Wie lassen sich RDP-Angriffe (Remote Desktop Protocol) verhindern?

RDP basiert auf den Standards der T-120-Protokollfamilie und gewann erstmals an Bedeutung, als Microsoft Nutzern erlaubte, sich über Netzwerke mit anderen Computern zu verbinden und diese fernzusteuern. Es sichert die Netzwerkkommunikation und macht Desktops aus der Ferne bedienbar.

RDP birgt jedoch auch Risiken. Es kann für unbefugten Zugriff auf Geräte ausgenutzt werden. Seit seiner Einführung gab es 16 große Windows-Versionen. Bedrohungsakteure hatten damit viele Gelegenheiten, RDP zu missbrauchen und Fernzugriff auf Windows-Server und -Geräte zu erlangen. Dieser Leitfaden zeigt Ihnen, wie Sie RDP-Angriffe verhindern und geschützt bleiben.

Was ist ein RDP-Angriff (Remote Desktop Protocol)?

RDP ist ein von Microsoft entwickeltes Kommunikationsprotokoll, mit dem Nutzer Desktop-Geräte oder andere Geräte mit einem Microsoft-Betriebssystem fernsteuern. Remote-Desktop-Verbindungen nutzen den TCP-Port 3389 (Transmission Control Protocol) als zentrale Anlaufstelle für Fernverbindungen. Wenn Bedrohungsakteure die verschlüsselten Kanäle kompromittieren und die Kontrolle übernehmen, spricht man von einem RDP-Angriff.

So laufen RDP-Angriffe im Überblick ab:

• Angreifer scannen zunächst Ihren RDP-Port. Sind darüber aktive Geräte verbunden, können diese als Einstiegspunkt in Ihr Netzwerk dienen. Der Angreifer kann sich über diesen Port per Brute Force Zugang zum Netzwerk verschaffen und das hohe Aufkommen an RDP-Verbindungen ausnutzen.
• Nach der ersten Kompromittierung scannt der Angreifer ganze Netzwerke einschließlich ihrer Subnetze und dringt weiter vor. Er kann Windows Management Instrumentation™-Verbindungen für mehrere Endpunkte in verteilten Computing-Umgebungen oder Remote Procedure Calls nutzen und verschiedene Angriffe auslösen.
• Sobald ein Gerät kompromittiert ist, übernimmt der Angreifer die Kontrolle. Über die Command-and-Control-Schnittstelle sendet er Befehle an andere Endpunkte und Netzwerke der Infrastruktur. Er kann das kompromittierte Gerät nutzen, um neue RDP-Verbindungen über nicht standardmäßige Ports herzustellen.
• In dieser Phase kann sich ein Angreifer lateral durch Netzwerke bewegen und tiefer in Ihr Unternehmen vordringen. Er kann sich erweiterte Berechtigungen verschaffen, sensible Daten abrufen und die Kontrolle über besonders wertvolle Ressourcen übernehmen. Zudem kann er sich der Erkennung durch die aktuellen Sicherheitssysteme des Unternehmens entziehen.

Wie nutzen Cyberkriminelle RDP aus?

RDP-Angriffe richten sich gezielt gegen verteilte Belegschaften und externe Dienstleister. Die Übernahme rechenintensiver Ressourcen kann sich für Angreifer lohnen. RDP kann ihnen zudem besseren Einblick in Windows-Server und -Sessions verschaffen.

Herkömmliches RDP verfügte nicht über die Sicherheits- und Datenschutzmaßnahmen, die wir heute kennen. Für die Nutzerauthentifizierung genügten Benutzername und Passwort. RDP bot standardmäßig keine integrierte Multi-Faktor-Authentifizierung.

Wie erkennen Sie unbefugten RDP-Zugriff?

