Le plus grand risque réel de RDP est une simple exposition : les organisations publient le port 3389 sur internet par commodité, et ces points d'accès sont perpétuellement scannés, attaqués par force brute et par credential stuffing, faisant d'un RDP exposé un vecteur d'accès initial de premier plan pour les rançongiciels. L'analyse de l'exposition comporte deux volets : trouver les points d'accès exposés sur internet (directement ou via des moteurs de recherche comme Shodan), et évaluer la sécurité du transport, car un hôte utilisant l'ancienne sécurité RDP native ou un TLS faible est en outre ouvert à l'attaque de la machine du milieu et au déchiffrement de session, ce qui aggrave l'exposition déjà élevée aux identifiants et à la pré-authentification.
# find exposed RDP
nmap -p3389 --open <range>
# search-engine discovery: shodan "port:3389", masscan for breadth
# assess transport
nmap -p3389 --script rdp-enum-encryption,ssl-enum-ciphers <target>
Sous-thèmes#
- Exposition sur internet : trouver et évaluer un RDP exposé sur internet.
- TLS faible : sécurité RDP native et faiblesses TLS permettant le MITM.