Hoe voorkomt u RDP-aanvallen (Remote Desktop Protocol)?

RDP is gebaseerd op de standaarden van de T-120-protocolfamilie en kreeg voor het eerst bekendheid toen Microsoft gebruikers via netwerken op afstand verbinding liet maken met andere computers en deze liet bedienen. Het beveiligt netwerkcommunicatie en laat gebruikers desktops op afstand bedienen.

RDP brengt echter ook risico’s met zich mee. Aanvallers kunnen het misbruiken om ongeautoriseerde toegang tot apparaten te krijgen. Sinds de introductie zijn er 16 grote Windows-versies uitgebracht. Daardoor hebben dreigingsactoren volop kansen gehad om RDP over te nemen en op afstand toegang te krijgen tot Windows-servers en -apparaten. In deze gids leest u hoe u RDP-aanvallen voorkomt en beschermd blijft.

Wat is een RDP-aanval (Remote Desktop Protocol)?

RDP is een door Microsoft ontwikkeld communicatieprotocol waarmee gebruikers desktopapparaten op afstand kunnen bedienen (of elk apparaat met een Microsoft-besturingssysteem). Externe desktopverbindingen gebruiken TCP-poort 3389 (Transmission Control Protocol), de belangrijkste toegangspoort voor verbindingen op afstand. Wanneer dreigingsactoren de versleutelde kanalen compromitteren en de controle overnemen, spreken we van een RDP-aanval.

Zo werken RDP-aanvallen in het kort:

• Aanvallers scannen eerst uw RDP-poort. Actieve apparaten die ermee verbonden zijn, vormen een toegangspunt tot uw netwerk. De dreigingsactor kan via deze poort met brute force het netwerk binnendringen en misbruik maken van het grote aantal RDP-verbindingen.
• Na de eerste compromittering scannen aanvallers volledige netwerken en subnetten om verder binnen te dringen. Ze kunnen Windows Management Instrumentation™-verbindingen gebruiken voor meerdere endpoints in gedistribueerde computeromgevingen, of procedureaanroepen op afstand inzetten om verschillende aanvallen uit te voeren.
• Wanneer een apparaat is gecompromitteerd, neemt de aanvaller de controle over. Via de command-and-controlinterface stuurt die opdrachten naar andere endpoints en netwerken binnen de infrastructuur. De aanvaller kan het gecompromitteerde apparaat gebruiken om nieuwe RDP-verbindingen via niet-standaardpoorten tot stand te brengen.
• In deze fase kan een aanvaller zich lateraal door netwerken verplaatsen en dieper in uw organisatie doordringen. De aanvaller kan hogere toegangsrechten verkrijgen, gevoelige gegevens ophalen en de controle over waardevolle middelen overnemen. Op dit punt kan de aanvaller ook detectie door de nieuwste beveiligingstechnologie van de organisatie ontwijken.

Hoe misbruiken cybercriminelen RDP?

RDP-aanvallen richten zich specifiek op verspreid werkende teams en externe opdrachtnemers. Het overnemen van computers met veel rekenkracht is waardevol. RDP kan bovendien beter inzicht geven in de toegang tot Windows-servers en -sessies.

Traditionele RDP-versies hadden niet de beveiligings- en privacymaatregelen die we nu kennen. Voor gebruikersauthenticatie waren alleen een gebruikersnaam en wachtwoord nodig. RDP had standaard geen ingebouwde meervoudige authenticatie.

Hoe herkent u ongeautoriseerde RDP-toegang?

Met deze stappen herkent u ongeautoriseerde RDP-toegang:

• Controleer uw RDP-logboeken op afwijkend gedrag of schadelijke activiteiten. Let op mislukte aanmeldpogingen, frequente aanmeldingen en aanmeldingen vanaf onbekende IP-adressen. Deze pogingen wijzen erop dat een aanvaller toegang tot het systeem heeft geprobeerd te krijgen.
• Onderzoek en analyseer netwerkverkeer met tools voor netwerkmonitoring, zoals SentinelOne. Let op netwerkafwijkingen en ongebruikelijke verkeerspatronen. Controleer ook of er veel gegevens van of naar specifieke IP-adressen worden verzonden.
• Als er iets misgaat, ziet u pieken in de activiteit op poort 3389. Registreer en monitor uw netwerkverkeer en scan het op ongewenste toegangspogingen.

