Sécuriser l’accès RDP en entreprise : pourquoi ne jamais exposer le bureau à distance sur Internet

La réponse courte : un bureau à distance (RDP) ouvert directement sur Internet est l’une des portes d’entrée préférées des attaquants, et en particulier des groupes de rançongiciels. Le service est repéré automatiquement par des outils qui balaient Internet en permanence, puis attaqué par essais de mots de passe, par identifiants volés ou par exploitation de failles. La règle tient en une phrase : aucun port RDP ne doit être joignable depuis Internet. L’accès distant passe par un VPN ou un accès ZTNA avec double authentification, ou par une passerelle protégée, et le RDP n’est utilisé qu’à l’intérieur du réseau, restreint et surveillé.

Dans notre pratique d’infogérance à Casablanca, une redirection de port vers un serveur Windows, ajoutée un jour « pour dépanner » un télétravailleur ou un prestataire, fait partie des constats les plus fréquents lors d’un audit. Ce guide explique pourquoi elle est dangereuse, quelles alternatives mettre en place et comment durcir le RDP interne. Il s’appuie sur la documentation de Microsoft et sur le guide #StopRansomware de la CISA, l’agence américaine de cybersécurité.

Pourquoi un RDP exposé est si dangereux

Le protocole RDP permet de prendre la main sur un poste ou un serveur Windows comme si l’on était devant. C’est exactement ce que cherche un attaquant : une fois connecté, il dispose d’une session interactive à l’intérieur du réseau. La CISA rappelle dans son guide que les attaquants obtiennent souvent leur accès initial par des services distants exposés et mal sécurisés, puis se déplacent dans le réseau avec le client RDP de Windows.

Trois types d’attaque visent un RDP exposé :

Attaque	Comment elle fonctionne	Ce qui l’arrête
Force brute et pulvérisation de mots de passe	Des essais automatiques en grand nombre sur des comptes courants (administrateur, compta, scanner…)	Port fermé sur Internet, verrouillage de compte, MFA
Identifiants volés	Mots de passe récupérés par phishing, par un logiciel espion ou dans une fuite, puis réutilisés	MFA, mots de passe uniques, accès par VPN ou ZTNA
Exploitation de failles	Vulnérabilités du service Bureau à distance, parfois exploitables avant toute authentification	Correctifs rapides, NLA, service non exposé

Le scénario qui suit est malheureusement classique : connexion réussie sur un serveur, désactivation de l’antivirus, recherche des sauvegardes, puis chiffrement de tout ce qui est accessible, souvent la nuit ou le week-end. Nous le détaillons dans rançongiciel : 7 mesures pour une PME.

Changer le port 3389 ne suffit pas

Déplacer le RDP sur un port non standard est une fausse protection. Les outils de balayage reconnaissent le protocole quel que soit le port. Le changement réduit un peu le bruit dans les journaux, mais le serveur reste joignable et attaquable exactement de la même façon.

Les alternatives sûres pour travailler à distance

Il existe trois façons propres de donner un accès distant, à choisir selon votre infrastructure :

Solution	Principe	Points forts	Points d’attention
VPN d’entreprise (IPsec ou SSL)	L’utilisateur rejoint d’abord le réseau de l’entreprise de façon chiffrée, puis utilise le RDP en interne	S’appuie sur le pare-feu existant, MFA possible, bien connu	Donne souvent accès à tout le réseau si les règles ne sont pas restreintes ; le pare-feu doit être tenu à jour
Accès ZTNA	Chaque connexion est vérifiée (identité, MFA, état du poste) et limitée à l’application autorisée	Accès au strict nécessaire, contrôle de la conformité du poste	Demande une conception plus fine et des licences adaptées
Passerelle RD Gateway	Le client RDP passe par une passerelle web chiffrée en HTTPS, seule exposée sur Internet	Pas de client VPN, stratégies d’autorisation par utilisateur et par serveur	Le serveur de passerelle est exposé : correctifs et MFA indispensables

Microsoft présente la passerelle RD Gateway comme un moyen d’accéder aux ressources Bureau à distance depuis Internet par des connexions chiffrées, sans VPN, et recommande d’y installer un certificat émis par une autorité publique. Dans les PME que nous accompagnons, nous privilégions le plus souvent le VPN ou le ZTNA du pare-feu déjà en place, ce qui évite d’exposer un serveur Windows supplémentaire. Les différences entre ces approches sont détaillées dans notre guide sur le VPN d’entreprise pour le télétravail, IPsec ou ZTNA, et leur mise en œuvre sur Fortinet dans FortiClient VPN et ZTNA.

