> For the complete documentation index, see [llms.txt](https://docs.stoik.io/llms.txt). Markdown versions of documentation pages are available by appending `.md` to page URLs; this page is available as [Markdown](https://docs.stoik.io/cyber-best-practices/fr/guides-de-remediation-des-vulnerabilites/how-to-resolve-rdp-service-exposure-from-the-internet.md).

# Scan Externe : résoudre l'exposition du service RDP

{% hint style="info" %}
Il s'agit d'un guide pratique de durcissement. L'objectif est de supprimer l'exposition directe à Internet de **TCP/3389**.
{% endhint %}

## Pourquoi l'exposition du RDP est dangereuse

RDP (Remote Desktop Protocol) est le protocole d'accès à distance de Microsoft. Il écoute généralement sur **le port TCP 3389** et constitue un point d'entrée de grande valeur pour les attaquants.

Un service RDP exposé devient exploitable lorsque :

* il est affecté par une vulnérabilité publique (par exemple BlueKeep), ou
* les identifiants sont faibles, réutilisés ou divulgués.

Dans les deux cas, cela suffit généralement pour obtenir un accès initial et se déplacer latéralement. Exposez RDP uniquement sur les réseaux internes, jamais directement sur Internet.

## Solutions recommandées

La plupart des services RDP exposés existent pour l'une des deux raisons suivantes :

* **Administration à distance.** Par ordre de préférence décroissant : déployez une passerelle Bureau à distance (RDG), déployez un VPN, ou durcissez le service RDP.
* **Accès aux documents.** Privilégiez Microsoft 365 et le stockage SharePoint plutôt que l'accès à distance au bureau.

Configuration minimale de base dans tous les cas :

* Bloquer les connexions entrantes **TCP/3389** sur le pare-feu périmétrique.
* Autoriser RDP uniquement **depuis** votre plage d'adresses IP de passerelle RD ou VPN.

## Option 1 : Passerelle Bureau à distance (préférée)

Une passerelle Bureau à distance (RDG) est un moyen plus sûr d'accéder aux serveurs RDP internes. Elle agit comme intermédiaire : seule la passerelle est exposée, via **HTTPS (TLS)** sur **TCP/443**. Placez-la dans une DMZ existante.

### Installer le rôle de passerelle

Connectez-vous au serveur Windows qui hébergera la passerelle et ouvrez **Gestionnaire de serveur**.

{% stepper %}
{% step %}
Dans le menu **Gérer** , ouvrez **Ajouter des rôles et des fonctionnalités**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/bjEOhkBtP3Dz0VHrpSlD/spaces_wzUTKOoCOAuhqMwyJZbG_uploads_8qqXZUhl7bwLIgbo8xyc_image%20(1).webp" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sur le premier écran de l'assistant, cliquez sur **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/4msbRXiIPEY5Lw3M4AK9/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez **Installation basée sur un rôle ou une fonctionnalité**, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/Q4Qaiw46zfEfPVeQ8O5Q/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez le serveur de destination, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/4EYiLDnAmqopCTBPfqTU/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez **Services Bureau à distance**, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/ebtOl9ZCIQ3IviCGGasv/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Laissez les fonctionnalités par défaut sélectionnées et poursuivez.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/b7ejlUBEHoLJzACOo4nm/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Ignorez l'écran d'information sur les Services Bureau à distance.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/dxf1iQ9eKLnn4vifG7yk/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez le service de rôle **Passerelle Bureau à distance** et acceptez les fonctionnalités requises lorsqu'on vous le demande.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/64xD9Jb6X72H7qgRUpSp/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Confirmez la sélection et poursuivez.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/KwrdagqOHNYECG9r2vBY/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
L'assistant ajoute automatiquement les onglets associés. Cliquez sur **Suivant** à travers les écrans d'information Services de stratégie et d'accès réseau et Serveur Web (IIS), en conservant les services IIS par défaut.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/ohTwtdTmS707cmlGunXn/image.png" alt=""><figcaption></figcaption></figure>

