Protéger le Bureau à distance des attaques par force brute

Tout serveur avec le Bureau à distance ouvert sur Internet reçoit des tentatives de connexion de bots quelques minutes après son démarrage. Ce n'est pas une attaque contre toi : ils testent des millions d'IP. Avec ces mesures, ils n'ont aucune chance.

1. Un mot de passe impossible à deviner

La première mesure et la plus efficace : 16 caractères ou plus, sans mots du dictionnaire, et que tu n'utilises nulle part ailleurs. Un gestionnaire de mots de passe te le génère et s'en souvient pour toi.

2. Regarde qui essaie

Les IP avec le plus de tentatives échouées sur les dernières 24 heures (PowerShell en administrateur) :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddDays(-1)} |
  ForEach-Object { (([xml]$_.ToXml()).Event.EventData.Data | Where-Object Name -eq 'IpAddress').'#text' } |
  Group-Object | Sort-Object Count -Descending | Select-Object -First 10 Count, Name

Si tu vois des centaines ou des milliers de tentatives, c'est normal sur un port 3389 ouvert. Ce qui compte, c'est qu'aucune ne réussisse.

3. Blocage après plusieurs échecs

net accounts /lockoutthreshold:10 /lockoutduration:15 /lockoutwindow:15

Après 10 tentatives échouées, le compte concerné est bloqué 15 minutes. Attention : sur Windows Server 2022, le compte intégré Administrator n'est pas bloqué par défaut (pour que tu ne te retrouves jamais enfermé dehors), donc cela protège surtout les autres utilisateurs. C'est pour ça que le mot de passe du point 1 est ce qui compte le plus.

4. Si tu as une IP fixe, ne laisse entrer que la tienne

C'est la mesure la plus forte : le Bureau à distance ne répond plus qu'à ta connexion.

# Remplace 198.51.100.7 par ton IP publique (trouve-la sur n'importe quel site « quelle est mon IP »)
Get-NetFirewallRule -DisplayGroup "Remote Desktop" | Set-NetFirewallRule -RemoteAddress 198.51.100.7

Si tu as changé le port et créé de nouvelles règles, applique-leur la même chose avec Set-NetFirewallRule -DisplayName "Bureau à distance TCP 50000" -RemoteAddress 198.51.100.7. Et si l'IP de chez toi change, tu te retrouveras dehors : entre par la console VNC et rouvre l'accès avec -RemoteAddress Any.

5. Change le port

Déplacer le Bureau à distance sur un autre port supprime la plupart des tentatives automatiques. On l'explique dans changer le port du Bureau à distance.

Ce qu'il ne faut pas faire

Ne renomme pas le compte Administrator : le panel l'utilise pour réinitialiser le mot de passe.
Ne désactive pas le NLA (l'authentification au niveau du réseau) : il est activé et stoppe beaucoup d'attaques avant qu'elles n'atteignent l'écran de connexion.
Ne partage pas ton utilisateur : crée-en un pour chaque personne.