{"id":940770,"date":"2026-11-13T17:29:08","date_gmt":"2026-11-13T17:29:08","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/onverwachte-rdp-sessies-monitoren\/"},"modified":"2026-11-13T17:29:09","modified_gmt":"2026-11-13T17:29:09","slug":"onverwachte-rdp-sessies-monitoren","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/nl\/blog\/onverwachte-rdp-sessies-monitoren\/","title":{"rendered":"Onverwachte RDP-sessies monitoren met gebeurtenissenlogboeken en PowerShell"},"content":{"rendered":"<div class=\"in-context-cta\"><h2 style=\"margin-top: 0px;\">Belangrijkste punten<\/h2>\n<ul>\n<li>Met de logboekregistratie van Windows en PowerShell herkent u verborgen of verdachte Remote Desktop Protocol-activiteit (RDP).<\/li>\n<li>Configureer Event ID 4624 (aanmelding), 4634 (afmelding) en de TerminalServices-logboeken (21, 23, 25) om alle RDP-sessieactiviteit te volgen en ongeautoriseerde toegang te detecteren.<\/li>\n<li>Gebruik gebeurtenistriggers in PowerShell om notificaties te versturen bij ongebruikelijke RDP-activiteit, mislukte aanmeldingen of toegangspogingen buiten kantooruren.<\/li>\n<li>Versterk uw eindpuntbeveiliging en automatiseer RDP-monitoring en -respons met het monitoring- en beheerplatform van NinjaOne.<\/li>\n<\/ul>\n<\/div>\n<p>Ongeautoriseerde remote desktop-sessies kunnen ernstige beveiligingsgaten veroorzaken die standaard monitoringtools vaak missen. U hebt betrouwbare methoden nodig om <strong>onverwachte <\/strong><a href=\"https:\/\/www.ninjaone.com\/blog\/what-is-remote-desktop-protocol-rdp\/\"><strong>RDP-sessies te monitoren<\/strong><\/a> met de ingebouwde logfuncties van Windows. PowerShell en analyse van het gebeurtenissenlogboek bieden volledige sessiemonitoring zonder dat u extra software nodig hebt. Zo detecteert u mogelijke dreigingen voordat ze schade aanrichten.<\/p>\n<h2>Wat is Remote Desktop Protocol?<\/h2>\n<p>Remote Desktop Protocol is de netwerkcommunicatiestandaard van Microsoft waarmee u via een grafische interface verbinding maakt met Windows-systemen op afstand. Het protocol gebruikt standaard versleutelde kanalen op TCP-poort 3389 en stuurt beeldgegevens, toetsenbordinvoer, muisbewegingen en audio heen en weer tussen uw lokale machine en de externe server.<\/p>\n<h2>De basis van RDP-sessiemonitoring<\/h2>\n<p>Effectieve RDP-sessiemonitoring begint met de juiste Windows-auditbeleidsregels, verzameling van gebeurtenissenlogboeken en een nulmeting die volledige verbindingsgegevens vastlegt. Uw organisatie heeft gestandaardiseerde logframeworks nodig die authenticatiegebeurtenissen, sessieactiviteiten en het be\u00ebindigen van verbindingen vastleggen op alle systemen waarop RDP is ingeschakeld.<\/p>\n<h3>Audittrail instellen voor beveiligingsgebeurtenissen<\/h3>\n<p>Het Windows-beveiligingslogboek legt RDP-authenticatie- en sessiegebeurtenissen vast via specifieke gebeurtenis-ID\u2019s die gedetailleerde verbindingsinformatie tonen, waaronder bron-IP-adressen, gebruikersaccounts en tijdstempels. Gebeurtenis-ID 4624 registreert geslaagde aanmeldingen met aanmeldingstype 10 voor RDP-verbindingen en gebeurtenis-ID 4634 documenteert afmeldingen die overeenkomen met be\u00ebindigde sessies.<\/p>\n<p>Met uitgebreide aanmeldingsauditing zorgt u ervoor dat alle RDP-verbindingspogingen vermeldingen in het beveiligingslogboek opleveren die u kunt analyseren.