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/FgdpWeMWZ4EivRzpXABP/image.png" alt=""><figcaption></figcaption></figure>

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/9Bn4swXM3WCFbcUYgzVN/image.png" alt=""><figcaption></figcaption></figure>

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/SHA1Ldp1d9L1K477GeMZ/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Passez en revue le résumé et cliquez sur **Installer**. Vous pouvez cocher **Redémarrer automatiquement le serveur de destination** si nécessaire.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/4YDVZ1HzABQOM7TPGr9c/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Attendez la fin de l'installation.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/D9QoQp73GsAfrnRvDogF/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

### Configurer la passerelle

{% stepper %}
{% step %}
Dans **Gestionnaire de serveur** > **Outils**, ouvrez l'outil de gestion de la passerelle Bureau à distance.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/UktTq0MkSH4q7PQKdJso/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez le serveur à gauche, puis ouvrez **Afficher ou modifier les propriétés du certificat**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/1SvdTUE0flW1e1pbItQS/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Installez un certificat. Privilégiez un certificat émis par une autorité de certification reconnue : sélectionnez **Importer un certificat dans le magasin Certificats de la passerelle RD (ordinateur local)/Personnel**, puis **Parcourir et importer le certificat**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/AXkbiIMZvX6ACZIdYdhv/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Si vous utilisez plutôt un certificat auto-signé, sélectionnez **Créer un certificat auto-signé** et cliquez sur **Créer et importer le certificat**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/dc0NPQ760Db2OPybNfGP/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Saisissez le nom complet du serveur comme **Nom du certificat**. Un certificat auto-signé doit ensuite être exporté du serveur et importé dans chaque machine qui utilisera la passerelle. Cliquez sur **OK** pour terminer.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/1EMKZaRqEMzbQNrZGIRb/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Ajoutez des règles d'accès. Dans la liste déroulante du serveur, ouvrez **Stratégies**, puis **Créer de nouvelles stratégies d'autorisation**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/4ZzzmBj1rmkMrqzj7IwB/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Deux règles sont nécessaires : une règle de connexion (RD CAP) et une règle de ressources (RD RAP). Sélectionnez **Créer une RD CAP et une RD RAP (recommandé)**, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/fwELjkbs5W7UxaETDVaa/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Nommez la règle CAP, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/cI4uzaMsdeerbICox8mO/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez le ou les groupes d'utilisateurs autorisés à utiliser la passerelle, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/ioxaEFqrX25PgbVMnbEv/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Définissez la redirection des périphériques. Pour durcir la passerelle, sélectionnez **Désactiver la redirection des périphériques pour les types de périphériques client suivants** et choisissez ceux dont vous n'avez pas besoin. Sinon, sélectionnez **Activer la redirection des périphériques pour tous les périphériques client**, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/7e1txurhVny5cXm2i07Z/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Activez les délais d'expiration de déconnexion et de session pour durcir la passerelle, puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/Ot22mYdmfYrx1We0sucg/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Passez en revue le résumé du CAP, puis **Suivant** pour configurer la règle RAP.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/NR85Kt5oYkyZP4GtCWuO/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez l'appartenance au groupe d'utilisateurs pour la règle RAP, puis **Suivant**. Seuls les groupes d'utilisateurs légitimes et autorisés doivent être ajoutés via **Ajouter un groupe**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/JFQANK57cSYgvyDKEi9T/image.png" alt=""><figcaption></figcaption></figure>

{% hint style="info" %}
Dans l'idéal, créez un groupe Active Directory dédié pour cet accès afin de garantir sa légitimité.
{% endhint %}

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/Xti2BoZi9iXs34zDYcp6/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Spécifiez les ressources internes accessibles via la passerelle.

