Ce guide pas à pas vous permet de planifier et mettre en place une politique de sécurisation et durcissement de votre infrastructure RDS sous Windows Server 2012 R2. Plus de 30 paramètres (Hardening) de stratégies de groupe sont détaillés dans ce guide. Les options de sécurisation telles que NLA, Certificat SSL, chiffrement RDP y sont également traitées. De plus, je vous liste à travers cet eBook tous les outils (GUI & CLI) de protection du rôle RDS et vous montre comment les utiliser, et quand les utiliser. Enfin, vous y trouverez toutes les bonnes pratiques liées à RDS ainsi que mes retours d’expériences.
Le livre est en Français 😀 ::: La version Anglaise est en cours de rédaction…
Le format :: Broché :: est disponible sur Amazon.fr et Amazon.com, cliquez sur l’image ci-après pour en savoir plus :
Le format :: eBook [PDF] :: est disponible sur BecomeITExpert.com, cliquez sur l’image ci-après pour en savoir plus :
S’applique à : Windows Vista > Windows 10 | Windows Server 2008 > Windows Server 2016
Par défaut, une machine Windows (Client ou Server) sur laquelle les connexions Bureau à distance ont été activées /autorisées, écoute sur le port 3389 (TCP), ce dernier correspond au protocole RDP (Remote Desktop Protocole).
Pour le constater, ouvrez une Session (locale) sur une machine (Physique ou Virtuelle) ayant le RDP activé, lancez l’invite de commande (CMD.exe) en tant qu’Administrateur et saisissez NetStat -a, enfin notez l’existence du port d’écoute 3389
Protocole RDP : Vulnérabilité
L’utilisation du port par défaut (3389 :: TCP) présente plusieurs vulnérabilités au sein d’un S.I et offre aux Hackers la possibilité d’effectuer plusieurs types d’attaques, notamment :
Attaque par Brute-Force
Attaque par DoS (Denial of Service)
En effet, tous les hackers qui s’en prennent aux connexions RDP s’appuient sur le port 3389 pour provoquer un DoS ou brute-forcer une machine Windows.
A l’aide de n’importe quel Network Sniffer, un Hacker peut capturer les RDP Data et facilement localiser la(es) machine(s) écoutant sur le port TCP 3389.
Prenons l’exemple de la vulnérabilité MS12-020, celle-ci a été détectée dans le protocole RDP et permettant un déni de service, et ce via l’utilisation du port 3389.
Comme le montre la vidéo ci-après, à l’aide d’un simple outil de Hacking (MSF « MetaSploit Framework » fourni avec KALI Linux), vous pouvez provoquer un DoS, et rendre (en quelques secondes…) un serveur RDSH (Remote Desktop Session Host) ou une Machine d’Administration écoutant sur le port 3389 indisponible :
Recommendations
Il est fortement recommandé de changer le port RDP par défaut [TCP : 3389] et en définir un autre « Personnalisé ».
Vous pouvez utiliser un numéro de port situé entre 1025 et 65535
Dans l’exemple suivant, le port 9933 sera configuré.
HowTo : Changer le port RDP par défaut
Le port RDP par défaut peut être changé via :
Le Registre (BDR : Base De Registre)
Lancez l’outil RegEdit.exe (depuis le menu Démarré /Exécuté ou Welcome Screen)
Créez une nouvelle GPO ou éditez une GPO existante, naviguez ensuite jusqu’au : Configuration Ordinateur | Préférences | Paramètres Windows
Faites un clic-droit sur « Registre » et sélectionnez « Elements Registre »
Remplissez les champs comme suit :
Liez votre GPO aux OUs contenant les objets AD « Ordinateurs » correspondant à vos serveurs RDSH ou Poste d’Admin.
Enfin, lancez un GpUpdate.exe depuis un serveur sur lequel la GPO a été linkée et enjoy the change :).
Script PowerShell
Un script PowerShell a été développé (par mes soins :)) et uploadé sur la Gallery TechNet > Scripts Center.
Il vous permet de changer le numéro de port RDP par défaut en deux clics, il suffit de l’exécuter, renseigner le nouveau numéro de port RDP et valider le changement en cliquant sur la touche « Entrée » du clavier.
Je work actuellement sur outil GUI que j’ai nommé « RDP Port Configurator » basé sur le script PowerShell décrit ci-dessus.
Il sera disponible en téléchargement gratuit sur BecomeITExpert.com, so Keep in touch :).
L’outil RDP Port Configurator ressemble à l’image ci-après :
Note importante
Downtime
Tout d’abord, il faut noter que le changement de port RDP par défaut nécessite un redémarrage de votre machine. S’il s’agit d’un changement sur une ou plusieurs machines de production, pensez à planifier ce changement et surtout le downtime qui aura lieu lors du reboot de la machine.
Nouvelle syntaxe de connexion RDP
Quand vous utilisez un port autre que le 3389 pour les connexions Bureau à distance, vous devez le spécifier après l’adresse (IP ou Hostname) de l’ordinateur distant, dans notre cas la connexion bureau à distance se fait sur Nom_Serveur_RDS:9933
Cet article voit le jour suite à la demande d’un Follower :).
Sa question était la suivante :
Comment supprimer la partie « Sécurité » du portail RD Web Access ?
La partie « Sécurité » fait simplement référence aux deux options suivantes :
Ceci est un ordinateur public ou partagé
Ceci est un ordinateur privé
La capture d’écran suivante illustre ces deux options, par défaut affichées sur le portail RD Web Access:
Suivez les instructions suivantes pour supprimer tout le bloc « Sécurité » de votre Portail RDWA.
Note : si votre déploiement RDS comprend plusieurs serveurs RDWA, vous devez réaliser les opérations décrites ci-dessous sur chaque RD Web Access du déploiement.
Ouvrez une Session Windows sur le serveur RDWA
Installez Notepad++ (temporairement) pour faciliter la réalisation des opérations suivantes
Éditez (avec Notepad++) le fichier C:\Windows\Web\RDWeb\Pages\fr-FR\login.aspx
Note : si votre RDWA exécute WS2012 R2 en EN(glish), le fichier login.aspx est normalement placé dans C:\Windows\Web\RDWeb\Pages\en-US\login.aspx
Allez à la ligne 522 et ajoutez <!–
Allez ensuite à la ligne 596 et saisissez–>
Le but étant de marquer tout le bloc de texte allant de la ligne 523 >> 598 comme « Commentaire » et donc bypasser les options de sécurité.
Enregistrez les modifications et reconnectez-vous sur le Portail RDWA.
Constatez la disparition du bloc « Sécurité » :)) :
Joydeep Mukherjee (Senior Product Marketing Manager) et Scott Manchester 😀 (Principal Group Program Manager) vous présentent lors de cette session (vidéo) toutes les améliorations apportées à RDS Windows Server 2016 et vous expliquent comment cette nouvelle version peut aider vos clients à Builder une infrastructure Poste de travail virtuel (VDI) mais aussi vApps sécurisée, scalable et hautement disponible.
Blog de Hicham KADIRI | Just Another IT Guy 