Scan Externe : résoudre l'exposition du service RDP
Pourquoi l'exposition du RDP est dangereuse
RDP (Remote Desktop Protocol) est le protocole d'accès à distance de Microsoft. Il écoute généralement sur le port TCP 3389 et constitue un point d'entrée de grande valeur pour les attaquants.
Un service RDP exposé devient exploitable lorsque :
il est affecté par une vulnérabilité publique (par exemple BlueKeep), ou
les identifiants sont faibles, réutilisés ou divulgués.
Dans les deux cas, cela suffit généralement pour obtenir un accès initial et se déplacer latéralement. Exposez RDP uniquement sur les réseaux internes, jamais directement sur Internet.
Solutions recommandées
La plupart des services RDP exposés existent pour l'une des deux raisons suivantes :
Administration à distance. Par ordre de préférence décroissant : déployez une passerelle Bureau à distance (RDG), déployez un VPN, ou durcissez le service RDP.
Accès aux documents. Privilégiez Microsoft 365 et le stockage SharePoint plutôt que l'accès à distance au bureau.
Configuration minimale de base dans tous les cas :
Bloquer les connexions entrantes TCP/3389 sur le pare-feu périmétrique.
Autoriser RDP uniquement depuis votre plage d'adresses IP de passerelle RD ou VPN.
Option 1 : Passerelle Bureau à distance (préférée)
Une passerelle Bureau à distance (RDG) est un moyen plus sûr d'accéder aux serveurs RDP internes. Elle agit comme intermédiaire : seule la passerelle est exposée, via HTTPS (TLS) sur TCP/443. Placez-la dans une DMZ existante.
Installer le rôle de passerelle
Connectez-vous au serveur Windows qui hébergera la passerelle et ouvrez Gestionnaire de serveur.
Dans le menu Gérer , ouvrez Ajouter des rôles et des fonctionnalités.
Sur le premier écran de l'assistant, cliquez sur Suivant.
Sélectionnez Installation basée sur un rôle ou une fonctionnalité, puis Suivant.
Sélectionnez le serveur de destination, puis Suivant.
Sélectionnez Services Bureau à distance, puis Suivant.
Laissez les fonctionnalités par défaut sélectionnées et poursuivez.
Ignorez l'écran d'information sur les Services Bureau à distance.
Sélectionnez le service de rôle Passerelle Bureau à distance et acceptez les fonctionnalités requises lorsqu'on vous le demande.
Confirmez la sélection et poursuivez.
L'assistant ajoute automatiquement les onglets associés. Cliquez sur Suivant à travers les écrans d'information Services de stratégie et d'accès réseau et Serveur Web (IIS), en conservant les services IIS par défaut.
Passez en revue le résumé et cliquez sur Installer. Vous pouvez cocher Redémarrer automatiquement le serveur de destination si nécessaire.
Attendez la fin de l'installation.
Configurer la passerelle
Dans Gestionnaire de serveur > Outils, ouvrez l'outil de gestion de la passerelle Bureau à distance.
Sélectionnez le serveur à gauche, puis ouvrez Afficher ou modifier les propriétés du certificat.
Installez un certificat. Privilégiez un certificat émis par une autorité de certification reconnue : sélectionnez Importer un certificat dans le magasin Certificats de la passerelle RD (ordinateur local)/Personnel, puis Parcourir et importer le certificat.
Si vous utilisez plutôt un certificat auto-signé, sélectionnez Créer un certificat auto-signé et cliquez sur Créer et importer le certificat.
Saisissez le nom complet du serveur comme Nom du certificat. Un certificat auto-signé doit ensuite être exporté du serveur et importé dans chaque machine qui utilisera la passerelle. Cliquez sur OK pour terminer.
Ajoutez des règles d'accès. Dans la liste déroulante du serveur, ouvrez Stratégies, puis Créer de nouvelles stratégies d'autorisation.
Deux règles sont nécessaires : une règle de connexion (RD CAP) et une règle de ressources (RD RAP). Sélectionnez Créer une RD CAP et une RD RAP (recommandé), puis Suivant.
Nommez la règle CAP, puis Suivant.
Sélectionnez le ou les groupes d'utilisateurs autorisés à utiliser la passerelle, puis Suivant.
Définissez la redirection des périphériques. Pour durcir la passerelle, sélectionnez Désactiver la redirection des périphériques pour les types de périphériques client suivants et choisissez ceux dont vous n'avez pas besoin. Sinon, sélectionnez Activer la redirection des périphériques pour tous les périphériques client, puis Suivant.
