Sécuriser les accès RDP : réduire les risques d’intrusion sur les serveurs Windows

Le Bureau à distance (RDP) est pratique : il permet d’administrer un serveur ou de travailler sur son poste depuis n’importe où. C’est aussi l’une des portes d’entrée préférées des groupes de rançongiciel, qui balaient Internet en permanence à la recherche de serveurs RDP exposés et testent des millions de mots de passe. En 2026, une autre forme d’attaque s’est développée : les fichiers .rdp piégés envoyés par e-mail, au point que Microsoft a modifié Windows en avril pour avertir les utilisateurs. Voici comment réduire réellement le risque.

L’essentiel en 30 secondes

• N’exposez jamais le port RDP (3389) directement sur Internet, même sur un port « caché ».
• Accès distant via un VPN ou une passerelle Bureau à distance, avec authentification multifacteur.
• Activez l’authentification au niveau du réseau (NLA), limitez les comptes autorisés et le verrouillage après échecs.
• Bloquez les pièces jointes .rdp dans la messagerie et installez les mises à jour Windows d’avril 2026 ou ultérieures.
• Surveillez les connexions : échecs en rafale, connexions RDP réussies depuis une source inhabituelle.

Pourquoi RDP est autant visé

Le rapport Active Adversary 2026 de Sophos montre que l’attaque par force brute représentait 15,6 % des accès initiaux, presque autant que l’exploitation de vulnérabilités (16 %), et que l’absence d’authentification multifacteur était relevée dans 59 % des incidents. Un serveur RDP exposé avec un compte au mot de passe faible est une invitation : l’attaquant arrive directement sur une session Windows interactive, à l’intérieur du réseau.

Les fichiers .rdp piégés

Un fichier .rdp peut être préconfiguré pour connecter la victime à un serveur contrôlé par l’attaquant en partageant ses lecteurs locaux, son presse-papiers, voire ses cartes à puce ou Windows Hello. Le groupe APT29, lié au renseignement russe, a utilisé cette technique dans des campagnes d’hameçonnage pour voler des données et des identifiants.

Depuis les mises à jour cumulatives d’avril 2026 (KB5082200 pour Windows 10, KB5083769 et KB5082052 pour Windows 11), l’ouverture d’un fichier .rdp affiche un avertissement indiquant si le fichier est signé, l’adresse du serveur distant et la liste des redirections, toutes désactivées par défaut. Un fichier non signé est présenté comme « connexion distante inconnue ». Microsoft recommande fortement de ne pas désactiver cette protection.

Côté messagerie, ajoutez l’extension .rdp à la liste des pièces jointes bloquées : un utilisateur n’a quasiment jamais besoin d’en recevoir.

Architecture recommandée

Durcir les serveurs et postes

Authentification au niveau du réseau (NLA)

NLA impose l’authentification avant l’ouverture de la session graphique, ce qui réduit la surface d’attaque. Vérification :

# 1 = NLA activée
(Get-CimInstance -Namespace root/cimv2/TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-tcp'").UserAuthenticationRequired

Limiter qui peut se connecter et d’où

# Restreindre les règles du pare-feu Windows « Bureau à distance » au réseau d'administration
Get-NetFirewallRule -Group "@FirewallAPI.dll,-28752" | Set-NetFirewallRule -RemoteAddress 10.10.50.0/24

# Lister les membres autorisés à se connecter
Get-LocalGroupMember -SID S-1-5-32-555

Le groupe « Utilisateurs du Bureau à distance » (SID S-1-5-32-555) doit être aussi restreint que possible.

Autres réglages par GPO

• Stratégie de verrouillage de compte (par exemple 10 échecs, verrouillage 15 minutes).
• Désactivation des redirections inutiles (lecteurs, presse-papiers) sur les serveurs sensibles.
• Délais d’inactivité et fermeture des sessions déconnectées.
• Remote Credential Guard ou mode Restricted Admin pour les administrateurs, afin que leurs identifiants ne restent pas sur le serveur cible.
• Mot de passe administrateur local unique par machine avec Windows LAPS.

Surveiller

• Événement 4625 en rafale : force brute ou pulvérisation de mots de passe.
• Événement 4624 de type 10 et 1149 : connexion RDP réussie, à comparer avec les habitudes.
• Connexions RDP entre postes de travail : rarement légitimes, souvent signe de mouvement latéral (voir mouvements latéraux dans l’Active Directory).

Le détail des événements est présenté dans les journaux Windows à surveiller.

Questions fréquentes

Comment savoir si mon RDP est exposé sur Internet ?

Vérifiez les redirections de port de votre box ou pare-feu, et testez depuis l’extérieur votre adresse publique sur le port 3389 (et les ports que vous auriez pu rediriger). Un prestataire peut aussi réaliser un scan externe.

Changer le port 3389 suffit-il ?

Non. Cela réduit le bruit dans les journaux mais n’arrête pas un attaquant qui balaie tous les ports.

Le message d’avertissement des fichiers .rdp gêne nos utilisateurs : peut-on le retirer ?

C’est techniquement possible mais déconseillé. Mieux vaut signer vos fichiers .rdp internes avec un certificat de confiance : l’éditeur vérifié est alors affiché.

Et les logiciels de prise en main à distance ?

Ils posent des questions similaires : comptes avec MFA, liste blanche d’outils autorisés, et détection des outils non approuvés, très prisés des attaquants.

Sources

• BleepingComputer, protections Windows contre les fichiers Bureau à distance malveillants, 14 avril 2026.
• Microsoft Learn, comprendre les avertissements de sécurité du Bureau à distance.
• Sophos, Active Adversary Report 2026.

Besoin d’un accompagnement ?

MPCÂBLE Solutions Informatiques (MPCSI) accompagne particuliers, entreprises, associations et collectivités depuis Gaudiès, en Ariège : sur site en Occitanie, principalement dans un rayon de 40 km (Pamiers, Foix, Mirepoix, Saverdun, Castelnaudary), et à distance partout en France. Nous sécurisons vos accès distants dans le cadre de notre infogérance. Demandez un devis gratuit ou appelez le 05 32 42 99 98.