Best practices om RDP-aanvallen te voorkomen (meer dan 10)

Volg deze maatregelen in de aangegeven volgorde. Zo ontdekt u hoe u RDP-aanvallen voorkomt door ze toe te passen:

• Maak sterke wachtwoorden met een combinatie van speciale tekens, cijfers, letters en symbolen. We raden een lengte van minimaal 15 tekens aan. Gebruik voor elk account een ander wachtwoord. Gebruik een wachtwoordkluis als u moeite hebt om al uw wachtwoorden te onthouden en te beheren.
• Pas Microsoft-updates automatisch toe op alle versies van uw client- en serversoftware. Controleer of deze instelling is ingeschakeld en updates zonder handmatige actie op de achtergrond worden geïnstalleerd. Geef ook prioriteit aan het verhelpen van RDP-kwetsbaarheden waarvoor openbaar bekende exploits bestaan.
• Voer meervoudige authenticatie in en gebruik actuele beleidsregels voor accountvergrendeling tegen brute-forceaanvallen. Wijzig ook de standaard-RDP-poort van 3389 naar een andere poort voor extra beveiliging.
• Gebruik een lijst met toegestane verbindingen en beperk deze tot specifieke vertrouwde hosts. Beperk de toegang tot de Remote Desktop-poort tot geselecteerde en geverifieerde IP-adressen. Als u de serverinstelling aanpast, accepteert de server geen verbindingspogingen meer van IP-adressen buiten de lijst. Schadelijke pogingen en processen worden automatisch geblokkeerd.
• Bouw een Zero Trust-netwerkbeveiligingsarchitectuur (ZTNA) en pas voor alle accounts het principe van minimale toegangsrechten toe. Controleer regelmatig of alle RDP-poorten beveiligd blijven.
• Beperk de toegang tot RDP-verbindingen met firewalls. Voeg ook de IP-adresreeks van het virtuele privénetwerk van uw bedrijf toe aan de uitzonderingsregels van uw RDP-firewall. Schakel authenticatie op netwerkniveau in voordat nieuwe RDP-verbindingen tot stand komen.
• Stel externe desktopservers in om verbindingen zonder NLA te accepteren als u externe desktopclients gebruikt op platforms die NLA niet ondersteunen. Controleer uw groepsbeleidsinstellingen en maak gebruikersauthenticatie verplicht voor alle externe verbindingen.
• U kunt ook beleid voor accountvergrendeling instellen. Na een bepaald aantal onjuiste pogingen voorkomt dit dat hackers met geautomatiseerde tools voor het raden van wachtwoorden ongeautoriseerde toegang krijgen. U kunt maximaal drie ongeldige pogingen toestaan, met telkens een vergrendeling van drie minuten.
• Gebruik geavanceerde AI-dreigingsdetectie en antimalwareproducten. Stel achtergrondscans en monitoring van endpointbeveiliging in, zodat uw apparaten, netwerken en gebruikers voortdurend worden bewaakt. Zo voorkomt u aanvallen door insiders en via schaduw-IT en voegt u een extra beveiligingslaag toe.
• Leer uw medewerkers mislukte RDP-verbindingen en toegangspogingen te herkennen. Moedig hen aan hun bevindingen zo nodig anoniem te melden en bevorder openheid op de werkvloer. Als uw medewerkers actief betrokken zijn, zit het hele team op één lijn. Alle afdelingen moeten weten hoe ze RDP-aanvallen voorkomen en welke stappen aanvallers zetten om hun controle en privileges uit te breiden. Veiligheid begint bij het beschermen van de gebruikers van deze technologieën, voordat u automatiseringstools en workflows inzet voor de verdediging.

Hoe reageert u op een RDP-aanval?

Gebruik SentinelOne Singularity XDR Platform om incidentonderzoek te automatiseren en de beste werkwijzen uit het RDP-playbook toe te passen. Zo kan uw SOC-team sneller reageren. Neem deze stappen als u met een RDP-infectie te maken krijgt:

• Blokkeer de gecompromitteerde gebruiker en het IP-adres van de aanvaller zodra u ze ontdekt. Zo beperkt u de dreiging en kunt u die isoleren. Start een ASN-onderzoek en bekijk de gebruikersactiviteiten. Gebruik de XSOAR-module van SentinelOne om RDP-gerelateerde campagnes te detecteren.
• Singularity Threat Intelligence en Purple AI geven u dieper inzicht in het IP-adres van de aanvaller. Isoleer de gecompromitteerde endpoints en haal activiteiten op volgens de verschillende MITRE-fasen.  SentinelOne begeleidt u bij verrijking, onderzoek en respons. U kunt het incident afsluiten, informatie bijwerken en synchroniseren met XDR. Via het centrale dashboard en de console ziet u alle informatie over het beheer van interne en externe gebruikers.
• Overweeg de threat-huntingdiensten van SentinelOne als u diepgaand onderzoek wilt uitvoeren. Daarmee ontdekt u andere IoCs (indicatoren van compromittering) die verband houden met het IP-adres of de campagnes van de aanvallers.
• Blijf het platform van SentinelOne gebruiken om u tegen RDP-brute-forceaanvallen te verdedigen en de kritieke bedrijfsmiddelen van uw organisatie te beschermen. Pas de beste cyberbeveiligingsmaatregelen toe en versterk uw cloudverdediging tegen opkomende dreigingen.