<\/p>\n<p>Volg deze opdrachten om de juiste auditlogging in te schakelen:<\/p>\n<ol>\n<li>Open de opdrachtprompt als administrator<\/li>\n<li>Voer uit: auditpol \/set \/subcategory:&#8221;Logon&#8221; \/success:enable \/failure:enable<\/li>\n<li>Controleer de instellingen met: auditpol \/get \/subcategory:&#8221;Logon&#8221;<\/li>\n<li>Test door een RDP-verbinding te maken en Logboeken te controleren<\/li>\n<li>Bevestig dat gebeurtenis-ID 4624 met aanmeldingstype 10 in de beveiligingslogboeken verschijnt<\/li>\n<\/ol>\n<h3>Registratie van RDP-sessies in het gebeurtenissenlogboek inschakelen<\/h3>\n<p>De operationele logboeken van TerminalServices-LocalSessionManager bevatten gedetailleerde gegevens over sessiebeheer. Die vullen de RDP-sessievermeldingen in het beveiligingslogboek aan met verbindingsdetails en informatie over de sessiestatus. Gebeurtenis-ID 21 toont een geslaagde RDP-sessie, gebeurtenis-ID 23 registreert verbroken verbindingen en gebeurtenis-ID 25 legt vast wanneer gebruikers een eerder verbroken sessie hervatten.<\/p>\n<p>Doorloop deze configuratiestappen:<\/p>\n<ol>\n<li>Open PowerShell als administrator.<\/li>\n<li>Voer uit: wevtutil sl Microsoft-Windows-TerminalServices-LocalSessionManager\/Operational \/e:true<\/li>\n<li>Controleer met: wevtutil gl Microsoft-Windows-TerminalServices-LocalSessionManager\/Operational.<\/li>\n<li>Controleer in Logboeken of de nieuwe logbron aanwezig is.<\/li>\n<li>Test de RDP-verbinding om te bevestigen dat de gebeurtenissen verschijnen.<\/li>\n<\/ol>\n<h3>Normale verbindingspatronen vastleggen<\/h3>\n<p>Een nulmeting vraagt om systematische analyse van legitiem RDP-gebruik: typische verbindingstijden, geautoriseerde gebruikersaccounts, goedgekeurde bron-IP-adressen en standaardwaarden voor de duur van een sessie. Analyse van historische gegevens laat zien wanneer beheerders normaal gesproken toegang nemen, welke onderhoudsvensters routine zijn en welk gebruikersgedrag te verwachten is. Die gegevens dienen als referentiepunt om afwijkingen op te sporen.<\/p>\n<p>Inzicht in uw normale RDP-patronen helpt u ongebruikelijke activiteit te herkennen die op een beveiligingsdreiging kan wijzen. De opdracht <code>Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; Data='10'}<\/code> haalt RDP-aanmeldingsgebeurtenissen op voor statistische analyse en het berekenen van een nulmeting.<\/p>\n<h3>Notificaties instellen voor verdachte activiteit<\/h3>\n<p>Geautomatiseerde waarschuwingssystemen controleren realtime gebeurtenisstromen op ongeautoriseerde toegangspogingen, ongebruikelijke verbindingspatronen of verdacht sessiegedrag dat direct onderzoek vereist. Monitoringscripts op basis van PowerShell beoordelen de frequentie van verbindingen, de reputatie van bron-IP-adressen, toegangspogingen buiten kantooruren en reeksen mislukte authenticaties om mogelijke beveiligingsincidenten te signaleren.<\/p>\n<p>Gebeurtenisgestuurde monitoring verstuurt direct een melding zodra er verdachte RDP-sessieactiviteit plaatsvindt op de bewaakte systemen. Met de cmdlet Register-WmiEvent stelt u realtime notificaties in zodat uw securityteam op de hoogte blijft van mogelijke dreigingen.<\/p>\n<h2>RDP-sessies ophalen met PowerShell<\/h2>\n<p><a href=\"https:\/\/www.ninjaone.com\/script-hub\/search-event-logs-powershell\/\">PowerShell<\/a> beschikt over ingebouwde mogelijkheden om RDP-verbindingsgegevens uit Windows-gebeurtenissenlogboeken te halen, te filteren en te analyseren via cmdlets die zowel het beveiligingslogboek als de TerminalServices-logbronnen benaderen.