Bureau à distance (RDP) et administration à distance sécurisée

Le Bureau à distance permet d'ouvrir une session graphique sur un serveur ou un poste Windows depuis une autre machine, avec le protocole RDP (Remote Desktop Protocol, port TCP et UDP 3389). Il sert aux administrateurs pour gérer les serveurs, et aux utilisateurs pour travailler sur des applications installées sur un serveur, avec les Services Bureau à distance (RDS). C'est aussi l'une des portes d'entrée préférées des attaquants. Ce chapitre montre comment activer et sécuriser RDP, ce que sont les Services Bureau à distance, puis compare les autres moyens d'administration à distance et la façon de les organiser.

Deux usages, deux licences

Activer le Bureau à distance d'administration

Dans le Gestionnaire de serveur (Serveur local > Bureau à distance), dans sconfig (option Bureau à distance), ou en PowerShell :

# Autoriser les connexions Bureau à distance
Set-ItemProperty -Path "HKLM:\System\CurrentControlSet\Control\Terminal Server" -Name "fDenyTSConnections" -Value 0

# Ouvrir les règles du pare-feu du groupe « Bureau à distance » (désigné par son identifiant, indépendant de la langue)
Enable-NetFirewallRule -Group "@FirewallAPI.dll,-28752"

# Vérifier que l'authentification au niveau du réseau (NLA) est exigée (1 = oui)
(Get-CimInstance -Namespace root\cimv2\TerminalServices -ClassName Win32_TSGeneralSetting -Filter "TerminalName='RDP-Tcp'").UserAuthenticationRequired

Peuvent se connecter : les membres du groupe local Administrateurs et ceux du groupe local Utilisateurs du Bureau à distance. Pour un serveur, on ne met dans ce second groupe qu'un groupe global d'administrateurs du bon tier, jamais Utilisateurs du domaine (modèle en tiers).

L'authentification au niveau du réseau (NLA) oblige le client à s'authentifier avant que le serveur n'ouvre une session graphique. Sans elle, n'importe qui peut afficher l'écran d'ouverture de session du serveur, ce qui consomme ses ressources et expose davantage le service. Elle est exigée par défaut ; ne la désactive pas.

Sécuriser RDP

Les mesures, de la plus importante à la plus fine :

1. Passer par un intermédiaire : un VPN avec authentification multifacteur (cours Cybersécurité des infrastructures), ou une passerelle des services Bureau à distance (RD Gateway), qui encapsule RDP dans HTTPS (port 443), authentifie l'utilisateur avant de le laisser passer et peut exiger un second facteur.
2. Filtrer : le pare-feu des serveurs n'accepte RDP que depuis le réseau d'administration ou le bastion (chapitre 13).
3. Exiger NLA et un verrouillage des comptes après quelques échecs.
4. Utiliser un certificat délivré par l'autorité de certification de l'entreprise (chapitre 16), pour que le client vérifie qu'il parle bien au bon serveur au lieu d'accepter un avertissement à chaque connexion.
5. Ne pas exposer ses identifiants sur le serveur distant. Par défaut, une connexion RDP envoie le mot de passe au serveur, qui le garde en mémoire le temps de la session : si ce serveur est compromis, les identifiants de l'administrateur le sont aussi. Le mode d'administration restreint (mstsc /restrictedAdmin) et Remote Credential Guard (mstsc /remoteGuard) évitent cet envoi : l'authentification se fait sans laisser d'identifiants réutilisables sur le serveur.
6. Ne pas enregistrer de mot de passe dans le client Bureau à distance des postes, et interdire par GPO l'enregistrement des mots de passe (Modèles d'administration > Composants Windows > Services Bureau à distance > Client Connexion Bureau à distance > Ne pas autoriser l'enregistrement des mots de passe).
7. Fermer les sessions abandonnées par GPO (limites de temps des sessions déconnectées et inactives).

Dans le sujet de l'écrit de cybersécurité 2026, des ordinateurs portables de responsables se connectaient en Bureau à distance directement à un serveur du siège, et un mot de passe d'administrateur était enregistré sur l'un d'eux : deux éléments qui avaient pu faciliter l'attaque. C'est exactement ce que ces mesures évitent (chapitre E7 SISR).

Tracer les connexions. Une connexion Bureau à distance réussie laisse un événement 4624 de type 10 dans le journal Sécurité du serveur, et des événements dans les journaux TerminalServices-RemoteConnectionManager/Operational (1149, authentification réussie, avec l'adresse source) et TerminalServices-LocalSessionManager/Operational (21 ouverture de session, 24 déconnexion, 25 reconnexion). Ce sont eux qu'on collecte par WEF (chapitre 14).

Les Services Bureau à distance

Les Services Bureau à distance (RDS) permettent à des utilisateurs de travailler sur un serveur : ils ouvrent une session sur un hôte de session et y utilisent un bureau complet ou seulement des applications (RemoteApp), qui s'affichent sur leur poste comme des applications locales. Usages : un logiciel métier lourd centralisé, des agences équipées de clients légers, le travail à distance sur des données qui ne doivent pas quitter le site.

Le déploiement se fait dans le Gestionnaire de serveur : Ajouter des rôles et fonctionnalités > Installation des services Bureau à distance, puis création d'une collection de sessions (le groupe d'hôtes et les utilisateurs autorisés). Les profils des utilisateurs se gèrent souvent avec des disques de profil ou FSLogix, et les réglages par GPO en mode de bouclage (chapitre 4), pour que la configuration dépende du serveur et non de l'utilisateur.

Dans le cloud, Microsoft propose des équivalents managés (Azure Virtual Desktop, Windows 365) qui évitent de gérer soi-même les hôtes et les licences RDS.

Les autres moyens d'administrer à distance

RDP n'est pas toujours le meilleur outil : ouvrir une session graphique complète pour redémarrer un service consomme des ressources, laisse une session ouverte et ne s'automatise pas.

# Activer le serveur SSH de Windows Server 2025 et le démarrer automatiquement
Set-Service -Name sshd -StartupType Automatic
Start-Service sshd
Get-NetFirewallRule -Name *OpenSSH* | Select-Object Name, Enabled

Organiser une administration à distance sécurisée

Les recommandations de l'ANSSI sur l'administration sécurisée se résument en quelques principes, détaillés dans le chapitre Administration sécurisée du cours Cybersécurité des infrastructures :

• un réseau d'administration séparé (un VLAN dédié), seul autorisé à joindre les interfaces d'administration des serveurs et des équipements ;
• des postes d'administration dédiés, ou un bastion par lequel passent toutes les connexions d'administration, qui authentifie fortement et enregistre les sessions ;
• des comptes d'administration nominatifs, distincts des comptes de bureautique, séparés par tier ;
• l'authentification multifacteur pour tout accès d'administration depuis l'extérieur ;
• la journalisation de toutes les connexions d'administration, centralisée.

Chez Sorbier, cela donne : les serveurs n'acceptent RDP, WinRM et SSH que depuis le VLAN d'administration ; les techniciens s'y connectent depuis leur poste d'administration, avec leur compte adm1- ou adm2- ; aucun accès d'administration n'est ouvert depuis Internet, et le prestataire de l'application de gestion passe par le VPN avec un compte nominatif, activé seulement pendant ses interventions.

Exercices