Comment prévenir les attaques RDP (Remote Desktop Protocol) ?

RDP repose sur les normes de la famille de protocoles T-120. Il s’est fait connaître lorsque Microsoft a autorisé les utilisateurs à se connecter à d’autres ordinateurs et à les contrôler à distance sur un réseau. Il sécurise les communications réseau et donne accès aux postes de travail à distance.

Toutefois, RDP comporte des risques. Il peut être exploité pour accéder à des appareils sans autorisation. Depuis son lancement, Windows a connu 16 versions majeures. Les acteurs malveillants ont donc eu de nombreuses occasions de détourner RDP pour accéder à distance aux serveurs et appareils Windows. Ce guide vous explique comment prévenir les attaques RDP et rester protégé.

Qu’est-ce qu’une attaque RDP (Remote Desktop Protocol) ?

RDP est un protocole de communication développé par Microsoft pour contrôler à distance des postes de travail ou tout appareil équipé d’un système d’exploitation Microsoft. Les connexions à distance utilisent le port TCP (Transmission Control Protocol) 3389, principal point d’entrée de ces connexions. Une attaque RDP survient lorsque des acteurs malveillants compromettent ses canaux chiffrés et en prennent le contrôle.

Voici comment se déroulent les attaques RDP :

• Les attaquants commencent par analyser votre port RDP. Les appareils actifs qui y sont connectés deviennent des points d’entrée dans votre réseau. L’acteur malveillant peut lancer une attaque par force brute sur ce port et exploiter le grand nombre de connexions RDP.
• Après la compromission initiale, l’attaquant analyse l’ensemble du réseau et ses sous-réseaux pour étendre son accès. Il peut utiliser les connexions Windows Management Instrumentation™ pour atteindre plusieurs endpoints dans des environnements informatiques distribués. Il peut aussi utiliser des appels de procédure à distance pour déclencher diverses attaques.
• Une fois l’appareil compromis, l’attaquant en prend le contrôle. Depuis une interface de commande et de contrôle, il envoie des commandes à d’autres endpoints et réseaux de l’infrastructure. Il peut utiliser l’appareil compromis pour créer de nouvelles connexions RDP sur des ports non standard.
• À ce stade, l’attaquant peut se déplacer latéralement dans les réseaux et pénétrer plus profondément dans votre entreprise. Il peut obtenir des privilèges élevés, récupérer des données sensibles et prendre le contrôle de ressources stratégiques. Il peut également échapper à la détection par les outils de sécurité les plus récents de l’organisation.

Comment les cybercriminels exploitent-ils RDP ?

Les attaques RDP ciblent particulièrement les équipes réparties sur plusieurs sites et les prestataires externes. Détourner des ressources informatiques puissantes présente un intérêt considérable. RDP offre aussi une meilleure visibilité sur les sessions et les accès aux serveurs Windows.

À l’origine, RDP ne disposait pas des mesures de sécurité et de confidentialité actuelles. Un nom d’utilisateur et un mot de passe suffisaient à s’authentifier. RDP n’intégrait pas l’authentification multifacteur par défaut.

Comment détecter un accès RDP non autorisé ?

Voici les mesures à prendre pour détecter un accès RDP non autorisé :

• Examinez vos journaux RDP pour repérer les comportements inhabituels ou les activités malveillantes. Recherchez les tentatives de connexion infructueuses, les connexions fréquentes et celles provenant d’adresses IP inconnues. Ces signes peuvent indiquer qu’un pirate a tenté d’accéder au système.
• Analysez le trafic réseau à l’aide d’outils de surveillance comme SentinelOne. Repérez les anomalies et les schémas de trafic inhabituels. Vérifiez également si d’importants volumes de données sont envoyés vers certaines adresses IP ou en proviennent.
• Une hausse soudaine de l’activité sur le port 3389 peut signaler un problème. Enregistrez et surveillez votre trafic réseau, puis analysez-le pour repérer les tentatives d’accès non autorisées.

