volgende opdracht uit:
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\
WinStations\RDP-Tcp" /v UserAuthentication /t REG_DWORD /d 1 /f
Via groepsbeleid
- Druk op Win + R, typ gpedit.msc en druk op Enter.
- Ga naar het volgende pad: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Extern bureaublad-services > Host voor Extern bureaublad-sessies > Beveiliging
- Schakel “Gebruikersverificatie voor externe verbindingen vereisen met behulp van NLA” in.
Methode 3: beperk RDP-toegang via firewall en lokale groepen
Toepassingen: deze methode beperkt de blootstelling doordat RDP-toegang alleen vanaf vertrouwde IP-adressen en gebruikersgroepen is toegestaan.
Vereisten:
- U moet beheerderstoegang hebben.
- U hebt beheerrechten nodig voor PowerShell en de firewall.
- Toegang tot de groep Extern bureaublad-gebruikers.
Stappen:
- Open PowerShell.
- Voer de volgende opdrachten uit, voor zover nodig.
Beperk het bereik van de firewall
Hiermee beperkt u het bereik van de RDP-regel tot specifieke IP-adressen of subnetten.
Een voorbeeld:
Set-NetFirewallRule -DisplayName "Remote Desktop - User Mode (TCP-In)" -RemoteAddress "192.168.1.0/24"
Pas het externe adres aan waar nodig.
Beheer de groepstoegang
Hiermee verwijdert u algemene groepen zoals “Everyone” of gebruikers die geen toegang nodig hebben.
Add-LocalGroupMember -Group "Remote Desktop Users" -Member "JohnDoe"
Vervang “JohnDoe” door de gewenste gebruiker of IT-beheerder.
Methode 4: dwing sterke versleuteling van RDP-sessies af
Toepassingen: ideaal voor systemen die via VPN of semi-vertrouwde netwerken worden benaderd en versleutelde sessies vereisen,
Vereisten:
- U moet beheerdersrechten hebben.
- U hebt toegang nodig tot het register of GPO.
- Het wordt sterk aangeraden om een back-up te maken van het Windows-register voordat u verdergaat.
Stappen:
Via groepsbeleid
- Druk op Win + R, typ gpedit.msc en druk op Enter.
- Ga naar: Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Extern bureaublad-services > Host voor Extern bureaublad-sessies > Beveiliging
- Stel het versleutelingsniveau van clientverbindingen in op Hoog
Via de Register-editor
- Druk op Win + R, typ regedit en druk op Enter.
- Voer deze opdracht uit:
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp" -Name MinEncryptionLevel -Value 3
Methode 5: configureer slimme vergrendelingen en accountvergrendelingsbeleid
Toepassingen: voorkomt brute-force-inlogpogingen door accounts te vergrendelen na herhaalde mislukte pogingen.
Vereisten:
- U moet toegang hebben tot groepsbeleid of het lokale beveiligingsbeleid.
- U moet beheerdersrechten hebben.
Stappen:
- Ga naar het volgende GPO-pad: Computerconfiguratie > Windows-instellingen > Beveiligingsinstellingen > Accountbeleid > Accountvergrendelingsbeleid
- Aanbevolen instellingen:
- Drempel voor accountvergrendeling: 5
- Duur van de vergrendeling: 15 minuten
- Teller opnieuw instellen na: 15 minuten
Voorbeeld in PowerShell:
net accounts /lockoutthreshold:5 /lockoutduration:15 /lockoutwindow:15
Let op: dit is slechts een aanbevolen opdracht. Pas het getal (in dit geval 15) gerust aan naar het aantal seconden van uw voorkeur.
Methode 6: aangepaste RDP-poort + automatisch uitschakelen buiten kantooruren
Toepassingen: deze methode is nuttig om aanvallen van geautomatiseerde scanners te verminderen en toegang buiten kantooruren te voorkomen.
Vereisten:
- U moet toegang hebben tot het register en PowerShell.
- Toegang tot Taakplanner (optioneel)
- U hebt beheerdersrechten nodig.
Stappen:
De RDP-poort wijzigen
- Druk op Win + R, typ regedit en druk op Enter.
- Ga naar HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp\PortNumber
- Stel een ongebruikte poort in, bijvoorbeeld 3395.
- Reboot de machine.
Monitor de nieuwe poort
- Open de opdrachtprompt.
- Voer de opdracht uit:
netstat -an | find "3395"
RDP uitschakelen buiten kantooruren (handmatig of via automatisering)
- Open PowerShell
- Voer de opdracht uit:
Stop-Service -Name TermService
Tip: u kunt dit automatiseren met Taakplanner om Extern bureaublad-services (TermService) na kantooruren te stoppen en ’s ochtends indien nodig weer in te schakelen.