{% hint style="info" %}
Créez un groupe de domaine contenant tous les serveurs accessibles depuis cette passerelle et sélectionnez-le avec l'option **Sélectionner un groupe de ressources réseau Active Directory Domain Services** .
{% endhint %}

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/77DJoEFCPYEiss1MjJyT/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Spécifiez les ports autorisés : le port par défaut **3389**, ou d'autres si nécessaire. Puis **Suivant**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/Szp2DZCX3SUABYBXEmfm/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Passez en revue le résumé RAP et confirmez. Une fenêtre finale confirme les règles CAP et RAP.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/YJYKKmViCZVI8KHWyc1X/image.png" alt=""><figcaption></figcaption></figure>

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/zKLEzwlhyO3ynindcbMu/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Assurez-vous que le service de passerelle est en cours d'exécution. Dans **Gestionnaire de serveur** > **Services Bureau à distance** > **Serveurs** > **Services**, recherchez **Passerelle Bureau à distance**. S'il est arrêté, faites un clic droit dessus et choisissez **Démarrer les services**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/l62URWSWzmMZOKuA8GaV/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

### Filtrer le trafic vers les serveurs internes

Les serveurs internes doivent n'accepter le RDP que depuis la passerelle. Configurez le pare-feu Windows sur chaque serveur.

{% stepper %}
{% step %}
Ouvrez le pare-feu Windows, listez **Règles de trafic entrant**, puis ouvrez les propriétés de **Bureau à distance - Mode utilisateur (TCP entrant)**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/ucuHIKm8GB6vpTjC4O43/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Accédez à l'onglet **Étendue** .

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/YsZSJyCNyfey4POsorAi/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sous **Adresse IP distante**, autorisez uniquement les sources permises : l'adresse IP de la passerelle, ou `127.0.0.1` si la passerelle s'exécute sur le serveur cible lui-même.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/BzcfoWtIYsiYLhmiDZC3/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

### Se connecter via la passerelle

{% stepper %}
{% step %}
Ouvrir **Connexion Bureau à distance**, allez à l'onglet **Avancé** , puis **Paramètres**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/qyjK6iU5hFr7QIppv1r3/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Sélectionnez **Utiliser ces paramètres du serveur de passerelle RD**, saisissez la passerelle **FQDN**, cochez **Utiliser mes informations d'identification de passerelle RD pour l'ordinateur distant**, et cliquez sur **OK**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/WcMcQZMdGRvMlyNgX0mK/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
De retour sur l'onglet **Général** , saisissez le nom ou l'adresse IP du serveur interne et votre nom d'utilisateur, puis **Connecter**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/EcjST2qW0paLk1AbORAF/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}

{% step %}
Confirmez le nom de la passerelle et saisissez le mot de passe du compte.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/OpziNFyBPs3wAtU0mFDi/image.png" alt=""><figcaption></figcaption></figure>
{% endstep %}
{% endstepper %}

Si le certificat de la passerelle n'est pas approuvé par le client (ce qui est courant avec les certificats auto-signés ou émis par une AC interne), ce message apparaît :

<figure><img src="https://files.gitbook.com/v0/b/gitbook-x-prod.appspot.com/o/spaces%2FwzUTKOoCOAuhqMwyJZbG%2Fuploads%2FSr92NPJRPx9JejH1f09f%2Fimage.png?alt=media&#x26;token=f76f5b59-96ab-4dba-b5ce-ae5aee1c5039" alt=""><figcaption></figcaption></figure>

## Option 2 : Renforcer le protocole RDP (temporairement uniquement)

{% hint style="warning" %}
Ces mesures ne suffisent pas à elles seules et ne doivent être utilisées que temporairement, pendant que vous mettez en place une passerelle ou un VPN.
{% endhint %}

Configuration minimale temporaire :

* Imposer **MFA** pour l'accès à distance (de préférence via une passerelle RD ou un VPN).
* Activer **l'authentification au niveau du réseau (NLA)** sur les serveurs cibles.
* Restreindre le RDP entrant à une stricte **liste d'adresses IP autorisées** (idéalement uniquement la passerelle).

