Qu'est-ce qu'une attaque RDP et comment vous protéger contre elle?

Dire que la crise du COVID-19 nous a pris au dépourvu serait l'euphémisme de la décennie. Personne ne s'attendait à ce que l'épidémie soit aussi importante, et lorsque nous avons réalisé à quel point le problème était grave, une vague de terreur a résonné dans tous les pays et continents. Une véritable panique s'est installée et, ce qui n'est peut-être pas surprenant, les cybercriminels ont tenté (et, dans de nombreux cas, réussi) d'en profiter.

Pendant ce temps, les réglementations en matière de distanciation sociale imposées dans de nombreux pays ont fait en sorte que des milliers d'entreprises ont envoyé leurs employés travailler à domicile. Vous ne serez probablement pas trop surpris de découvrir que les cybercriminels ont également essayé d'exploiter cela.

Les cybercriminels attaquent RDP alors que le monde est coincé chez lui

La semaine dernière, des chercheurs de Kaspersky ont présenté une série de graphiques illustrant un autre changement apporté par la pandémie de COVID-19.

Il s'agit des attaques RDP et de leur ampleur depuis le début du verrouillage. Les chiffres varient d'un pays à l'autre, mais la tendance est aussi claire que la lumière du jour - les attaques contre le protocole RDP sont devenues beaucoup plus populaires depuis le début de la pandémie de coronavirus.

Cette nouvelle découverte ne sera pas trop un choc pour ceux d'entre vous qui savent ce qu'est le RDP. Ceux qui ne peuvent pas le découvrir maintenant.

Qu'est-ce que le RDP et pourquoi les cybercriminels l'adorent-ils autant?

RDP est l'abréviation de Remote Desktop Protocol. Il s'agit d'un protocole de communication d'application qui permet à un utilisateur de se connecter à un ordinateur ou un serveur Windows distant et d'utiliser l'interface graphique du système d'exploitation. Il a été développé par Microsoft et, par défaut, il utilise le port 3389. Comme vous l'avez peut-être deviné, une connexion RDP à un point de terminaison distant se produit après avoir entré un ensemble d'informations d'identification de connexion valides.

Le RDP existe depuis un certain temps, et les attaques contre lui sont presque aussi anciennes qu'elles ne le sont. Au fil des ans, les chercheurs en sécurité ont identifié un certain nombre de vulnérabilités et de nombreux outils de piratage exploitent les faiblesses. Cependant, la façon la plus courante de compromettre le RDP consiste à utiliser une humble attaque par force brute.

Les mauvaises habitudes de gestion des mots de passe des utilisateurs se répercutent également sur la sécurité de RDP. Armés de listes d'identifiants de connexion simples et prévisibles, les pirates peuvent facilement compromettre un grand nombre d'ordinateurs et de serveurs sur lesquels RDP fonctionne. L'attaque peut être simple, mais parce qu'elle donne aux cybercriminels un accès plus ou moins dégagé au point de terminaison compromis, le préjudice qui pourrait en résulter est énorme. Pour cette raison, il existe des marchés Web sombres dédiés au commerce des informations d'identification RDP compromises.

Les attaques contre les points d'extrémité compatibles RDP sont devenues plus populaires pendant la pandémie de COVID-19 pour plusieurs raisons évidentes. Bien que les employés aient été envoyés au travail à domicile, ils devaient toujours avoir accès aux ressources de l'entreprise via le réseau, et de nombreuses organisations ont décidé de l'établir via le protocole Remote Desktop. Comme vous pouvez le voir dans les graphiques de Kaspersky, les cybercriminels espèrent que la configuration RDP n'est pas particulièrement sécurisée dans certains cas, et malheureusement, ils peuvent bien avoir raison.

Comme nous l'avons déjà mentionné, historiquement, les administrateurs système ont fait des erreurs à gauche, à droite et au centre en ce qui concerne la configuration RDP, et cette fois, ils ont été forcés d'établir un environnement de travail pour de nombreux utilisateurs pressés, ce qui augmente encore la probabilité d'erreurs.

Comment se protéger contre une attaque RDP?

Pour la plupart, les attaques contre RDP sont de simples tentatives de force brute, et comme vous le savez probablement, le moyen le plus simple de vous protéger contre toute attaque par force brute est d'utiliser un mot de passe fort qui n'est réutilisé nulle part ailleurs. Cependant, RDP représente une plus grande surface d'attaque, c'est pourquoi les administrateurs système pourraient faire pire que de considérer une ou deux autres choses également.

Assurez-vous que toute personne utilisant le protocole a mis à jour son logiciel et si vous disposez d'un VPN d'entreprise, activez RDP uniquement via celui-ci. Utilisez l'authentification à deux facteurs lorsque cela est possible et essayez de ne pas utiliser la configuration par défaut du protocole. Cela n'arrêtera pas nécessairement les pirates, mais cela pourrait les ralentir, et souvent, c'est tout ce dont vous avez besoin. Enfin, si vous n'avez pas besoin de RDP, désactivez-le et fermez le port 3389.