Mit diesen Schritten erkennen Sie unbefugten RDP-Zugriff:

• Prüfen Sie Ihre RDP-Protokolle auf ungewöhnliches Verhalten oder bösartige Aktivitäten. Achten Sie auf fehlgeschlagene Anmeldeversuche, häufige Anmeldungen und Anmeldungen von unbekannten IP-Adressen. Solche Versuche deuten darauf hin, dass ein Angreifer auf das System zugreifen wollte.
• Untersuchen und analysieren Sie den Netzwerkverkehr mit Monitoring-Anwendungen wie SentinelOne. Achten Sie auf Netzwerkanomalien und ungewöhnliche Verkehrsmuster. Prüfen Sie auch, ob große Datenmengen an bestimmte IP-Adressen gesendet oder von dort empfangen werden.
• Wenn etwas nicht stimmt, kann die Aktivität auf Port 3389 sprunghaft ansteigen. Erfassen und überwachen Sie Ihren Netzwerkverkehr. Scannen Sie ihn, um unerwünschte Zugriffsversuche zu erkennen.

Best Practices zur Verhinderung von RDP-Angriffen (mehr als 10)

Befolgen Sie die folgenden Maßnahmen der Reihe nach. Mit ihrer Umsetzung können Sie RDP-Angriffe verhindern:

• Erstellen Sie starke Passwörter aus einer Mischung von Sonderzeichen, Zahlen, Buchstaben und Symbolen. Wir empfehlen mindestens 15 Zeichen. Verwenden Sie unterschiedliche Passwörter und nutzen Sie nicht dasselbe Passwort für alle Konten. Ein Passwortmanager unterstützt Sie dabei, Ihre Passwörter zu verwalten.
• Installieren Sie Microsoft-Updates für alle Versionen Ihrer Client- und Server-Software automatisch. Stellen Sie sicher, dass diese Funktion aktiviert ist und Updates ohne manuelle Anforderung im Hintergrund installiert werden. Priorisieren Sie außerdem das Patchen von RDP-Schwachstellen, für die öffentlich bekannte Exploits vorliegen.
• Implementieren Sie Multi-Faktor-Authentifizierung und aktuelle Richtlinien für Kontosperrungen, um Brute-Force-Angriffe abzuwehren. Ändern Sie für zusätzlichen Schutz außerdem den standardmäßigen RDP-Port 3389.
• Nutzen Sie Allowlisting für Verbindungen und beschränken Sie diese auf bestimmte vertrauenswürdige Hosts. Wir empfehlen, den Zugriff auf den Remote-Desktop-Port ausschließlich ausgewählten, verifizierten IP-Adressen zu gewähren. Mit einer entsprechenden Servereinstellung werden Verbindungsversuche von IP-Adressen außerhalb der Allowlist nicht angenommen. Bösartige Versuche und Prozesse werden automatisch blockiert.
• Bauen Sie eine Zero-Trust-Netzwerksicherheitsarchitektur (ZTNA) auf und setzen Sie für alle Konten das Prinzip der minimalen Berechtigungen durch. Prüfen Sie regelmäßig, ob alle RDP-Ports sicher sind.
• Beschränken Sie den Zugriff auf RDP-Verbindungen durch Firewalls. Nehmen Sie außerdem den Adresspool des virtuellen privaten Netzwerks Ihres Unternehmens in die Ausnahmeregeln der RDP-Firewall auf. Aktivieren Sie die Authentifizierung auf Netzwerkebene, bevor neue RDP-Verbindungen hergestellt werden.
• Konfigurieren Sie Remote-Desktop-Server so, dass sie Verbindungen ohne NLA akzeptieren, wenn Sie Remote-Desktop-Clients auf Plattformen ohne NLA-Unterstützung verwenden. Prüfen Sie Ihre Gruppenrichtlinien und machen Sie die Nutzerauthentifizierung für alle Fernverbindungen verpflichtend.
• Sie können auch Richtlinien für Kontosperrungen einrichten. Nach einer festgelegten Zahl falscher Passworteingaben verhindern diese, dass Angreifer mit automatisierten Anwendungen zum Erraten von Passwörtern unbefugten Zugriff erlangen. Sie können beispielsweise drei ungültige Versuche und eine Sperrdauer von jeweils drei Minuten festlegen.
• Nutzen Sie fortschrittliche KI-gestützte Bedrohungserkennung und Anti-Malware-Produkte. Richten Sie Hintergrundscans und die Überwachung der Endpunktsicherheit ein, damit Ihre Geräte, Netzwerke und Nutzer kontinuierlich überwacht werden. Das schützt zusätzlich vor Insider-Bedrohungen und Angriffen über Schatten-IT.
• Schulen Sie Ihre Mitarbeitenden darin, fehlgeschlagene RDP-Verbindungen und Zugriffsversuche zu erkennen. Ermutigen Sie sie, ihre Beobachtungen bei Bedarf anonym zu melden, und fördern Sie eine Kultur der Transparenz am Arbeitsplatz. Wenn Ihre Mitarbeitenden aktiv mitwirken, ist das gesamte Team auf demselben Stand. Alle Abteilungen sollten wissen, wie sie RDP-Angriffe verhindern und mit welchen Schritten Angreifer ihre Kontrolle und Berechtigungen ausweiten. Sicherheit beginnt beim Schutz der Menschen, die diese Technologien nutzen. Erst danach kommen automatisierte Tools und Workflows für die Abwehr zum Einsatz.