Waar u op moet letten
| Risico’s | Mogelijke gevolgen | Oplossingen |
| RDP uitschakelen op kritieke systemen | Kan remote access voor support of Patching blokkeren | Gebruik tools zoals NinjaOne of lokale toegang om RDP weer in te schakelen of het beleid aan te passen. |
| Verkeerd geconfigureerde firewallregels | Legitieme gebruikers kunnen buitengesloten raken | Test het IP-bereik, documenteer wijzigingen en sta tijdelijk ruimere toegang toe als u problemen oplost. |
| Te strenge vergrendelingsdrempels | Kan leiden tot buitengesloten gebruikers en meer tickets bij de helpdesk | Houd auditlogboeken in de gaten en verhoog de drempels iets als er te veel valse positieven optreden. |
| De RDP-poort wijzigen | Kan scripts, monitoringtools of integraties verstoren | Informeer de betrokken stakeholders en werk alle documentatie en tools bij met de nieuwe poort. |
| RDP uitschakelen buiten kantooruren | Kan nachtelijk onderhoud of geautomatiseerde taken onderbreken | Maak uitzonderingen voor onderhoudsvensters en plan indien nodig een heractivering in. |
| Inconsistente NLA-configuratie | Clients kunnen geen verbinding maken als ze NLA niet ondersteunen | Zorg dat endpoints zijn bijgewerkt of zet het versleutelingsniveau tijdelijk op “Clientcompatibel”. |
Aanvullende aandachtspunten bij het beveiligen van remote desktop-toegang
Gebruik een RDP-gateway
Met een Extern bureaublad-gateway beheert u RDP-toegang centraal. Het voegt een beveiligde HTTPS-tunnel toe, ondersteunt MFA (Multi-Factor Authentication) en geeft u meer grip op logging, auditing en sessiebeperkingen.
Tip: lees Zo stelt u Extern bureaublad-gateway in.
Combineer RDP met VPN-toegang
Het wordt sterk aangeraden om alle verbindingen op afstand eerst via een VPN te laten lopen. Houd er rekening mee dat dit het risico op ransomware niet wegneemt, maar het wel duidelijk verkleint.
Beperk apparaatomleiding
Voorkom datalekken door het klembord en de omleiding van printers en schijven uit te schakelen tijdens RDP-sessies. Gebruik hiervoor groepsbeleid:
Computerconfiguratie > Beheersjablonen > Windows-onderdelen > Extern bureaublad-services > Host voor Extern bureaublad-sessies > Omleiding van apparaten en bronnen
Controleer RDP-aanmeldingen en mislukte pogingen
Wij raden aan PowerShell te gebruiken om geslaagde (Event ID 4624) en mislukte (Event ID 4625) inlogpogingen te monitoren:
Get-WinEvent -LogName "Security" | Where-Object { $_.Id -eq 4624 -or $_.Id -eq 4625 }
Stel notificaties in voor afwijkende activiteit, zoals brute-force-patronen of ongebruikelijke inlogtijden.
Beperk RDP-toegang op basis van tijd
Gebruik Taakplanner of PowerShell-scripts om RDP buiten kantooruren uit te schakelen. U kunt ook firewallregels met geplande activeringsvensters gebruiken om RDP-verkeer na kantooruren te blokkeren.
Veelvoorkomende problemen oplossen
| Wat er kan gebeuren | Waarom het gebeurt | Hoe u het oplost |
| Gebruikers kunnen geen verbinding maken | NLA komt niet overeen of de poort is geblokkeerd | Controleer de NLA-instelling en de poort (standaard of aangepast) in de firewall |
| Veel mislukte aanmeldingen | Er is een brute-force-aanval gaande | Dwing een accountvergrendelingsbeleid af en beperk de IP-reeksen |
| RDP-versleuteling komt niet overeen | Verouderde RDP-client of verouderd OS | Verlaag de versleuteling tijdelijk naar “Clientcompatibel” |
| RDP-service start niet | Poortconflict of TermService-fout | Start TermService opnieuw en bekijk de gebeurtenislogboeken of poortconflicten |
| Poortwijziging werkt niet | Firewall of NAT-device is niet bijgewerkt | Werk firewallregels, NAT-poortdoorschakeling en clientconfiguraties bij |
Zo helpt NinjaOne u RDP te beveiligen
NinjaOne, de geautomatiseerde endpoint management software waar meer dan 40.000 klanten in meer dan 140 landen op vertrouwen, helpt u RDP te beveiligen door:
- RDP op afstand in of uit te schakelen op basis van apparaatgroep, gebruikersrol of beleid
- RDP-poorten te roteren of standaardpoorten te blokkeren in complete omgevingen.
- Het stoppen van de RDP-service in te plannen buiten kantooruren of op ongebruikte endpoints.
- Notificaties te ontvangen bij pieken in mislukte aanmeldingen of ongebruikelijke pogingen tot toegang op afstand.
- De blootstelling van RDP (zowel intern als extern) te controleren met realtime inventarisrapporten.
- Het uitrollen van firewallregels en sessiebeperkingen te automatiseren met eigen scripts.
NinjaOne hanteert een zero-trust-model voor remote access op alle endpoints. Deze aanpak verstoort gebruikers niet en verhoogt de beheerlast niet. Zo kunnen teams zich richten op hun kerntaken zonder extra risico.
Beheer en bedien Windows-, Mac- en Linux-endpoints op afstand met NinjaOne.
Lees meer over NinjaOne remote access.
Ervaar betere RDP-beveiliging
RDP is een onmisbaar hulpmiddel voor organisaties. Bij zwakke beveiliging wordt het een rechtstreekse toegangspoort voor aanvallers.
Pas de strategieën voor veilige remote desktop-toegang uit deze gids toe. Deze maatregelen verkleinen uw aanvalsoppervlak. Ze zijn vooral belangrijk in SMB-omgevingen zonder gelaagde beveiliging.
Gerelateerde onderwerpen:
- Wat is Remote Desktop Protocol (RDP)?
- Zo stelt u Extern bureaublad-gateway in
- Remote Desktop Protocol (RDP) in- of uitschakelen op werkstations met PowerShell
- Protocollen voor toegang op afstand begrijpen
- Beste praktijken voor remote access voor MSP’s en IT-professionals
- IT-gids: opgeslagen RDP-referenties verwijderen in Windows
- Het aanmaken van snelkoppelingen voor Extern bureaublad automatiseren met PowerShell