<\/p>\n<h3>Get-WinEvent gebruiken om RDP-verbindingsgebeurtenissen vast te leggen<\/h3>\n<p>De cmdlet Get-WinEvent geeft volledige toegang tot Windows-gebeurtenissenlogboeken met filtermogelijkheden waarmee u RDP-gerelateerde gebeurtenissen isoleert uit enorme logbestanden met duizenden vermeldingen. Met specifieke filterhashtables richt u zich op relevante gebeurtenis-ID\u2019s zoals 4624 voor geslaagde aanmeldingen, 4625 voor mislukte pogingen en TerminalServices-gebeurtenissen met details over sessiebeheer.<\/p>\n<p>Geavanceerde filteropties bevatten tijdsbereiken waarmee u recente RDP-verbindingen binnen een bepaalde periode opvraagt. De opdracht <code>Get-WinEvent -FilterHashtable @{LogName='Security'; ID=4624; StartTime=(Get-Date).AddHours(-24)}<\/code> haalt de RDP-verbindingen van de afgelopen 24 uur op voor analyse.<\/p>\n<h3>Aanmeldingspatronen filteren en analyseren met PowerShell<\/h3>\n<p>Dankzij de objectgeori\u00ebnteerde architectuur van PowerShell kunt u RDP-gebeurtenisgegevens grondig analyseren via pipelinebewerkingen die verbindingsrecords tegelijk sorteren, groeperen en filteren op meerdere criteria. De cmdlet Where-Object filtert gebeurtenissen op specifieke <a href=\"https:\/\/learn.microsoft.com\/en-us\/azure\/virtual-desktop\/rdp-properties\" target=\"_blank\" rel=\"noopener\">eigenschappen<\/a> zoals bron-IP-adressen, gebruikersaccounts of authenticatietypen die bij RDP-verbindingen horen.<\/p>\n<p>Statistische functies zoals Group-Object en Measure-Object berekenen verbindingsfrequenties, brengen ongebruikelijke toegangspatronen aan het licht en genereren overzichtsrapporten die mogelijke beveiligingsproblemen uitlichten. Deze ingebouwde cmdlets maken van ruwe gebeurtenisgegevens bruikbare security-informatie.<\/p>\n<h3>Eigen scripts maken voor RDP-sessiemonitoring<\/h3>\n<p>Monitoringscripts combineren analyse van gebeurtenissenlogboeken, realtime notificaties en geautomatiseerde rapportage in \u00e9\u00e9n PowerShell-oplossing die continu draait zonder handmatig ingrijpen. Aangepaste functies bundelen complexe filterlogica, routines voor gegevensverwerking en opmaakprocedures die gestandaardiseerde rapporten opleveren voor securityteams en management.<\/p>\n<p>Volg deze aanpak bij de ontwikkeling:<\/p>\n<ul>\n<li>Bepaal uw monitoringvereisten en drempelwaarden voor notificaties.<\/li>\n<li>Maak PowerShell-functies voor het filteren en analyseren van gebeurtenissen.<\/li>\n<li>Richt waarschuwingsmechanismen in via e-mail of logsystemen.<\/li>\n<li>Voeg foutafhandeling en logging toe voor een betrouwbaar script.<\/li>\n<li>Test het script grondig in uw omgeving.<\/li>\n<li>Zet het in als geplande taak of Windows-service.<\/li>\n<\/ul>\n<h2>Geavanceerde monitoring met Windows-opdrachten<\/h2>\n<p>Naast de basistechnieken met PowerShell maken geavanceerde monitoringimplementaties gebruik van gespecialiseerde Windows-opdrachten, <a href=\"https:\/\/www.pcmag.com\/encyclopedia\/term\/wmi\" target=\"_blank\" rel=\"noopener\">WMI<\/a>-query\u2019s en systeem-API\u2019s die dieper inzicht geven in de status van RDP-sessiemonitoring en in verbindingsdetails.<\/p>\n<p>WMI-klassen zoals Win32_LogonSession en Win32_NetworkLoginProfile bieden programmatische toegang tot gedetailleerde authenticatie-informatie, waarmee u een volledige beveiligingsanalyse kunt uitvoeren.