Remote Desktop beveiligen: waarom poort 3389 dicht moet blijven
Remote Desktop beveiligen begint met één regel: de poort van RDP, standaard 3389, staat niet open op internet. Microsoft raadt een open poort af, en het Amerikaanse cyberagentschap CISA schrijft in zijn gids tegen ransomware dat aanvallers vaak binnenkomen via blootgestelde en slecht beveiligde diensten voor toegang op afstand. Wie RDP van buitenaf nodig heeft, zet er een VPN of een Remote Desktop Gateway voor, met tweestapsverificatie, Network Level Authentication en accountvergrendeling. Deze gids zet de maatregelen op een rij voor een kleine zaak.
Of: waarom een raam aan de straatkant geen deur wordt omdat er een slot op zit
Voor wie van thuis met kantoor werkt, is Remote Desktop een van de handigste hulpmiddelen van Windows. Het is ook een van de bekendste ingangen voor ransomware. Het Amerikaanse cyberagentschap CISA schrijft in zijn #StopRansomware-gids dat aanvallers vaak binnenkomen via blootgestelde en slecht beveiligde diensten voor toegang op afstand, en het advies is even kort: zet diensten zoals RDP niet open op het web.
Het antwoord op de vraag hoe je RDP beveiligt, is dus eerst een verbod en dan een lijstje. Poort 3389 gaat dicht op de router. Wie van buitenaf moet, komt binnen via een VPN of een Remote Desktop Gateway, met tweestapsverificatie. En op de pc zelf staan Network Level Authentication, accountvergrendeling en updates aan.
RDP en poort 3389: wat een open poort betekent
Remote Desktop luistert standaard op poort 3389. Om een pc van buitenaf bereikbaar te maken, kun je op je router een poort doorsturen naar die pc. Microsoft beschrijft die mogelijkheid in zijn uitleg over toegang van buitenaf, met een duidelijke waarschuwing erbij: je stelt je pc open voor internet, dat wordt niet aangeraden, en een VPN heeft de voorkeur.
Het probleem is niet dat RDP slecht gemaakt is. Het probleem is dat een aanmeldscherm dat voor heel internet openstaat, door heel internet wordt geprobeerd, dag en nacht, door programma’s die niets anders doen. Elk zwak of gelekt wachtwoord op die pc wordt dan een volledige werkplek voor iemand anders, met dezelfde bestanden en dezelfde rechten. Microsoft noemt in zijn Windows 11-beveiligingsboek aanvallen die wachtwoorden raden via RDP uitdrukkelijk als reden voor strengere standaardinstellingen.
Hoe vaak RDP terugkomt in echte incidenten, toont het beveiligingsbedrijf Sophos. In een rapport van april 2024 over meer dan 150 incidenten die zijn team in 2023 behandelde, zag het misbruik van RDP in 90 procent van de aanvallen, vaak ook om zich eenmaal binnen verder te bewegen. Externe diensten voor toegang op afstand waren in 65 procent van de gevallen de manier waarop aanvallers binnenkwamen.
Kmo-Kristof: Onze IT-man heeft poort 3389 jaren geleden opengezet. Maar het wachtwoord is sterk.
Security-Sofie: Hoeveel keer per dag wordt dat wachtwoord geprobeerd?
Kmo-Kristof: Geen idee.
Security-Sofie: Daarvoor dient het logboek. Kijk er één keer in, en je zet de poort zelf dicht.
De maatregelen, in volgorde
- Poort dicht. Kijk in de instellingen van je router of modem welke poorten naar een pc op kantoor worden doorgestuurd. Staat er 3389 of een andere poort naar een Windows-pc, vraag dan waarom, en haal ze weg zodra er een alternatief is.
- Een VPN of een gateway ervoor. Met een VPN is RDP alleen bereikbaar voor wie al op het kantoornetwerk zit. Een Remote Desktop Gateway is de variant van Microsoft: één beveiligd toegangspunt voor de RDP-verbindingen, dat je kunt koppelen aan tweestapsverificatie via Microsoft Entra.
- Tweestapsverificatie. CISA vraagt ze voor RDP, en het CCB noemt ze in zijn kader CyberFundamentals van het grootste belang voor toegang op afstand die vanaf internet bereikbaar is.
- Network Level Authentication aan. Daarmee moet de gebruiker zich aanmelden voor er een sessie start. Microsoft raadt het voor de meeste omgevingen aan.
- Accountvergrendeling. Op nieuwe installaties van Windows 11 wordt een account standaard 10 minuten vergrendeld na 10 mislukte aanmeldingen. Op oudere pc’s en servers stel je dat zelf in.
- Weinig mensen, geen beheerders. Alleen wie het nodig heeft, staat in de lijst van gebruikers met toegang op afstand, met een eigen, lang wachtwoord.
- Updates en logboeken. Windows en de VPN of gateway worden bijgewerkt, en de aanmeldpogingen worden bewaard, zodat je ziet wat er gebeurt.
Wat niet op de lijst staat: RDP verhuizen naar een ander poortnummer. Het CCB schrijft in zijn tips over RDP dat dat geen waterdichte beveiliging is en hooguit automatische aanvallen afremt. Het is een raam op de eerste verdieping in plaats van op het gelijkvloers: minder voorbijgangers, dezelfde ladders.
Een zelfstandige boekhouder die ooit poort 3389 openzette om zijn kantoor-pc van thuis te bereiken, zit vaak al met een eenvoudige oplossing in huis: veel routers en NAS’en hebben een ingebouwde VPN-server. Een kmo met een server en een IT-partner kiest eerder voor een gateway of de VPN in de firewall. In beide gevallen verdwijnt de open poort.
Als je vermoedt dat het al te laat is
Zie je onbekende aanmeldingen, of gedraagt een pc zich vreemd, haal hem dan van het netwerk, bel je IT-partner en meld het incident bij het CCB. Verander de wachtwoorden vanaf een ander toestel, niet vanaf de pc die je verdenkt.
De twee manieren om binnen te komen
RDP achter een VPN is één combinatie; de keuze tussen een VPN en remote desktop is een andere vraag. Die staat uitgelegd bij de gang of de marionet.
Zonder open poort
TeamViewer, AnyDesk en Chrome Remote Desktop werken via de servers van hun aanbieder, zonder poort op je router. Ze hebben hun eigen valkuilen, die je leest bij pc-overname via een tool.
De rest van de basis
Een dichte poort beschermt één raam. Updates, versleuteling en back-ups beschermen de rest van het huis. Dat lijstje staat bij veilig werken van thuis.