Le protocole de bureau à distance reste une cible privilégiée, car le port exposé 3389, les mots de passe faibles et la télémétrie de connexion bruyante facilitent la vie des robots et des acteurs peu qualifiés. Si vous demandez comment prévenir les attaques par force brute RDP, la réponse courte est de réduire l’exposition, d’augmenter la force d’authentification et de surveiller les journaux comme un faucon. Masquez le port 3389 derrière une passerelle VPN ou RD, appliquez l'authentification MFA à chaque point d'accès, activez l'authentification au niveau du réseau, définissez des politiques de verrouillage de compte entre 5 et 10 tentatives d'une durée de 15 à 30 minutes et surveillez en permanence les pics d'événement ID 4625. Les attaquants analysent, devinent et évoluent plus rapidement chaque année. Votre stratégie nécessite donc des contrôles concrets et non des vœux pieux.
TL;DR : liste de contrôle de protection rapide
- Masquez le port 3389 derrière un VPN ou une passerelle RD pour éliminer l'exposition publique
- Exiger une authentification multifacteur pour tous les points d'accès RDP
- Activer l'authentification au niveau du réseau (NLA) pour la vérification avant la session
- Définir le verrouillage du compte : 5 à 10 tentatives invalides, durée de 15 à 30 minutes, réinitialisation de 15 minutes
- Surveiller en permanence les ID d'événement Windows 4625 (échec) et 4624 (réussite)
- Utiliser la liste blanche d'adresses IP et le blocage géographique pour limiter l'accès à la source
- Maintenez une politique de mot de passe forte avec une longueur minimale de 14 caractères
Pourquoi les attaques RDP Brute Force réussissent
Open RDP est attrayant car il peut être trouvé par des analyses de masse en quelques minutes, il s'exécute souvent avec des droits d'administrateur local et un mot de passe faible peut conduire à un ransomware. Le port 3389 est exposé sur l’Internet public comme un accès publicitaire sur un panneau d’affichage, et les outils automatisés n’ont pas besoin d’expertise pour marteler les écrans de connexion. Les attaques par mot de passe se sont considérablement multipliées, avec Microsoft rapporte une augmentation de 74 % de 2021 à 2022 seulement. C'est pourquoi tout guide sur la prévention des attaques par force brute commence toujours par ne pas exposer 3389 sur l'Internet public, puis par ajouter des couches telles que MFA et des règles de verrouillage avant que quiconque n'atteigne l'écran de connexion.
Des campagnes récentes menées par des réseaux comme FDN3 à la mi-2025 ont montré à quelle vitesse la pulvérisation de mots de passe à grande échelle peut cibler les appareils SSL VPN et RDP sur des milliers de systèmes. Les attaques culminent pendant des périodes spécifiques où les équipes de sécurité sont les moins préparées, et le schéma se répète parce que les fondamentaux restent brisés. Des pics soudains d’échecs de connexion, des tentatives répétées sur de nombreux noms d’utilisateur et des adresses IP changeant de pays sont des signes révélateurs, mais au moment où vous les remarquez sans surveillance appropriée, les dégâts ont souvent commencé. Les enjeux sont élevés : Rapport d'enquête sur les violations de données 2025 de Verizon a trouvé des ransomwares présents dans 44 % de toutes les violations, RDP restant un point d’entrée privilégié pour ces attaques.
La détection moderne des points de terminaison peut regrouper les données RDP au niveau de la session, afin que les intervenants détectent plus tôt les modèles de pulvérisation et de prière. Mais la prévention l’emporte à chaque fois sur la détection, c’est pourquoi la section suivante se concentre sur les contrôles qui stoppent les attaques avant qu’elles ne se transforment en incidents.
Comment prévenir les attaques RDP Brute Force : méthodes de protection de base
Les gains les plus rapides proviennent de la réduction de l'exposition du réseau, de portes de connexion plus solides et de politiques Windows intégrées. Maîtriser comment prévenir les attaques par force brute RDP signifie mettre en œuvre une protection par force brute RDP qui combine toutes ces couches.
Fermez d’abord la porte ouverte : supprimez le public 3389
Cachez RDP derrière un VPN ou déployez la passerelle Bureau à distance sur le port 443 avec le cryptage TLS. Une courte liste d'autorisation pour les adresses IP connues ainsi qu'une passerelle surpassent à chaque fois la redirection de port brute. Cette décision réduit le bruit et réduit considérablement le volume de la tentative de mot de passe. Configurez votre pare-feu périmétrique pour bloquer l'accès direct au port 3389 depuis Internet, puis acheminez tout le trafic légitime via la passerelle sécurisée. Les attaquants ne peuvent pas forcer brutalement ce qu’ils ne peuvent atteindre.
