Faites-vous usage du Remote Desktop Protocol de Microsoft ? Si oui, que faire pour se prémunir d'attaques ?
Sophos Labs donne des pistes

Le , par Patrick Ruiz, Chroniqueur Actualités
Je suis une petite entreprise en quête d’assistance sur mon parc informatique. L’une des solutions qui s’offrent à moi est de le confier à un opérateur distant, ce, pour des raisons qui relèvent des aspects organisationnels de ma boîte. Pour l’atteinte de tels objectifs, l’univers Windows offre le protocole RDP. Vous avez dit RDP ? Oui, RDP à ne surtout pas confondre avec Ransomware Deployment Protocol (protocole de déploiement de rançongiciels) mais à développer comme Remote Desktop Protocol.

Une image vaut mieux que mille mots et avec celle qui suit, on est fixé sur l’usage qu’on peut faire de cette fonctionnalité offerte par le système d’exploitation Windows. C’est dire que depuis la pièce d’à côté, le quartier voisin ou un autre pays, le contractant peut se connecter à un PC du parc informatique de l’entreprise. Il dispose pour cela d’une large palette d’appareils via lesquels il peut agir sur le PC comme s’il était présent dans la pièce où ce dernier se trouve.



D’après les chercheurs de la firme de sécurité Sophos Labs, les attaques contre les entreprises qui activent le protocole sur leur parc informatique constituent l’une des nouvelles niches des cybercriminels. Ils rapportent avoir observé de récentes campagnes au rançongiciel orchestrées via le protocole RDP. Ci-dessous, la traditionnelle invite de demande de rançon d’une desdites campagnes. Plus intéressant, les chercheurs de la firme font état de ce que les cybercriminels derrière cette campagne ont engrangé l’équivalent de 60 000 dollars au moins.


Pour se prémunir de telles attaques dans le cas de connexions via le protocole RDP, les chercheurs recommandent entre autres l’usage de mots de passe de session robustes, l’utilisation de l’outil RDP en tandem avec une solution VPN dans le cas d’une connexion hors du réseau local de l’entreprise, l’utilisation de l’authentification à deux facteurs ou encore la désactivation du protocole RDP en cas de non-utilisation. Finalement, le problème que soulèvent les chercheurs de la firme de sécurité Sophos Labs n’est pas nouveau en soi. Au risque de se tromper, on peut affirmer que la véritable faille se trouve entre la chaise et le clavier.

Comment expliquer par exemple qu’un administrateur système choisisse un mot de passe de session que l’on peut aisément casser à l’aide d’un outil dédié ? Il vient donc qu’il s’agit de problèmes de configuration qu’il est d’ailleurs possible d’observer avec des outils similaires sur d’autres systèmes d’exploitation.

Source

Sophos Labs

Votre avis

Quelles autres recommandations d’usage faites-vous pour l’outil bureau à distance de Windows ?
Quelles alternatives proposez-vous pour assurer que le parc informatique d’une organisation ne soit mis en péril de la sorte ?


Vous avez aimé cette actualité ? Alors partagez-la avec vos amis en cliquant sur les boutons ci-dessous :


 Poster une réponse

Avatar de MikeRowSoft MikeRowSoft - Provisoirement toléré https://www.developpez.com
le 20/11/2017 à 13:22
J'ai souvent voulu m'en servir correctement pour dépanner ou aider à distance mes proches. principalement leurs PC Windows.

Mais trouver l'IP Internet et être sur que le port est ouvert une solution DynDNS et TinyVNC avant (serveur sur le poste distant en question). Et même là, il n'est pas sur de ne pas se tromper de PC... Donc Skype... Mais celui ci n'est pas au point... Donc Comme il y a qu'un seul port, autant être sûre qu'il y a qu'un seul PC pour ce port. Le partage de port par des PC ou applications une calamité voir même une faille de sécurité si des applications deviennent imprudente sans être forcé à le faire.