Activez les délais d'expiration de déconnexion et de session pour durcir la passerelle, puis Suivant.
Passez en revue le résumé du CAP, puis Suivant pour configurer la règle RAP.
Sélectionnez l'appartenance au groupe d'utilisateurs pour la règle RAP, puis Suivant. Seuls les groupes d'utilisateurs légitimes et autorisés doivent être ajoutés via Ajouter un groupe.
Spécifiez les ressources internes accessibles via la passerelle.
Spécifiez les ports autorisés : le port par défaut 3389, ou d'autres si nécessaire. Puis Suivant.
Passez en revue le résumé RAP et confirmez. Une fenêtre finale confirme les règles CAP et RAP.
Assurez-vous que le service de passerelle est en cours d'exécution. Dans Gestionnaire de serveur > Services Bureau à distance > Serveurs > Services, recherchez Passerelle Bureau à distance. S'il est arrêté, faites un clic droit dessus et choisissez Démarrer les services.
Filtrer le trafic vers les serveurs internes
Les serveurs internes doivent n'accepter le RDP que depuis la passerelle. Configurez le pare-feu Windows sur chaque serveur.
Ouvrez le pare-feu Windows, listez Règles de trafic entrant, puis ouvrez les propriétés de Bureau à distance - Mode utilisateur (TCP entrant).
Accédez à l'onglet Étendue .
Sous Adresse IP distante, autorisez uniquement les sources permises : l'adresse IP de la passerelle, ou 127.0.0.1 si la passerelle s'exécute sur le serveur cible lui-même.
Se connecter via la passerelle
Ouvrir Connexion Bureau à distance, allez à l'onglet Avancé , puis Paramètres.
Sélectionnez Utiliser ces paramètres du serveur de passerelle RD, saisissez la passerelle FQDN, cochez Utiliser mes informations d'identification de passerelle RD pour l'ordinateur distant, et cliquez sur OK.
De retour sur l'onglet Général , saisissez le nom ou l'adresse IP du serveur interne et votre nom d'utilisateur, puis Connecter.
Confirmez le nom de la passerelle et saisissez le mot de passe du compte.
Si le certificat de la passerelle n'est pas approuvé par le client (ce qui est courant avec les certificats auto-signés ou émis par une AC interne), ce message apparaît :
Option 2 : Renforcer le protocole RDP (temporairement uniquement)
Configuration minimale temporaire :
Imposer MFA pour l'accès à distance (de préférence via une passerelle RD ou un VPN).
Activer l'authentification au niveau du réseau (NLA) sur les serveurs cibles.
Restreindre le RDP entrant à une stricte liste d'adresses IP autorisées (idéalement uniquement la passerelle).
Restreindre l'accès des utilisateurs
Créez un groupe Active Directory dédié aux utilisateurs RDP autorisés et appliquez-le avec la Console de gestion des stratégies de groupe (GPMC).
Approche typique :
Ajoutez votre groupe AD au groupe local Utilisateurs du Bureau à distance via GPO, ou
définissez le droit utilisateur Autoriser l'ouverture de session via les Services Bureau à distance.
Exemple avec Groupes restreints / appartenance au groupe local :
Ajoutez les utilisateurs ou groupes autorisés, puis cliquez sur OK.
Désactiver le compte Invité
Windows Server 2012 R2 est livré avec un compte Invité activé par défaut. Désactivez-le pour empêcher les tentatives d'élévation de privilèges. Exécutez compmgmt.msc pour ouvrir la Gestion de l'ordinateur et désactiver le compte.
Verrouiller les comptes après des échecs de connexion
Configurez une politique de verrouillage du compte (locale ou, de préférence, de domaine via la Console de gestion des stratégies de groupe) :
Configuration ordinateur>Paramètres Windows>Paramètres de sécurité>Stratégies de compte>Stratégie de verrouillage du compteDéfinir Seuil de verrouillage du compte à 5 connexions invalides.
Définissez la durée du verrouillage et la réinitialisation du compteur à 15 minutes (valeur de référence typique).
Appliquer une politique de mots de passe forts
Des mots de passe forts réduisent le risque d'attaques par force brute et par dictionnaire : utilisez des lettres majuscules et minuscules, des chiffres et des caractères spéciaux. Exécutez gpedit.msc pour ouvrir l'Éditeur de stratégie de groupe locale, puis accédez à Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies de compte > Stratégie de mot de passe.
Mis à jour
Ce contenu vous a-t-il été utile ?