Un serveur Windows RDP est un outil puissant et une cible attrayante. Des robots scannent Internet en permanence à la recherche de ports de bureau à distance ouverts. Ces étapes prennent une dizaine de minutes et éliminent l'essentiel du risque.
1. Modifier la configuration du compte Administrator
- Définissez un mot de passe long et unique (16 caractères ou plus).
- Créez un utilisateur nominatif normal pour le travail quotidien et renommez ou désactivez le compte Administrator intégré lorsque c'est possible.
- Utilisez un gestionnaire de mots de passe. Ne réutilisez jamais un mot de passe d'un autre site.
2. Activer l'authentification au niveau du réseau (NLA)
Ouvrez Propriétés système, Utilisation à distance et assurez-vous que « Autoriser uniquement les connexions provenant d'ordinateurs exécutant le Bureau à distance avec authentification au niveau du réseau » est coché. La NLA oblige le client à s'authentifier avant la création d'une session complète, ce qui bloque toute une catégorie d'attaques.
3. Limiter qui peut se connecter
L'étape la plus efficace est une règle de pare-feu qui n'autorise le port 3389 que depuis votre propre adresse IP.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowRemplacez l'adresse d'exemple par la vôtre et désactivez la règle générale par défaut « Bureau à distance - Mode utilisateur (TCP-In) ». Si votre IP change souvent, utilisez un VPN à adresse fixe et n'autorisez que celle-ci.
4. Empêcher les tentatives de devinette de mots de passe
Définissez une stratégie de verrouillage de compte : Stratégie de sécurité locale, Stratégies de compte, Stratégie de verrouillage du compte. Verrouiller un compte pendant 15 minutes après 5 échecs rend les attaques par force brute impraticables.
5. Garder Windows à jour
Installez rapidement les mises à jour, surtout pour les services Bureau à distance. Plusieurs des pires failles RDP ont été corrigées par des mises à jour mensuelles bien avant que les attaquants ne les exploitent largement.
6. Facultatif : changer le port
Déplacer le RDP hors du port 3389 réduit le bruit dans les journaux causé par les robots occasionnels, mais n'arrête pas un scanner déterminé. Considérez cela comme un petit plus, jamais comme un remplacement des étapes ci-dessus. Si vous le changez, pensez à ouvrir le nouveau port dans le pare-feu.
7. Vérifier vos journaux
Ouvrez l'Observateur d'événements, Journaux Windows, Sécurité, et cherchez l'ID d'événement 4625 (échec d'ouverture de session). Des centaines d'échecs depuis une même adresse signifient que quelqu'un essaie de deviner. Bloquez cette adresse et revoyez l'étape 3.
Bonnes habitudes
- Ne naviguez pas sur le web et n'ouvrez pas de pièces jointes d'e-mails sur un serveur dont vous dépendez.
- Gardez Defender activé et à jour.
- Déconnectez-vous (ne vous contentez pas de fermer la fenêtre) lorsque vous avez terminé, et fermez les sessions inutilisées.
- Sauvegardez les fichiers importants en dehors du serveur.