Wie reagieren Sie auf einen RDP-Angriff?

Nutzen Sie SentinelOne Singularity XDR Platform, um die Untersuchung von Sicherheitsvorfällen zu automatisieren und bewährte RDP-Playbooks anzuwenden. So kann Ihr SOC-Team schneller reagieren. Gehen Sie bei einem RDP-Angriff wie folgt vor:

• Sperren Sie das kompromittierte Nutzerkonto und die IP-Adresse des Angreifers, sobald Sie den Angriff entdecken. So dämmen Sie die Bedrohung ein und isolieren sie. Leiten Sie eine ASN-Untersuchung ein und prüfen Sie die Nutzeraktivitäten. Nutzen Sie das XSOAR-Modul von SentinelOne, um RDP-bezogene Kampagnen zu erkennen.
• Singularity Threat Intelligence und Purple AI liefern Ihnen tiefere Erkenntnisse über die IP-Adresse des Angreifers. Isolieren Sie die kompromittierten Endpunkte und rufen Sie Aktivitäten nach MITRE-Phasen ab.  SentinelOne begleitet Sie von der Anreicherung über die Untersuchung bis zur Reaktion auf den Sicherheitsvorfall. Sie können den Vorfall abschließen, aktualisieren und mit XDR synchronisieren. Über das einheitliche Dashboard und die Konsole sehen Sie alle Informationen zu internen und externen Systemen der Nutzerverwaltung.
• Für eine eingehende Untersuchung können Sie die Threat-Hunting-Services von SentinelOne nutzen. Sie decken weitere IoCs (Kompromittierungsindikatoren) auf, die mit der IP-Adresse oder den Kampagnen der Angreifer zusammenhängen.
• Nutzen Sie die Plattform von SentinelOne weiterhin, um RDP-Brute-Force-Angriffe abzuwehren und kritische Ressourcen Ihres Unternehmens zu schützen. Setzen Sie bewährte Cybersecurity-Maßnahmen um und stärken Sie Ihre Cloud-Verteidigung gegen neue Bedrohungen.

Reale Beispiele für RDP-basierte Cyberangriffe

Über den RDP-Standardport 3389 lassen sich On-Path-Angriffe starten. BlueKeep war eine der schwerwiegendsten RDP-Schwachstellen und wurde offiziell als CVE-2019-0708 erfasst. Sie ermöglichte die Ausführung von Remote-Code (RCE) ohne Authentifizierung und folgte einem bestimmten Format. Sie ließ sich ausnutzen und breitete sich schließlich auf andere Rechner im Netzwerk aus. Nutzer konnten nichts dagegen tun: Angreifer verschafften sich unbefugten Zugriff auf Systeme und bewegten sich dabei lateral im Netzwerk. Sie weiteten ihre Berechtigungen aus, installierten Malware und setzten sogar Ransomware ein.