<\/p>\n<h3>Actieve RDP-verbindingen opvragen<\/h3>\n<p>De opdracht qwinsta geeft direct inzicht in de huidige status van RDP-sessies, inclusief actieve verbindingen, verbroken sessies en console-aanmeldingen die het gebruik van het systeem laten zien. Deze opdrachtregeltool toont sessie-ID\u2019s, gebruikersnamen, sessienamen, sessietypen en actuele statussen waarmee u ongeautoriseerde actieve verbindingen herkent die direct onderzoek vereisen.<\/p>\n<p>Dankzij PowerShell-integratie via Invoke-Command voert u qwinsta op afstand uit op meerdere systemen. Zo krijgt u centraal zicht op de status van RDP-sessies in uw hele infrastructuur.<\/p>\n<h3>Geautomatiseerde responsworkflows inrichten<\/h3>\n<p>Geautomatiseerde responssystemen voeren vooraf gedefinieerde acties uit zodra verdachte RDP-activiteit een beveiligingsmelding genereert. Dat verkort de reactietijd en beperkt de mogelijke schade van ongeautoriseerde toegangspogingen. PowerShell-scripts werken samen met securitytools, ticketsystemen en communicatieplatforms om de reactie op gedetecteerde dreigingen te co\u00f6rdineren.<\/p>\n<p>Richtlijnen om te volgen:<\/p>\n<ul>\n<li>Leg responsprocedures vast voor de verschillende soorten dreigingen.<\/li>\n<li>Maak PowerShell-functies voor elke responsactie.<\/li>\n<li>Integreer met bestaande securitytools en communicatiesystemen.<\/li>\n<li>Richt goedkeuringsworkflows in voor acties met grote impact.<\/li>\n<li>Voeg logging en audittrails toe voor alle geautomatiseerde acties.<\/li>\n<\/ul>\n<h2>Documentatie- en rapportageprocedures<\/h2>\n<p>Uitgebreide documentatie legt monitoringconfiguraties, nulmetingen, drempelwaarden voor notificaties en responsprocedures vast, zodat de implementatie in uw hele omgeving consistent verloopt. Regelmatige rapportage geeft inzicht in RDP-gebruikspatronen, beveiligingsincidenten en de effectiviteit van het monitoringsysteem en ondersteunt zo de continue verbetering.<\/p>\n<h2>Bouw een complete strategie voor RDP-sessiemonitoring<\/h2>\n<p>Uw RDP-monitoringstrategie heeft regelmatige updates nodig om effectief te blijven tegen veranderende dreigingen en wisselende eisen aan de infrastructuur. Maandelijkse evaluaties van drempelwaarden, basispatronen en detectieregels helpen u om in te spelen op nieuwe aanvalstechnieken en organisatorische veranderingen. Continue verbetering betekent ook dat u threat intelligence-feeds integreert, PowerShell-scripts bijwerkt en geautomatiseerde responsworkflows verfijnt op basis van incidentanalyse en feedback van het securityteam.<\/p>\n<h2>Zet de volgende stap in het beveiligen van RDP-toegang<\/h2>\n<p>Onbewaakte RDP-sessies zijn een open uitnodiging voor aanvallers. <a href=\"https:\/\/www.ninjaone.com\/nl\/remote\/\">NinjaOne<\/a> <a href=\"https:\/\/www.ninjaone.com\/nl\/remote\/\">Remote<\/a> combineert veilige en betrouwbare remote access-tools binnen een compleet platform voor <a href=\"https:\/\/www.ninjaone.com\/nl\/eindpuntbeheer\/\">endpoint monitoring en -beheer<\/a>, waarmee u ongeautoriseerde toegang tot sessies op afstand detecteert en sneller reageert. <a href=\"https:\/\/www.ninjaone.com\/remote\/free-trial\/\">Start vandaag nog uw gratis trial<\/a> en neem de controle terug voordat dreigingen door de mazen glippen.