Activer l'authentification multifacteur pour RDP
L’AMF résistant au spam push, comme les invites d’application avec correspondance de numéros ou clés matérielles, bloque la plupart des intrusions par mot de passe uniquement. Ajoutez MFA au niveau de la passerelle ou via un fournisseur RDP avec une intégration étroite des annuaires. Selon les recherches de Microsoft, plus de 99 % des comptes compromis n’ont pas activé MFA, ce qui vous dit tout sur l’importance de ce contrôle. Déployez-le via RD Gateway à l'aide de l'intégration de Network Policy Server avec Azure AD, ou utilisez des solutions tierces prenant en charge TOTP et les jetons matériels.
Exiger une authentification au niveau du réseau (NLA)
NLA force l'authentification avant le chargement d'un bureau complet, réduisant ainsi la consommation de ressources due aux sessions ayant échoué et réduisant la surface d'attaque. Associez NLA à TLS pour une transmission d’informations d’identification cryptée. Cela déplace la vérification au tout début du processus de connexion à l’aide du fournisseur de support de sécurité des informations d’identification (CredSSP). Selon une étude évaluée par des pairs, NLA peut réduire la latence RDP de 48 % lors d'attaques actives en empêchant les sessions non authentifiées de consommer les ressources du serveur. Activez-le via Propriétés système, onglet Distant, en sélectionnant « Autoriser les connexions uniquement à partir d'ordinateurs exécutant l'authentification au niveau du réseau ».
Appliquer des politiques de verrouillage de compte
Définissez des seuils raisonnables et des fenêtres de verrouillage afin que les robots ne puissent pas deviner éternellement. Il s’agit de méthodes classiques de prévention des attaques par force brute RDP, et elles fonctionnent toujours lorsqu’elles sont correctement configurées. Configurez via la politique de sécurité locale (secpol.msc) sous Stratégies de compte avec ces paramètres : un seuil de 5 à 10 tentatives non valides, une durée de verrouillage de 15 à 30 minutes et une réinitialisation du compteur après 15 minutes. Ces valeurs proviennent d'un consensus sur plusieurs références de sécurité 2025, y compris les recommandations de sécurité Windows et les cadres industriels. Équilibrez la sécurité et la charge du service d'assistance, car chaque compte verrouillé génère un ticket d'assistance.
Utiliser les listes autorisées et la géolocalisation
Limitez qui peut même frapper à la porte. Les blocages de pays, les blocages ASN et les courtes listes d'autorisation statiques réduisent le trafic à presque zéro dans de nombreuses configurations de petits bureaux. Configurez ces règles au niveau du pare-feu, en bloquant des régions géographiques entières avec lesquelles vous ne faites jamais affaire et en limitant l'accès à des plages IP spécifiques pour les travailleurs distants. Certains environnements vont plus loin en mettant en œuvre des contrôles d'accès basés sur le temps qui n'autorisent RDP que pendant les heures de bureau.
Renforcer les mots de passe et la rotation
Utilisez de longues phrases secrètes, des secrets uniques par administrateur et un gestionnaire de mots de passe. Il s’agit d’une protection RDP de base contre la force brute, mais trop de violations commencent encore ici. Définissez la longueur minimale du mot de passe sur 14 caractères, les exigences de complexité étant appliquées via la stratégie de groupe. Plus le mot de passe est long, plus il devient difficile pour les outils automatisés de déchiffrer les méthodes par force brute. Évitez la réutilisation des mots de passe sur différents comptes administratifs, car un identifiant compromis peut se répercuter sur l’ensemble de votre infrastructure.
Mettre à jour Windows et la pile RDP rapidement
Corrigez les failles RDP connues et lancez les mises à jour sur les serveurs et les clients. Les anciennes vulnérabilités apparaissent encore dans la nature, et les attaquants ciblent d’abord les systèmes non corrigés parce qu’ils sont plus simples. Mettez en œuvre un calendrier de mise à jour régulier en utilisant les références Windows Update, WSUS ou Intune pour garantir que votre infrastructure RDP reste à jour contre les exploits connus.
Collecter et alerter en cas d'échec de connexion
Transférez les journaux de sécurité Windows vers un SIEM, surveillez les ID d'événement 4625 et 4624 et alertez sur les volumes anormaux, les zones géographiques sources et les accès aux comptes de service. Apprendre à prévenir les attaques par force brute implique toujours de garder un œil sur les journaux, car la détection réactive limite les dommages en cas d'échec des contrôles préventifs. Configurez des alertes pour plus de 10 tentatives infructueuses à partir d'une seule adresse IP en une heure et surveillez les modèles de connexion de type 10 (interactif à distance) et de type 3 (réseau) qui indiquent une activité RDP.
