RDP beveiliging

[Bumzle]

Hi mede-Tweakers!

Ik ben de afgelopen week bezig met de security van mijn netwerk en kwam een issue tegen waarvan ik niet zo goed weet wat ik er mee aan moet. Ik gebruik RDP om te verbinden met mijn Intel NUC, deze poort heb ik ook geportforward (3389) omdat ik hem vaak moet benaderen als ik niet thuis ben.

Nu zag ik in malwarebytes dat er eigenlijk per minuut wel minimaal 2x een inlogpoging wordt gedaan vanaf verschillende IP-adressen. Nu heb ik een secure login om in te loggen op deze machine (lange username en passport bestaande uit random tekens) dus ben ik niet zo zeer bang dat ze met een bruteforce snel binnen zullen komen via de normale weg, maar ik vroeg mij af of er bepaalde exploits zijn in het RDP protocol waardoor ze alsnog binnen kunnen komen op mijn systeem of dat iemand misschien tips heeft om dit net wat meer secure te maken.

Heb wel een tijdje TeamViewer gebruikt maar ik vind dat totaal niet fijn werken, al helemaal niet via mobiel. Daarom heeft Remote Desktop wel echt de voorkeur. Hopelijk kan iemand mij hier helpen!

Edit: Acties die ik zelf heb ondernomen:
Ik kwam voornamelijk betaalde oplossingen tegen op Google waaronder een VPN of betaalde remote desktop software. Dit heeft eigenlijk niet de voorkeur, heb op dit moment veel abonnementjes lopen en wil dit eigenlijk wat afbouwen. Aan de ene kant kan ik mij ook voorstellen dat iets als een VPN de enige secure oplossing is. Mocht er echt niks gratis mogelijk zijn dan ga ik alsnog overstappen op TeamViewer.

Groet,
Ernst

[ Voor 17% gewijzigd door Bumzle op 07-07-2024 21:12 ]

[SteveH]

Je zou met een VPN naar je huisnetwerk kunnen (bijv vpn server op je router) en dan RDP'n. dan hoeft die poort niet open

[Marc H]

Twee dingen die ik zelf gebruik:

Tailscale: Een VPN client die rechtstreeks tussen twee clients verbinding maakt ZONDER open poorten op je Router/modem. Dus je hebt ook geen open poort nodig voor rdp. https://tailscale.com/

Duo Security: Hiermee voeg je 2FA toe aan je windows. https://duo.com/

Beide zijn betaalde paketten, maar met een gratis community versie die voldoende kan.

[Room42]

Je hebt nog niet echt gezocht, denk ik, want dan was je wel de term "VPN" tegengekomen. RDP direct aan het internet is niet waar het voor bedoeld is. Daar is de beveiliging gewoon niet tegen bestand. Er dient een secure gateway voor te zitten. Dat kan dus een VPN of een Windows RD Gateway of iets als Apache Guacamole. Maar die laatste zal je ook niet bevallen als TeamViewer niet werkt voor je.

Anyway, zo heb je in ieder geval wat zoektermen die hier op het forum en het internet zeker gaan helpen.

[Jazzy]

Bumzle schreef op zondag 7 juli 2024 @ 20:53:
maar ik vroeg mij af of er bepaalde exploits zijn in het RDP protocol waardoor ze alsnog binnen kunnen komen op mijn systeem of dat iemand misschien tips heeft om dit net wat meer secure te maken.

Modbreak:

Wat had je zelf zoal gevonden en zou je dat even aan je startpost willen toevoegen?

[Ruben279]

Je moet sowieso geen poorten open zetten naar een PC, servertje of laptop oid.

Want ook al heb je er een sterk wachtwoord op staan, ben je alsnog vatbaar voor brute force of DoS aanvallen.
En als er een lek in RDP zit ben je ook aan de beurt. Laatste twee jaar is er weinig meer gevonden, maar er zal vast nog wel een security issue in zitten -> https://istrosec.com/blog/rdp/


Ga voor een oplossing zoals een VPN naar huis, dan ben je ook nergens meer van afhankelijk.
Anders oplossingen als Tailscale, Remote.it oid.