Bonnes pratiques pour prévenir les attaques RDP (plus de 10 mesures)

Suivez ces bonnes pratiques dans l’ordre. Leur mise en œuvre vous permettra de prévenir les attaques RDP :

• Créez des mots de passe très robustes en combinant caractères spéciaux, chiffres, lettres et symboles. Nous recommandons au moins 15 caractères. Utilisez un mot de passe différent pour chaque compte. Si vous avez du mal à tous les mémoriser et à les gérer, utilisez un coffre-fort de mots de passe.
• Installez automatiquement les mises à jour Microsoft sur tous vos logiciels clients et serveurs. Vérifiez que cette option est activée et que les mises à jour s’installent en arrière-plan, sans intervention manuelle. Traitez en priorité les vulnérabilités RDP pour lesquelles des exploits publics sont connus.
• Mettez en place l’authentification multifacteur et appliquez les dernières politiques de verrouillage des comptes pour contrer les attaques par force brute. Pour renforcer la sécurité, remplacez également le port RDP par défaut, 3389, par un autre port.
• Établissez une liste d’autorisation pour limiter les connexions à des hôtes de confiance précis. Nous recommandons de réserver l’accès au port Remote Desktop à certaines adresses IP vérifiées. Configurez le serveur pour qu’il refuse toute connexion provenant d’une adresse IP absente de cette liste. Il bloquera automatiquement les tentatives et processus malveillants.
• Construisez une architecture de sécurité réseau Zero Trust (ZTNA) et appliquez le principe du moindre privilège à tous les comptes. Vérifiez régulièrement que tous les ports RDP restent sécurisés.
• Limitez l’accès aux connexions RDP à l’aide de pare-feu. Ajoutez également la plage d’adresses du réseau privé virtuel de l’entreprise aux règles d’exception du pare-feu RDP. Activez l’authentification au niveau du réseau avant d’établir de nouvelles connexions RDP.
• Si vous utilisez des clients de bureau à distance sur des plateformes qui ne prennent pas en charge NLA, configurez les serveurs pour qu’ils acceptent les connexions sans NLA. Vérifiez vos paramètres de stratégie de groupe et rendez l’authentification obligatoire pour toutes les connexions à distance.
• Définissez aussi des politiques de verrouillage des comptes. Après un nombre donné de tentatives incorrectes, elles empêchent les pirates d’obtenir un accès non autorisé à l’aide d’outils automatisés de recherche de mots de passe. Vous pouvez fixer la limite à trois tentatives infructueuses et la durée du verrouillage à trois minutes.
• Utilisez des outils avancés de détection des menaces par l’IA et de protection contre les malwares. Configurez des analyses en arrière-plan et surveillez la sécurité des endpoints en continu. Vos appareils, réseaux et utilisateurs resteront ainsi sous surveillance. Vous renforcerez la protection contre les menaces internes et les attaques liées au Shadow IT.
• Formez vos collaborateurs à reconnaître les connexions RDP ayant échoué et les tentatives d'accès. Encouragez-les à signaler ce qu'ils constatent, anonymement si nécessaire, et favorisez une culture de transparence au travail. En impliquant activement vos collaborateurs, vous veillerez à ce que toute l'équipe soit sur la même longueur d'onde. Tous vos services doivent savoir prévenir les attaques RDP et connaître les étapes suivies par les attaquants pour accroître leur contrôle et élever leurs privilèges. La sécurité commence par la protection des utilisateurs de ces technologies, avant le recours aux outils d'automatisation et aux workflows de défense.

Comment répondre à une attaque RDP ?

Utilisez la plateforme SentinelOne Singularity XDR pour automatiser l’investigation des incidents et appliquer les bonnes pratiques des playbooks RDP. Votre équipe SOC pourra répondre plus rapidement. Voici les étapes à suivre si vous êtes victime d’une attaque RDP :

• Bloquez immédiatement le compte utilisateur compromis et l’adresse IP de l’attaquant dès leur découverte. Vous contiendrez la menace et pourrez l’isoler. Lancez une investigation ASN et examinez les activités de l’utilisateur. Utilisez le module XSOAR de SentinelOne pour détecter les campagnes liées à RDP.
• Singularity Threat Intelligence et Purple AI vous fournissent des insights plus détaillés sur l’adresse IP de l’attaquant. Isolez les endpoints compromis et récupérez les activités correspondant aux différentes étapes MITRE.  SentinelOne vous accompagne de l’enrichissement des données à l’investigation et à la réponse. Vous pouvez clôturer l’incident, mettre les informations à jour et les synchroniser avec XDR. Le tableau de bord et la console unifiés vous donnent accès à toutes les informations sur la gestion des utilisateurs internes et externes.
• Pour approfondir l’investigation, vous pouvez faire appel aux services de chasse aux menaces de SentinelOne. Vous découvrirez d’autres IOC (indicateurs de compromission) liés à l’adresse IP de l’attaquant ou à ses campagnes.
• Continuez à utiliser la plateforme SentinelOne pour contrer les attaques RDP par force brute et protéger les ressources stratégiques de votre organisation. Appliquez les meilleures mesures de cybersécurité et renforcez vos défenses cloud contre les menaces émergentes.