Le coup de l'imprimante réseau n'est pas loin, surtout d'un particulier à l'autre via Internet. Adieu le Fax...

L'application "serveur" ouvre le port du Modem-Routeur-Firewall sans aucun droit réseau... Cela est chez le particulier.
L'application Box des opérateurs, une insuffisance pour celui qui s'en souci un peu.
Avatar de vanquish vanquish - Membre éclairé https://www.developpez.com
le 20/11/2017 à 13:25
Sur un serveur, les tentatives de connexions étaient telles, que 20% de processeur était consommé pour gérer les refus de login.
Le mot de passe très solide, a heureusement empêché toute intrusion.

On a mis en place 2 mesures :

- Changement du port RDP
Ce n'est en aucun cas une garantie, mais dans la pratique cela règle le problème.

- installation d'un outil appelé RDP Guard (80$)
Après X échecs de tentatives de connexions depuis la même adresse IP, l'adresse est ajouté au firewall de Windows pour Y heures.
Cela apporte la garantie, que n'apporte pas la première mesure.
Il existe un produit alternatif à priori gratuit : RDP Defender
Mais RDP Guard, ne protège pas que le RDP (mais aussi FTP, SMTP, Web login etc.)
Avatar de joKED joKED - Membre averti https://www.developpez.com
le 20/11/2017 à 16:11
RDP pour de l'assistance pc ponctuelle ? Perso, non, pas pratique du tout (sécurisation, config de firewall/box/...).
Autant utiliser des outils tiers bien plus facile d'accès tels que teamviewer, logmein, anydesk, ou autres.

Après, niveau serveurs, RDP oui, si et seulement si :
- ne pas utiliser le port par défaut (3389)
- connexion en VPN ou (à défaut), n'autoriser que des ip (ou range d'ip) autorisés à se connecter
- utilisation d'un mot de passe fort pour l'user ayant accès au rdp, et ne donner des droits de login rdp strictement qu'à cet utilisateur
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 20/11/2017 à 17:32
RDP n'a plus sa place sur les serveurs. Simple.
Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 22/11/2017 à 6:39
Aeson, merci de ne pas raconter d'inepties.

RDP bien configuré et maitrisé a tout à fait sa place pour un accès à distance à une application métier par exemple.

Il est aussi possible de s'orienter vers des solutions tierces type Citrix. Cela change le vecteur d'attaque.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 22/11/2017 à 11:33
Aeson, merci de ne pas raconter d'inepties.
ce n'est absolument pas une ineptie coté serveur. D'ailleur Microsoft l'a enfin compris en enlevant RDP des prochaines version de Windows Server.... L'RDP ne montrera qu'une console.

Gerer des serveurs en RDP, c'est ca l'ineptie....
Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 22/11/2017 à 20:23
J'ai des serveurs en prod sur lesquels des connexions se font en RDP. Jamais eu de probs, et pourtant il y en a des attaques. Après je dis pas que c'est l'idéal.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 22/11/2017 à 21:11
Les ataques les plus dangereuse sont celles venant de l'interieur. Exampls TRES courant. Tu fais une connection RDP avec un compte Domain Admin (pour faire du support ou autres). Pedant ce temp ou si tu oublie de fermer ta session, un autre utilisateur se connecte en local admin. Un petit coup de MimiKatz et tes credentials Domain Admin sont volées. L'utilisateur vient donc de se donné les droits Domain Admin sur le reseauc et fait par definition ce qu'il veut.

Avatar de chrtophe chrtophe - Responsable Systèmes https://www.developpez.com
le 23/11/2017 à 7:43
Tu fais une connection RDP avec un compte Domain Admin
Jamais.
Avatar de Aeson Aeson - Nouveau Candidat au Club https://www.developpez.com
le 23/11/2017 à 11:55
Jamais.
Je te crois... Personne ne fait ca.. c'est bien connu
Contacter le responsable de la rubrique Accueil