Paramètres de protection des connexions web IIS

Activez la protection des connexions web IIS sur le serveur hébergeant IIS. Ces paramètres concernent l'authentification intégrée IIS : Basic, Digest et Windows (NTLM).

RdpGuard traite ces tentatives via le module Protection RDP, qui lit les échecs Windows portant l'ID 4625. Malgré son nom, le module traite aussi les événements d'authentification IIS. Il fonctionne avec HTTPS puisqu'il utilise le journal Sécurité de Windows sans déchiffrer le trafic.

Les échecs IIS doivent générer des événements 4625 contenant l'IP client sur le serveur RdpGuard. Les formulaires applicatifs, comme la connexion WordPress, ne sont pas automatiquement couverts, sauf s'ils génèrent ces événements Windows.

Installez RdpGuard sur le serveur IIS, puis vérifiez les paramètres suivants.

Configurez les paramètres d'audit recommandés. Activez Réussite et Échec pour Auditer l'ouverture de session afin que Windows enregistre les connexions.
Ouvrez le tableau de bord RdpGuard et cliquez sur RDP sous Protocoles surveillés. La protection RDP est activée par défaut.
Cliquez sur RDP pour ouvrir les paramètres de détection des connexions Windows.
Dans Paramètres RDP, vérifiez que Activer la protection RDP est coché. Après modification, cliquez sur Enregistrer.
Gardez la protection RDP activée pour détecter les échecs IIS enregistrés comme connexions Windows.
Vérifiez un échec IIS dans Observateur d'événements, Journaux Windows, Sécurité. Recherchez l'événement ID 4625 et vérifiez que Adresse du réseau source contient l'IP du client. Consultez la référence Microsoft de l'événement 4625.

Si l'événement manque, si l'adresse est vide ou si elle désigne le bouclage ou un proxy, RdpGuard ne peut pas identifier le client d'origine. Vérifiez l'authentification IIS et l'audit avant de vous fier à cette protection. Vérifiez aussi les exclusions RDP, qui s'appliquent également à ces événements IIS.

Pour régler le seuil d'échecs ou la durée de blocage, ouvrez Outils, Options, Général. Ces paramètres sont partagés avec les autres modules.

Par défaut, RdpGuard bloque tous les ports du serveur pour les IP bloquées. Si vous avez limité le blocage dans Paramètres de blocage avancés, incluez les ports de votre site. Bloquer seulement le port RDP 3389 laisse HTTP et HTTPS accessibles.