Chacun de ces éléments réduit à lui seul le risque. Ensemble, ils forment des méthodes RDP de prévention des attaques par force brute qui résistent à une pression réelle.
| Méthode | Complexité de mise en œuvre | Où configurer | Avantage principal |
| Passerelle VPN/RD | Moyen | Pare-feu ou passerelle RD (port 443) | Élimine l'exposition au port public 3389 |
| Authentification multifacteur | Moyen | Passerelle, fournisseur d'identité ou module complémentaire RDP | Arrête les tentatives de connexion par mot de passe uniquement |
| Authentification au niveau du réseau | Faible | Propriétés système → Distant → Case à cocher NLA | Authentification avant création de session |
| Politique de verrouillage de compte | Faible | secpol.msc → Account Policies → Account Lockout | Limite la recherche infinie de mots de passe |
| Surveillance du journal des événements | Moyen | Observateur d'événements SIEM/EDR ou Windows | Détection précoce des modèles d'attaque |
| Liste d'autorisation IP/Géo-clôture | Faible | Règles de pare-feu ou politiques IPS/Geo | Restreint l'accès à la source de connexion |
| Politique de mot de passe forte | Faible | GPO de domaine ou politique de sécurité locale | Augmente la difficulté de force brute |
| Mise à jour régulière | Faible | Windows Update, WSUS ou Intune | Ferme les vulnérabilités RDP connues |
Comment détecter les attaques RDP Brute Force actives
Avant les contrôles, gardez un œil sur les bases. Surveillez l'ID d'événement 4625 dans le journal de sécurité Windows pour détecter les tentatives de connexion infructueuses, car les pics indiquent des attaques actives. Lorsque vous voyez des dizaines ou des centaines d’événements 4625 provenant de la même adresse IP source en quelques minutes, vous observez une tentative de force brute en temps réel. La détection moderne recherche les connexions de type 3 (authentification réseau via NLA) suivies des connexions de type 10 (interactivité à distance), car le flux d'authentification a changé avec l'adoption de l'authentification au niveau du réseau.
Faites attention aux échecs de connexion sur plusieurs noms d'utilisateur à partir d'adresses IP uniques, ce qui signale une pulvérisation de mots de passe plutôt que des attaques ciblées. Les incohérences géographiques comptent également. Si vos utilisateurs travaillent en Amérique du Nord mais que vous constatez des tentatives de connexion en provenance d’Europe de l’Est ou d’Asie, c’est un signal d’alarme qui mérite d’être étudié immédiatement. Certains attaquants utilisent des proxys résidentiels pour cacher leur véritable emplacement, mais les modèles de volume et de timing révèlent toujours leur présence.
Transférez ces événements vers un système de journalisation centralisé ou SIEM qui peut corréler l’activité sur plusieurs serveurs. Définissez des seuils d’alerte en fonction des modèles d’authentification normaux de votre environnement, car ce qui semble normal pour une grande entreprise peut être suspect pour une petite entreprise. L’objectif est d’apprendre à arrêter les attaques par force brute et leurs schémas avant qu’elles ne réussissent, et pas seulement à les documenter après que les dommages se soient produits.
Comment arrêter une attaque RDP Brute Force en cours
Si la surveillance déclenche une alerte en cas d’échecs répétés de connexion ou de pulvérisation d’informations d’identification, suivez les étapes dans l’ordre. Tout d’abord, limitez la source en bloquant l’adresse IP ou la plage au niveau du pare-feu périphérique. Si le volume est élevé, appliquez des limites de débit temporaires pour ralentir l'attaque pendant que vous enquêtez. N’attendez pas que les outils automatisés vous rattrapent lorsque vous pouvez voir l’attaque se produire en temps réel.
Deuxièmement, stabilisez l’identité en faisant expirer le mot de passe du compte ciblé et en vérifiant sa réutilisation sur d’autres services. Désactivez le compte si une compromission est suspectée, car empêcher l’accès vaut mieux nettoyer après une violation. Examinez les récentes connexions réussies pour ce compte afin de déterminer si l'attaquant est déjà entré avant que vous ne le remarquiez.
Troisièmement, validez les chemins d'accès en confirmant que RD Gateway ou VPN est requis pour l'accès, et supprimez toute redirection de port malveillante qui expose à nouveau 3389 à Internet. Certaines attaques réussissent parce que quelqu'un a ouvert une règle de pare-feu temporaire il y a des mois et a oublié de la fermer. Quatrièmement, recherchez les effets secondaires en examinant les journaux de session RDP, les nouveaux administrateurs locaux, les installations de services et les tâches planifiées. La télémétrie EDR aide à détecter les mouvements de persistance que les attaquants installent pendant de brèves fenêtres d'accès.
