Se protéger contre le détournement des sessions RDP sous Windows 11
IntroductionLe RDP (Remote Desktop Protocol) est largement utilisé pour l’administration à distance des postes Windows. Lorsqu’il est mal sécurisé, un attaquant peut détourner une session RDP existante, prendre le contrôle d’un poste sans authentification supplémentaire ou injecter du code dans une session active. Ces attaques exploitent des failles de configuration, des jetons d’authentification persistants ou l’absence de journalisation. Ce tutoriel présente les meilleures pratiques pour sécuriser les connexions RDP sous Windows 11.
Prérequis• Connaissance de la configuration réseau et de la gestion des utilisateurs
• Accès administrateur au poste ou au contrôleur de domaine
• Outils recommandés : Gpedit.msc, PowerShell, Sysmon, Defender for Endpoint
Niveau de difficulté• Étape #1 : Restreindre l’accès RDP aux utilisateurs autorisés
• Étape #2 : Appliquer une stratégie d’authentification renforcée
• Étape #3 : Configurer le timeout et la déconnexion des sessions inactives
• Étape #4 : Surveiller les connexions RDP suspectes
• Étape #5 : Appliquer une isolation réseau et un contrôle par pare-feu
Les Avantages• Étape #1 : Réduction de la surface d’attaque
• Étape #2 : Protection contre les interceptions d’identifiants
• Étape #3 : Limitation de la persistance des sessions RDP
• Étape #4 : Visibilité sur les accès distants en temps réel
• Étape #5 : Blocage de l’accès externe non autorisé
Les Inconvénients• Étape #1 : Requiert une gestion stricte des groupes d’accès
• Étape #2 : Incompatibilité possible avec des clients anciens
• Étape #3 : Interruption possible d’activités légitimes si mal configurée
• Étape #4 : Surveillance manuelle si non automatisée
• Étape #5 : Nécessite des compétences réseau avancées
Étape #1
Ouvrir Gpedit.msc
Aller à :
Code:
Configuration ordinateur > Paramètres Windows > Paramètres de sécurité > Stratégies locales > Attribution des droits utilisateur
Modifier :
Code:
Autoriser l’ouverture d’une session via Services Bureau à distance
Supprimer les utilisateurs non autorisés et limiter aux administrateurs désignés Étape #2 Activer l’authentification NLA (Network Level Authentication) Aller dans :
Code:
Paramètres système > Bureau à distance > Autoriser uniquement les connexions à l’aide de NLA
Code:
Configuration ordinateur > Modèles d’administration > Composants Windows > Services Bureau à distance > Hôte de session > Sécurité > Exiger NLA
Code:
Configuration utilisateur > Modèles d’administration > Composants Windows > Services Bureau à distance > Limiter la durée des sessions
Code:
Déconnecter la session après X minutes d’inactivité
Code:
Gpedit.msc > Paramètres Windows > Paramètres de sécurité > Stratégie d’audit > Connexions réussies/échouées
Code:
ID 3 : Connexion réseau
Code:
ID 10 : ProcessAccess (RDP hijack via tscon.exe)
Code:
tscon.exe
Code:
Pare-feu Windows > Règles de trafic entrant > Bloquer tout sauf les IP internes
Code:
netstat -anob | findstr :3389
AstuceUtilisez Remote Desktop Gateway avec double authentification pour sécuriser l’accès distant même en cas d’exposition du port 3389.
Mise en gardeLe simple fait de laisser une session RDP ouverte et inactive peut permettre son détournement à l’aide d’outils comme tscon.exe sans aucune authentification supplémentaire.
ConseilDésactivez le RDP par défaut sur les postes utilisateurs et utilisez-le uniquement dans des environnements administrés avec audit, journalisation et contrôle d’accès strict.
Solutions alternatives• secure rdp windows 11 group policy
• detect tscon rdp session hijack
• remote desktop gateway windows server
Références utiles• Microsoft – Services Bureau à distance
• Microsoft – Stratégies d’audit
• Microsoft – Pare-feu Windows avec sécurité avancée
ConclusionLe détournement des sessions RDP représente une menace critique dans les environnements Windows. En durcissant la configuration, en surveillant les accès et en limitant la disponibilité du protocole, vous renforcez efficacement la sécurité des connexions distantes sous Windows 11.