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Quick-start guide<\/h2><p>Hoewel er geen kant-en-klaar script bestaat dat precies dit doet, biedt <a href=\"https:\/\/www.ninjaone.com\/nl\/\">NinjaOne<\/a> verschillende scripts en mogelijkheden die helpen bij het monitoren van RDP-sessies:<\/p>\n<p>1. RDP-gerelateerde scripts:<\/p>\n<p>\u2013 Er is een script \u201c<a href=\"https:\/\/www.ninjaone.com\/script-hub\/check-remote-desktop-status-with-powershell\/\">Remote Desktop \u2013 Check Status and Port<\/a>\u201d dat de status van Remote Desktop rapporteert en de poort waarop het luistert.<br \/>\n\u2013 Met het script \u201c<a href=\"https:\/\/www.ninjaone.com\/script-hub\/search-event-logs-powershell\/\">Search Event Log<\/a>\u201d zoekt u in Logboeken naar specifieke gebeurtenissen op basis van gebeurtenissenlogboek, bron of gebeurtenis-ID\u2019s.<\/p>\n<p>2. Aanpak via het gebeurtenissenlogboek:<\/p>\n<p>U kunt een eigen script maken om RDP-sessies te monitoren door specifieke vermeldingen in het Windows-gebeurtenissenlogboek te controleren. De belangrijkste gebeurtenis-ID\u2019s om in de gaten te houden:<br \/>\n\u2013 Gebeurtenis-ID 4624 (geslaagde aanmelding)<br \/>\n\u2013 Gebeurtenis-ID 4625 (mislukte aanmeldingspoging)<br \/>\n\u2013 Gebeurtenis-ID 4634 (afmelding)<br \/>\n\u2013 Gebeurtenis-ID 4647 (door gebruiker gestarte afmelding)<br \/>\n\u2013 Gebeurtenis-ID 4778 (sessie opnieuw verbonden)<br \/>\n\u2013 Gebeurtenis-ID 4779 (sessie verbroken)<\/p>\n<p>3. Aanbevolen monitoringmethode:<\/p>\n<p>\u2013 Gebruik het script \u201c<a href=\"https:\/\/www.ninjaone.com\/script-hub\/search-event-logs-powershell\/\">Search Event Log<\/a>\u201d om notificaties te maken voor onverwachte RDP-sessiegebeurtenissen<br \/>\n\u2013 Filter op specifieke voorwaarden zoals:<br \/>\n\u2013 Aanmeldingen vanaf onverwachte IP-adressen<br \/>\n\u2013 Aanmeldingen buiten kantooruren<br \/>\n\u2013 Meerdere mislukte aanmeldingspogingen<\/p>\n<p>Wij raden u aan samen met uw IT-securityteam te bepalen wanneer een RDP-sessie precies \u201converwacht\u201d is, op basis van het beveiligingsbeleid van uw organisatie.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Ongeautoriseerde remote desktop-sessies kunnen ernstige beveiligingsgaten veroorzaken die standaard monitoringtools vaak missen. U hebt betrouwbare methoden nodig om onverwachte RDP-sessies te monitoren met de ingebouwde logfuncties van Windows. PowerShell en analyse van het gebeurtenissenlogboek bieden volledige sessiemonitoring zonder dat u extra software nodig hebt. Zo detecteert u mogelijke dreigingen voordat ze schade aanrichten. Wat is [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":552490,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4358],"tags":[],"class_list":["post-940770","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops-nl"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940770","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/comments?post=940770"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940770\/revisions"}],"predecessor-version":[{"id":940771,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/posts\/940770\/revisions\/940771"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media\/552490"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/media?parent=940770"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/categories?post=940770"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/nl\/wp-json\/wp\/v2\/tags?post=940770"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}