Angreifer können falsch konfigurierte RDP-Ports mit Web-Crawlern wie Shodan schnell identifizieren und Angriffe starten. Sie können automatisiert Brute-Force-Angriffe ausführen, unbefugten Zugriff erlangen und sogar Man-in-the-Middle-(MitM)-Angriffe starten. Auch Malware-Module wie Sodinokibi, GandCrab und Ryuk können bei RDP-Angriffen zum Einsatz kommen. Das war beim RobinHood-Ransomware-Angriff auf die Stadt Baltimore der Fall.

RDP-Angriffe mit SentinelOne eindämmen

SentinelOne kann Remote-Desktop-Protocol-Verbindungen blockieren, darunter verdächtige P2P-Remote-Desktop-Angriffe. Mit seinen Funktionen für Endpunktsicherheit sichert SentinelOne den Fernzugriff einschließlich vollständigem Remote-Shell-Zugriff. Sie können den Agenten von SentinelOne bereitstellen und alle Anwendungen und Dateien überwachen, einschließlich RDP-bezogener Prozesse und Verbindungen.

SentinelOne kann den Fernzugriff automatisch auf allen Geräten bereitstellen, einschließlich RDP-bezogener Geräte.

Mit SentinelOne können Sie außerdem Maßnahmen ergreifen, etwa Dateien unter Quarantäne stellen und unbefugte Änderungen rückgängig machen. Die Plattform erkennt und blockiert P2P-RDP-Angriffe, die handelsübliche Tools wie TeamViewer oder VMC zur Fernsteuerung nutzen.

Sie können auch aktuelle Schwachstellen wie BlueKey erkennen und sich davor schützen. Diese Schwachstelle ist dafür bekannt, RDP-Verbindungen anzugreifen und auszunutzen. SentinelOne bietet zusätzliche Sicherheitsmaßnahmen, darunter richtlinienbasierte Zugriffskontrollen. Für die Verschlüsselung jeder Session verwendet die Plattform ein eigenes Passwort und setzt außerdem Multi-Faktor-Authentifizierung ein.

Die Plattform kann vor der Zugriffsfreigabe eine Zwei-Faktor-Authentifizierung verlangen und stellt detaillierte Auditdaten bereit.

Mit SentinelOne lässt sich außerdem der Fernzugriff auf allen Geräten bereitstellen, einschließlich RDP-bezogener Prozesse und Verbindungen.

Der Agent und das Kommandozeilen-Tool von SentinelOne können die SentinelOne-Agenten verwalten. Sie können deren Status prüfen, Diagnosen ausführen sowie Endpunkte überwachen und schützen. Über eine eigene App lässt sich SentinelOne zudem in andere Plattformen wie SonicWall und NinjaOne integrieren. Das gewährleistet reibungslose RDP-Verbindungen über mehrere Plattformen hinweg und bietet die beste integrierte, KI-gestützte Sicherheit.

Vereinbaren Sie eine kostenlose Live-Demo.

Fazit und Handlungsaufforderung

RDP-Angriffe bleiben eine Bedrohung für Unternehmen jeder Größe. Mit den Maßnahmen in diesem Leitfaden schützen Sie sich davor. Starke Passwörter, Multifaktor-Authentifizierung und regelmäßige Updates sind dafür unerlässlich. Überwachen Sie den Netzwerkverkehr und die RDP-Protokolle, um verdächtige Aktivitäten frühzeitig zu erkennen. Deaktivieren Sie RDP, wenn Sie es nicht nutzen, und beschränken Sie den Zugriff durch Firewalls und Allowlisting. Für eine wirksame Verteidigung brauchen Sie außerdem fortschrittliche Technologien und geschulte Mitarbeitende. SentinelOne bietet KI-gestützten Schutz, der RDP-basierte Bedrohungen automatisch erkennt und blockiert. So behalten Sie die vollständige Transparenz und Kontrolle über Ihre Remote-Desktop-Umgebung.

Schützen Sie Ihr Unternehmen noch heute mit SentinelOne.

"