Extern bureaublad beschermen tegen brute-force-aanvallen

Elke server met Extern bureaublad open naar internet krijgt al een paar minuten na het opstarten inlogpogingen van bots. Het is geen aanval op jou persoonlijk: ze proberen miljoenen IP-adressen. Met deze maatregelen komen ze nergens.

1. Een wachtwoord dat niet te raden is

Het eerste en belangrijkste: 16 tekens of meer, zonder woorden uit het woordenboek en niet ergens anders in gebruik. Een wachtwoordmanager maakt het voor je aan en onthoudt het.

2. Kijk wie het probeert

De IP-adressen met de meeste mislukte pogingen in de afgelopen 24 uur (PowerShell als administrator):

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Zie je honderden of duizenden pogingen, dan is dat normaal bij een open poort 3389. Waar het om gaat, is dat geen enkele slaagt.

3. Blokkeren na een aantal mislukte pogingen

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Na 10 mislukte pogingen wordt het betreffende account 15 minuten geblokkeerd. Let op: in Windows Server 2022 wordt het ingebouwde account Administrator standaard niet geblokkeerd (zodat je jezelf nooit buitensluit van je eigen server), dus dit beschermt vooral de andere gebruikers. Daarom telt het wachtwoord uit punt 1 het zwaarst.

4. Heb je een vast IP-adres? Laat dan alleen dat van jou toe

Dit is de sterkste maatregel: Extern bureaublad reageert alleen nog op jouw verbinding.

# Vervang 198.51.100.7 door je publieke IP-adres (zoek het op via een willekeurige site als "wat is mijn IP")
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Heb je de poort gewijzigd en nieuwe regels aangemaakt, pas hetzelfde dan daarop toe met Set-NetFirewallRule -DisplayName "Extern bureaublad TCP 50000" -RemoteAddress 198.51.100.7. En verandert het IP-adres van je thuisverbinding, dan sluit je jezelf buiten: log dan in via de VNC-console en zet het weer open met -RemoteAddress Any.

5. Wijzig de poort

Verplaats je Extern bureaublad naar een andere poort, dan ben je van de meeste automatische pogingen af. We leggen het uit in de poort van Extern bureaublad wijzigen.

Wat je niet moet doen

Geef het account Administrator geen andere naam: het paneel gebruikt dat account om het wachtwoord opnieuw in te stellen.
Schakel NLA niet uit (Network Level Authentication, verificatie op netwerkniveau): het staat standaard aan en houdt veel aanvallen tegen voordat ze het inlogscherm bereiken.
Deel je gebruiker niet: maak er een aan voor elke persoon.