### Restreindre l'accès des utilisateurs

Créez un groupe Active Directory dédié aux utilisateurs RDP autorisés et appliquez-le avec la Console de gestion des stratégies de groupe ([GPMC](https://www.it-connect.fr/chapitres/la-console-gpmc-group-policy-management-console/)).

Approche typique :

* Ajoutez votre groupe AD au groupe local **Utilisateurs du Bureau à distance** via GPO, ou
* définissez le droit utilisateur **Autoriser l'ouverture de session via les Services Bureau à distance**.

Exemple avec Groupes restreints / appartenance au groupe local :

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/09WstmOvHEwRS02v9tTv/ajout_utilisateurs_bureau.png" alt=""><figcaption></figcaption></figure>

Ajoutez les utilisateurs ou groupes autorisés, puis cliquez sur **OK**.

<figure><img src="https://content.gitbook.com/content/jlP9dfgnu6hj9gyZJG1g/blobs/O82oNey41BElTIOxvu2j/utilisateurs$.png" alt=""><figcaption></figcaption></figure>

### Désactiver le compte Invité

Windows Server 2012 R2 est livré avec un compte Invité activé par défaut. Désactivez-le pour empêcher les tentatives d'élévation de privilèges. Exécutez `compmgmt.msc` pour ouvrir la Gestion de l'ordinateur et désactiver le compte.

### Verrouiller les comptes après des échecs de connexion

Configurez une politique de verrouillage du compte (locale ou, de préférence, de domaine via la Console de gestion des stratégies de groupe) :

* `Configuration ordinateur` > `Paramètres Windows` > `Paramètres de sécurité` > `Stratégies de compte` > `Stratégie de verrouillage du compte`
* Définir **Seuil de verrouillage du compte** à **5** connexions invalides.
* Définissez la durée du verrouillage et la réinitialisation du compteur à **15 minutes** (valeur de référence typique).

{% hint style="info" %}
Nous recommandons de verrouiller le compte après 5 tentatives de connexion infructueuses.
{% endhint %}

### Appliquer une politique de mots de passe forts

Des mots de passe forts réduisent le risque d'attaques par force brute et par dictionnaire : utilisez des lettres majuscules et minuscules, des chiffres et des caractères spéciaux. Exécutez `gpedit.msc` pour ouvrir l'Éditeur de stratégie de groupe locale, puis accédez à `Configuration ordinateur` > `Paramètres Windows` > `Paramètres de sécurité` > `Stratégies de compte` > `Stratégie de mot de passe`.


---

# Agent Instructions
This documentation is published with GitBook. GitBook is the documentation platform designed so that both humans and AI agents can read, navigate, and reason over technical content effectively. Learn more at gitbook.com.

## Querying This Documentation
If you need additional information that is not directly available in this page, you can query the documentation by asking a question.

Perform an HTTP GET request on the following URL with the `ask` and `goal` query parameters:

```
GET https://docs.stoik.io/cyber-best-practices/fr/guides-de-remediation-des-vulnerabilites/how-to-resolve-rdp-service-exposure-from-the-internet.md?ask=<question>&goal=<user_goal>
```

`ask` is the immediate question: it should be specific, self-contained, and written in natural language.
`goal` is what the user is ultimately trying to achieve, the reason they need the answer. Sharing it helps GitBook give you a better, more relevant answer. A goal is most helpful when it describes the outcome the user wants rather than restating the question. For example, with `ask=how do I create an API token`, a goal like `automate deployments from our CI pipeline` lets GitBook tailor the answer to that use case.

The response will contain a direct answer to the question and relevant excerpts and sources from the documentation.

Use this mechanism when the answer is not explicitly present in the current page, you need clarification or additional context, or you want to retrieve related documentation sections.