La MFA, quelle que soit la solution

Quelle que soit la porte d’entrée choisie, elle doit être protégée par une double authentification. La CISA recommande une MFA résistante au phishing pour tous les services, en particulier les VPN et les comptes qui accèdent aux systèmes critiques. Une solution comme WatchGuard AuthPoint peut ajouter un second facteur au VPN, à la passerelle RD Gateway et même à l’ouverture de session Windows en RDP, comme nous l’expliquons dans notre guide AuthPoint.

Durcir le RDP à l’intérieur du réseau

Fermer le port sur Internet est la première étape. La seconde consiste à limiter ce qu’un attaquant pourrait faire s’il entrait autrement, par exemple via un poste infecté. La CISA recommande d’auditer le réseau pour repérer les systèmes qui utilisent le RDP, de fermer les ports RDP inutilisés, d’appliquer un verrouillage de compte après un nombre défini d’échecs, d’imposer la MFA et de journaliser les connexions RDP.

Concrètement :

1. Désactiver le Bureau à distance là où il ne sert pas. Sur la plupart des postes utilisateurs, il n’a aucune utilité.
2. Exiger l’authentification au niveau du réseau (NLA). L’utilisateur doit s’authentifier avant l’ouverture de la session, ce qui réduit la surface exposée aux failles du service.
3. Restreindre qui peut se connecter. Seuls les comptes qui en ont besoin sont membres du groupe « Utilisateurs du Bureau à distance », et le droit « Interdire l’ouverture de session par les services Bureau à distance » est appliqué aux comptes sensibles qui ne doivent pas l’utiliser.
4. Filtrer d’où l’on peut se connecter. Le pare-feu Windows ou le pare-feu réseau n’autorise le port RDP que depuis les postes d’administration ou le réseau VPN.
5. Activer le verrouillage de compte. Depuis les mises à jour cumulatives d’octobre 2022, Windows permet aussi de verrouiller le compte Administrateur local, qui ne pouvait pas l’être auparavant. Microsoft recommande une base de 10 tentatives échouées en 10 minutes, avec un verrouillage de 10 minutes.
6. Utiliser des comptes administrateurs distincts et des mots de passe d’administrateur local uniques par machine, gérés par LAPS, comme décrit dans la gestion des comptes administrateurs.
7. Appliquer les correctifs rapidement. Les failles du service Bureau à distance font régulièrement l’objet de correctifs Microsoft ; notre méthode est présentée dans la gestion des correctifs en entreprise.
8. Journaliser et surveiller. Les connexions réussies et échouées (événements 4624 et 4625 du journal de sécurité, avec le type d’ouverture de session 10 pour le Bureau à distance) sont collectées et analysées, pour repérer une connexion à une heure inhabituelle ou une rafale d’échecs.

Ces réglages s’inscrivent dans le durcissement d’Active Directory, où la plupart se déploient par stratégie de groupe.

Vérifier si votre entreprise expose du RDP

Un contrôle rapide permet de savoir où vous en êtes :

• Règles NAT du pare-feu ou de la box : toute redirection vers le port 3389, ou vers l’adresse d’un serveur Windows, doit être identifiée et justifiée.
• Box opérateur et équipements secondaires : une deuxième connexion Internet, installée pour un service précis, porte parfois une redirection oubliée.
• Serveurs hébergés ou dans le cloud : une machine virtuelle louée chez un hébergeur a souvent le RDP ouvert par défaut ; un groupe de sécurité ou un pare-feu doit le restreindre.
• Accès des prestataires : logiciel métier, maintenance de l’ERP, éditeur de paie… Chacun doit avoir un accès nominatif, limité et protégé par MFA.
• Test externe : un scan de vos adresses IP publiques depuis l’extérieur confirme ce qui est réellement joignable.

Les erreurs les plus fréquentes

• Ouvrir le RDP « temporairement » pour un télétravailleur ou un prestataire, puis l’oublier.
• Changer le port et croire le problème réglé.
• Protéger le VPN par MFA mais laisser un serveur accessible en RDP direct par une autre voie.
• Utiliser le même mot de passe d’administrateur local sur tous les serveurs.
• Donner à un prestataire un compte partagé, actif en permanence.
• Ne jamais consulter les journaux de connexion.

Comment nous accompagnons les entreprises

Nous commençons par l’audit initial offert : redirections de ports, accès distants en place, comptes des prestataires, MFA et journalisation. Nous fermons ensuite les expositions inutiles et mettons en place un accès distant propre, VPN ou ZTNA, sur votre pare-feu, en tant que partenaire Fortinet et partenaire WatchGuard, avec une double authentification pour chaque utilisateur.

Dans le cadre de notre offre de cybersécurité des entreprises au Maroc, la supervision 24/7 surveille les connexions distantes et les échecs répétés, et un incident critique est pris en charge en moins de 15 minutes, à distance, avec intervention sur site depuis Casablanca si nécessaire. Demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.