Exemples réels de cyberattaques fondées sur RDP

Le port 3389, utilisé par défaut par RDP, peut servir à lancer des attaques par interception. BlueKeep était l’une des vulnérabilités RDP les plus graves et portait officiellement l’identifiant CVE-2019-0708. Elle permettait l’exécution de code à distance (RCE) sans authentification et respectait un format précis. Elle était exploitable et s’est finalement propagée à d’autres machines du réseau. Les utilisateurs ne pouvaient rien faire, tandis que des acteurs malveillants compromettaient les systèmes en y accédant sans autorisation et en se déplaçant latéralement dans le réseau. Ils élevaient leurs privilèges et installaient des malwares, allant jusqu’à déployer des ransomwares.

Les attaquants peuvent rapidement repérer les ports RDP mal configurés et lancer des attaques à l’aide de moteurs d’exploration web comme Shodan. Ils peuvent mener des attaques par force brute, obtenir automatiquement un accès non autorisé et même lancer des attaques de l’homme du milieu (MitM). Des modules de malware comme Sodinokibi, GandCrab et Ryuk peuvent aussi intervenir dans les attaques RDP. Ce fut le cas lors de l’attaque par ransomware RobinHood subie par la ville de Baltimore.

Limitez les attaques RDP avec SentinelOne

SentinelOne bloque les connexions Remote Desktop Protocol, y compris les attaques suspectes de bureau à distance P2P. Ses capacités de sécurité des endpoints sécurisent l’accès à distance à un shell complet. Déployez l’agent SentinelOne pour surveiller toutes les applications et tous les fichiers, ainsi que les processus et connexions liés à RDP.

SentinelOne peut déployer automatiquement un accès à distance sur tous les appareils, y compris ceux liés au RDP.

Vous pouvez aussi utiliser SentinelOne pour effectuer des actions, comme mettre des fichiers en quarantaine et annuler les modifications non autorisées. SentinelOne peut détecter et bloquer les attaques RDP pair à pair qui utilisent des outils commerciaux prêts à l'emploi, comme TeamViewer ou VMC, pour le contrôle à distance.

Vous pouvez aussi détecter les vulnérabilités les plus récentes et vous en protéger, notamment la vulnérabilité BlueKey, connue pour cibler et exploiter les connexions RDP. SentinelOne offre des mesures de sécurité supplémentaires, comme des contrôles d'accès fondés sur des politiques. La plateforme utilise des mots de passe dédiés pour chiffrer chaque session et met également en place une authentification multifacteur.

SentinelOne peut exiger une authentification à deux facteurs avant d'autoriser l'accès et fournit des données d'audit détaillées.

SentinelOne peut aussi servir à déployer un accès à distance sur tous les appareils, y compris pour les processus et connexions liés au RDP.

L'agent et l'outil en ligne de commande de SentinelOne peuvent gérer ses agents. Ils peuvent vérifier leur état, exécuter des diagnostics, surveiller les endpoints et les protéger. SentinelOne s'intègre aussi à d'autres plateformes, comme SonicWall et NinjaOne, grâce à son application dédiée. La plateforme assure des connexions RDP fluides sur plusieurs plateformes et offre la meilleure sécurité intégrée boostée par l'IA.

Réservez une démo gratuite en direct.

Conclusion et appel à l'action

Les attaques RDP restent une menace pour les organisations de toutes tailles. Vous pouvez vous en protéger en suivant les bonnes pratiques de ce guide. Pour rester en sécurité, utilisez des mots de passe robustes, une authentification multifacteur et des mises à jour régulières. Surveillez le trafic réseau et les journaux RDP pour détecter rapidement les activités suspectes. Vous devez désactiver RDP lorsque vous ne l’utilisez pas et limiter les accès au moyen de pare-feu et de listes d’autorisation. Une solide posture de sécurité exige aussi des outils avancés et la formation de vos collaborateurs. SentinelOne offre une protection boostée par l’IA qui détecte et bloque automatiquement les menaces exploitant RDP, tout en vous donnant une visibilité et un contrôle complets sur votre environnement de bureau à distance.

Protégez votre entreprise dès aujourd'hui avec SentinelOne.

"