[ Voor 16% gewijzigd door Ruben279 op 07-07-2024 21:13 ]

[Verwijderd]

Er zijn zeker exploits, ligt er een beetje aan wat je draait. Ik zou anno 2024 geen RDP meer aan het internet durven draaien. VPN is wel de mooiste oplossing naast helemaal geen RDP gebruiken.

Je geeft aan dat je je NUC vaak remote moet benaderen. Maar waarom? Misschien is de oplossing nog wel om daar iets voor te vinden zodat je helemaal geen poorten meer open hoeft te zetten.

[FlipFluitketel]

Zoals @Marc H ook al noemt, Duo Security. De gratis versie gebruik ik ook om verbinding met mijn pc te maken via RDP. App installeren op je telefoon en als er verbinding wordt gemaakt krijg je een push-melding om het wel/niet toe te staan. Mocht dat om een of andere reden niet werken kun je nog met een TOTP inloggen.

[revolution-nl]

Zo noemen het niet voor niets het Ransomware Delivery Protocol
Het direct publiceren van RDP aan het internet moet je echt niet meer willen.

[Christoxz]

Is de NUC een server? Of puur een systeem dat je op afstand wilt bereiken?
Mocht het een server zijn (of mocht je een server hebben draaien) kan je ook eventueel kijken naar Apache Guacamole en daar dan Authelia/Authentik er voor.

Dan heb je twee lagen voor de RDP en zelfs een webinterface om RDP te gebruiken. De RDP hoef je dan ook niet extern te exposen.
Uiteraard alsnog aanbevolen om het achter een VPN te zetten.

[jeroen3]

Je kunt inderdaad tailscale of zerotier op je nuc installeren. Dat hoeft niet via een vpn router.
Dan hoef je geen poorten meer te forwarden en heb je in ieder geval van het poort kloppen geen last meer.

Zelf gebruik ik de gratis versie van zerotier op mijn mikrotik voor het hele netwerk, werkt op de iPhone en laptop, en is altijd aan.

[CH4OS]

Je kunt voor remote toegang tot de thuis PC ook bijvoorbeeld TeamViewer overwegen. Vervolgens stel je dat ook in op de PC waar de toegang nodig is en beveilig je dat zodat alleen jouw TeamViewer account kan verbinden op die computer middels TeamViewer. In jouw TeamViewer account stel je dan 2FA in (wat binnen TeamViewer TFA heet). Dan heb je ook geen portforwarding ervoor meer nodig.

[BytePhantomX]

RDP aan het internet zou ik nu nooit meer doen. Wordt heel actief op gescand en zullen veel geautomatiseerde inlogpogingen op zijn.

Persoonlijk zou ik een VPN er tussen zetten. Een veel gebruikte variant is Wireguard. Vrij eenvoudig om op te zetten en werkt ontzettend snel. En mogelijk ondersteund je router een OpenVPN variant, wat ook prima werkt.

[Bumzle]

Bedankt voor alle reacties! Ik heb Tailscale geïnstalleerd en het werkt nu als een zonnetje. Dacht altijd dat dit een betaald programma was, maar blijkbaar is de functionaliteit die ik voor deze situatie nodig had gratis. Super makkelijk te installeren en geen Malwarebytes meldingen meer op mijn NUC

[Spotmatic]

Wij gebruiken zakelijk nog wel RDP maar dan met Duo 2 factor authenticatie, RDP communicatie op een heel andere poort dan standaard en bovendien alleen toegankelijk voor een paar specifieke IP's. Lijkt mij prima.

[me1299]

Spotmatic schreef op maandag 8 juli 2024 @ 18:57:
Wij gebruiken zakelijk nog wel RDP maar dan met Duo 2 factor authenticatie, RDP communicatie op een heel andere poort dan standaard en bovendien alleen toegankelijk voor een paar specifieke IP's. Lijkt mij prima.

Microsoft heeft niet voor niks een Secure Gateway die ervoor gaat in een RDS deployment, 2fa of niet ik zou geen RDP toegang direct openzetten naar hrt internet.

[ElCondor]

me1299 schreef op maandag 8 juli 2024 @ 19:02:
[...]


