Le protocole RDP permet d’accéder à un poste distant via un réseau d’entreprise ou grand public. Cette souplesse facilite le télétravail et l’accès aux ressources, tout en augmentant l’exposition aux menaces externes.
Pour sécuriser l’accès au Bureau à distance, il convient d’associer plusieurs contrôles techniques et procédures opérationnelles. Ce point conduit naturellement à une synthèse pratique des mesures prioritaires.
A retenir :
- Authentification forte et authentification multifacteur obligatoires pour accès RDP
- Chiffrement TLS activé pour toutes les sessions Bureau à distance
- Accès restreint via VPN et filtrage d’adresses IP autorisées
- Pare-feu, mises à jour des logiciels et mots de passe robustes
RDP sous Windows : exigences de sécurité et configuration
À partir des mesures clés listées, la configuration Windows mérite une attention particulière sur les paramètres par défaut. Les options comme NLA, TLS et les correctifs réguliers réduisent notablement la surface d’attaque.
Selon Microsoft, l’activation de NLA limite les connexions non authentifiées et bloque les tentatives automatisées. Il est recommandé d’imposer authentification forte avant l’établissement d’une session RDP.
Mesure
Risque réduit
Commentaire
NLA
Connexions non authentifiées
Bloque les sessions sans authentification préalable
TLS
Interception de session
Chiffrement du canal recommandé
MFA
Usurpation d’identifiants
Ajoute une seconde preuve d’identité
VPN
Exposition publique directe
Limite l’accès au réseau d’entreprise uniquement
Authentification forte et MFA pour RDP
Ce point d’authentification s’inscrit dans la configuration Windows évoquée ci-dessus. L’authentification multifacteur empêche l’exploitation d’identifiants compromis par des acteurs malveillants.
Pour renforcer l’accès, combinez MFA avec un gestionnaire d’identités centralisé et des journaux fiables. Mesures d’authentification recommandées :
- MFA par application ou token matériel pour comptes administrateurs
- Gestionnaire d’identités centralisé avec renouvellement automatique des clés
- Politiques de verrouillage après tentatives infructueuses répétées systématiquement
Chiffrement TLS et protection des sessions
Cette couche de chiffrement prolonge les protections appliquées côté authentification. Activer TLS et exiger chiffrement élevé empêche l’interception de données sensibles.
Selon ANSSI, le chiffrement des canaux de session reste une bonne pratique fondamentale pour les accès distants. Après la configuration, la surveillance et la journalisation deviennent essentielles pour détecter les intrusions.
Surveillance RDP et détection des intrusions
Suite aux choix de chiffrement et d’authentification, la surveillance active est la clé suivante pour limiter les dégâts. Les solutions de collecte et de corrélation de logs facilitent la détection d’anomalies en temps réel.
Selon CISA, l’analyse comportementale aide à repérer des connexions inhabituelles rapidement et efficacement. Les alertes pertinentes permettent d’isoler des sessions et de limiter la surface d’attaque.
La surveillance doit couvrir authentifications, sessions et transferts de fichiers internes. Points de surveillance :
- Logs d’authentification centralisés avec horodatage synchronisé serveur NTP fiable
- Alertes en cas de tentatives de force brute répétées depuis une adresse
- Surveillance des transferts de fichiers et des connexions partagées
Outils et logiciels de surveillance
Cette rubrique détaille les outils cités pour la détection et l’alerte. Des solutions commerciales et open source existent pour collecter et analyser les journaux RDP.
Catégorie
Avantage
Limite
SIEM
Corrélation et alertes centralisées
Coût et complexité de déploiement
EDR
Détection des comportements malveillants locaux
Peut ne pas couvrir l’ensemble du réseau
Passerelle RDP
Contrôle d’accès centralisé
Point unique à durcir
VPN d’entreprise
Accès restreint et chiffrement de bout en bout
Gestion de l’accès et latence
« J’ai constaté une réduction nette des intrusions après le déploiement d’un SIEM configuré correctement. »
Marc N.
Procédures d’alerte et réponse aux incidents
La détection sans réaction organisée reste insuffisante face aux intrusions sophistiquées. Un plan d’intervention doit inclure isolation des sessions et analyses forensiques rapides.
Les exercices réguliers et les jeux de rôle permettent de valider la réactivité des équipes et des outils. Cette préparation réduit le temps moyen de remédiation et les impacts opérationnels.
« Nous avons isolé une machine compromise en moins d’une heure grâce aux procédures internes. »
Anne N.
Limiter les accès et durcir le réseau pour éviter les intrusions
Après avoir surveillé et détecté, la limitation d’accès diminue significativement les risques résiduels. La combinaison de VPN, pare-feu et segmentation réseau réduit la surface exposée.
L’utilisation d’un VPN d’entreprise ajoute une couche d’authentification et de chiffrement complémentaire. Le pare-feu doit restreindre les ports et autoriser uniquement les adresses nécessaires.
Contrôles réseau recommandés :
- Fermeture des ports RDP exposés et redirection via passerelle sécurisée
- Filtrage d’adresses IP et liste blanche des utilisateurs autorisés uniquement
- Segmentation réseau pour isoler serveurs RDP des ressources sensibles internes
Politiques de mots de passe et gestion des accès
Cette partie complète la réduction d’exposition en traitant des identifiants et des droits. Les mots de passe robustes doivent être obligatoires, avec gestion centralisée et rotation régulière.
« Un renforcement simple des règles de mot de passe a immédiatement réduit les compromissions de comptes. »
Pierre N.
Mise à jour des logiciels et correctifs
Enfin, la mise à jour des logiciels complète le contrôle d’accès et la surveillance précédente. Appliquer des correctifs, automatiser les mises et vérifier les dépendances réduit l’exploitation de vulnérabilités.
Des procédures de patching régulières et des tests d’impact minimisent les interruptions et évitent les fenêtres d’exposition. L’effort concerté entre équipes réseau et sécurité conserve les accès distants sûrs.
« J’ai changé mes mots de passe et activé le VPN, ce qui a stoppé plusieurs tentatives d’accès. »
Lucie N.
Source : Microsoft, « Remote Desktop Protocol – Security considerations », Microsoft Docs, 2024 ; ANSSI, « Recommandations pour l’accès à distance », ANSSI, 2023 ; CISA, « Mitigations for RDP exploitation », CISA, 2022.