Enfin, ajustez les détections en ajoutant des règles pour les tempêtes d'échecs de connexion sur les comptes privilégiés et déclenchez l'émission de tickets pour le suivi afin que les leçons deviennent des leçons par défaut. Ces actions permettent de réduire la durée des incidents et démontrent exactement comment empêcher les attaques par force brute de causer des dommages une fois les alertes de détection déclenchées.
Stratégies avancées de protection contre les forces brutes RDP
Quelques étapes supplémentaires s'avèrent payantes, en particulier pour les charges de travail et les administrateurs connectés à Internet en déplacement. Définissez des seuils par IP sur votre passerelle RD ou votre pare-feu, et ajustez les signatures IPS qui correspondent aux inondations d'échecs de négociation RDP. Cela empêche les robots de vous marteler à la vitesse de la machine et donne aux alertes SOC plus de contexte pour le tri. La limitation du débit à la périphérie du réseau empêche les attaquants individuels de consommer toutes vos ressources d'authentification. Les principaux groupes de ransomwares, notamment Black Basta et RansomHub, ont adopté le forçage brutal RDP comme principale technique d'accès initial.
L'EDR moderne ajoute des métadonnées de session qui permettent de distinguer le travail d'administration des attaques par étapes, prenant ainsi en charge la recherche sur les hôtes associés. Ce contexte réduit le temps d'intervention lorsque les attaquants se déplacent latéralement dans votre environnement. La différence entre détecter une intrusion en quelques heures ou en quelques jours se résume souvent à disposer de la bonne télémétrie aux bons endroits.
Désactivez la redirection inutile des lecteurs, du presse-papiers et des imprimantes sur les hôtes à haut risque. La désactivation des fonctionnalités pratiques augmente les frictions pour les intrus qui tentent d'exfiltrer des données ou de déplacer des outils dans votre environnement. Associez-le aux principes du moindre privilège et à la séparation des administrateurs locaux afin que compromettre un compte ne remette pas tout. Il est plus facile d’arrêter les tentatives de force brute lorsque le mouvement latéral ralentit jusqu’à ramper.
L'obscurcissement des ports en modifiant le 3389 par défaut n'arrête pas les analyses déterminées, mais il supprime le bruit des robots qui n'atteignent que les ports par défaut. Si vous le modifiez, associez-le toujours au VPN, aux listes autorisées et au MFA, car l'obscurité à elle seule échoue contre les attaques ciblées. Sur les nouveaux serveurs Windows, confirmez les paramètres du Bureau à distance, NLA et les règles de pare-feu à partir d'un terminal élevé à l'aide de PowerShell ou CMD. Les tâches telles que l'activation de RDP via la ligne de commande restent propres et reproductibles une fois scriptées et révisées, liant ces étapes à votre processus de modification afin que la dérive soit détectée tôt.
L’hygiène RDP fait partie d’une histoire plus large d’accès à distance. Si vous gérez des systèmes via des navigateurs ou des applications tierces, auditez-les également :Risque de sécurité pour le Bureau à distance Chrome, par exemple, peut générer autant de bruit de journal que le 3389 exposé. Une bonne hygiène dans tous les outils maintient une protection contre la force brute RDP forte à tous les niveaux.
Conclusion
Vous disposez désormais d’une réponse claire et complexe à la question « comment empêcher les attaques par force brute RDP ? » Maintenez une faible exposition avec un VPN ou une passerelle, placez la barre plus haut avec les politiques MFA, NLA et de verrouillage, et surveillez de près les journaux d'authentification. Ces étapes constituent une prévention pratique des attaques par force brute qui fonctionne dans des environnements réels sous pression réelle, et pas seulement dans la documentation.
Si vous avez besoin d'un environnement propre pour tester ces contrôles ou d'un point de production avec une sécurité adéquate, vous pouvez acheter RDP auprès de fournisseurs qui incluent une connectivité rapide, un stockage NVMe pour des E/S rapides et une infrastructure de surveillance appropriée. Choisissez des centres de données qui correspondent à l'emplacement de votre équipe afin que la latence reste faible et assurez-vous que le fournisseur prend en charge les contrôles de sécurité dont vous avez besoin.
Besoin d'un bureau à distance ?
Serveurs RDP fiables et hautes performances avec une disponibilité de 99,95. Emportez votre ordinateur avec vous dans toutes les grandes villes des États-Unis, d'Europe et d'Asie.
Obtenez un serveur RDP