Microsoft heeft niet voor niks een Secure Gateway die ervoor gaat in een RDS deployment, 2fa of niet ik zou geen RDP toegang direct openzetten naar hrt internet.

Mensen staren zicht te veel blind op het feit dat ze een sterk password hebben voor RDP. Of het op een andere poort draaien. Security through obscurity is geen beveiliging. Een portscan en de alternatieve poort is geïdentificeert als RDP poort compleet met versienummer als je pecht hebt.
Als er voor de betreffende versie van RDP een 0-day bestaat, dan ben je de sjaak. Daar helpt geen wachtwoord tegen, hoe lang of random het wachtwoord ook is.

Verkeer dat loopt via een http gateway is encrypted, dus veel lastiger af te luisteren of te beïnvloeden. Functioneel daarmee niet heel verschillend van een VPN (technisch gezien wel, natuurlijk).

[Bor]

Spotmatic schreef op maandag 8 juli 2024 @ 18:57:
Wij gebruiken zakelijk nog wel RDP maar dan met Duo 2 factor authenticatie, RDP communicatie op een heel andere poort dan standaard en bovendien alleen toegankelijk voor een paar specifieke IP's. Lijkt mij prima.

Een heel andere poort houdt scriptkiddies misschien tegen maar RDP is niet heel lastig te detecteren. Alle beetjes helpen maar ik zou RDP op geen enkele manier aan het internet knopen als ik eerlijk ben.

[BytePhantomX]

Spotmatic schreef op maandag 8 juli 2024 @ 18:57:
Wij gebruiken zakelijk nog wel RDP maar dan met Duo 2 factor authenticatie, RDP communicatie op een heel andere poort dan standaard en bovendien alleen toegankelijk voor een paar specifieke IP's. Lijkt mij prima.

Ik las dit en dacht oh nee, een andere poort en MFA gaan maar een beperkte groep tegenhouden. Andere poorten kun je ook gewoon scannen en ontdekken dat het RDP is, en MFA helpt alleen tegen authenticatie, maar een mogelijk kwetsbaarheid, daar helpt het niet tegen.

In combinatie met ip-whitelist daarentegen, dat maakt het m.i. nog wel acceptabel.

Het grootste nadeel is m.i. dat als je een keer even tijdelijk iets aanpast, even geen ip-whitelist, of een tijdelijk test account zonder MFA, dat je alsnog de pineut bent. En voor je het weet, kun je advies inwinnen bij Hof van Twente hoe je met Ransomware moet omgaan.

[ Voor 16% gewijzigd door BytePhantomX op 09-07-2024 15:40 ]

[ElCondor]

BytePhantomX schreef op dinsdag 9 juli 2024 @ 15:39:
[...]


Ik las dit en dacht oh nee, een andere poort en MFA gaan maar een beperkte groep tegenhouden. Andere poorten kun je ook gewoon scannen en ontdekken dat het RDP is, en MFA helpt alleen tegen authenticatie, maar een mogelijk kwetsbaarheid, daar helpt het niet tegen.

In combinatie met ip-whitelist daarentegen, dat maakt het m.i. nog wel acceptabel.

Het grootste nadeel is m.i. dat als je een keer even tijdelijk iets aanpast, even geen ip-whitelist, of een tijdelijk test account zonder MFA, dat je alsnog de pineut bent. En voor je het weet, kun je advies inwinnen bij Hof van Twente hoe je met Ransomware moet omgaan.

Of erger, autoriteit persoonsgegevens omdat je data hebt gelekt...

[kwibox]

Zoals hierboven: nooit je RDP zomaar aan het internet blootstellen. Ook al heb je een mooi lang random username en password en 2FA, RDP is een kwetsbaar en ingewikkeld protocol waar regelmatig exploits of zerodays voor worden gevonden. Zonder gateway of VPN niet aan te raden dus (en nee, 2FA helpt niet als het protocool zelf weer eens lek is, het advies van @Spotmatic is slecht advies).

Zet er een VPN zoals wireguard en eventueel fail2ban tussen; dan kan je iets geruster slapen.

[ Voor 19% gewijzigd door kwibox op 09-07-2024 18:26 ]