Voorbeelden van RDP-gebaseerde cyberaanvallen uit de praktijk

RDP’s standaardpoort 3389 kan worden gebruikt om on-path-aanvallen uit te voeren. BlueKeep was een van de ernstigste RDP-kwetsbaarheden en werd officieel aangeduid als CVE-2019-0708. Het betrof een kwetsbaarheid voor het uitvoeren van externe code (RCE) zonder authenticatie, waarvoor een specifiek formaat vereist was. De kwetsbaarheid was uit te buiten en de aanval verspreidde zich uiteindelijk naar andere machines binnen het netwerk. Gebruikers konden niets doen en kwaadwillenden hadden systemen gecompromitteerd door ongeoorloofde toegang te verkrijgen en zich daarbij lateraal door het netwerk te verplaatsen. Ze hadden hun bevoegdheden uitgebreid en malware geïnstalleerd, en zelfs ransomware ingezet.

Aanvallers kunnen verkeerd geconfigureerde RDP-poorten snel vinden en aanvallen uitvoeren met webcrawlers zoals Shodan. Ze kunnen geautomatiseerd brute-forceaanvallen uitvoeren, ongeautoriseerde toegang krijgen en zelfs man-in-the-middleaanvallen (MitM) beginnen. Ook malwaremodules zoals Sodinokibi, GandCrab en Ryuk kunnen bij RDP-aanvallen betrokken zijn. Dat was het geval bij de RobinHood-ransomwareaanval waarmee de stad Baltimore te maken kreeg.

Beperk RDP-aanvallen met SentinelOne

SentinelOne kan Remote Desktop Protocol-verbindingen blokkeren, waaronder verdachte P2P-aanvallen via externe desktops. Het platform gebruikt zijn mogelijkheden voor endpointbeveiliging om externe toegang tot een volledige externe shell te beveiligen. Implementeer de agent van SentinelOne en monitor alle applicaties en bestanden, waaronder RDP-gerelateerde processen en verbindingen.

SentinelOne kan automatisch externe toegang instellen voor alle apparaten, ook voor RDP-gerelateerde apparaten.

Met SentinelOne kunt u ook acties uitvoeren, zoals bestanden in quarantaine plaatsen en ongeautoriseerde wijzigingen terugdraaien. Het detecteert en blokkeert P2P RDP-aanvallen die standaard verkrijgbare tools zoals TeamViewer of VMC gebruiken voor externe bediening.

U kunt zich ook beschermen tegen de nieuwste kwetsbaarheden, zoals BlueKey, die bekendstaat om aanvallen op RDP-verbindingen. SentinelOne biedt aanvullende beveiligingsmaatregelen, zoals toegangscontrole op basis van beleid. Het versleutelt elke sessie met een afzonderlijk wachtwoord en past ook multifactorverificatie toe.

Het kan tweefactorauthenticatie vereisen voordat toegang wordt verleend en biedt gedetailleerde auditgegevens.

SentinelOne kan ook externe toegang instellen voor alle apparaten, inclusief RDP-gerelateerde processen en verbindingen.

U kunt de agents van SentinelOne beheren met de SentinelOne-agent en de opdrachtregeltool. U kunt de status controleren, diagnostiek uitvoeren en endpoints bewaken en beschermen. SentinelOne integreert via een eigen app ook met andere platforms, zoals SonicWall en NinjaOne. Het zorgt voor soepele RDP-verbindingen tussen meerdere platforms en biedt de beste geïntegreerde, AI-gestuurde beveiliging.

Boek een gratis livedemo.

Conclusie en oproep tot actie

RDP-aanvallen blijven een bedreiging voor organisaties van elke omvang. U kunt zich tegen deze aanvallen beschermen door de aanbevelingen in deze gids te volgen. Daarvoor hebt u sterke wachtwoorden, multifactorauthenticatie en regelmatige updates nodig. Door netwerkverkeer en RDP-logboeken te monitoren, signaleert u verdachte activiteiten vroegtijdig. Schakel RDP uit wanneer u het niet gebruikt en beperk de toegang met firewalls en allowlisting. Voor een sterke beveiligingshouding hebt u ook geavanceerde tools en training voor medewerkers nodig. SentinelOne biedt AI-gestuurde bescherming die RDP-gerelateerde dreigingen automatisch detecteert en blokkeert, zodat u volledig inzicht in en controle over uw externe desktopomgeving hebt.

Bescherm uw organisatie vandaag nog met SentinelOne.