Protection RD Web Access contre la force brute

Remote Desktop Web Access (RD Web Access), anciennement TS Web Access, fournit un portail pour RemoteApp et les connexions Bureau à distance. Les utilisateurs y accèdent à leurs applications et bureaux publiés.

Si RD Web Access est activé, vous pouvez observer des échecs répétés dans le journal Sécurité de Windows :

Date and time        Event ID  Task   Keywords
4/3/2017 11:55:01    4625      Logon  Audit Failure
4/3/2017 11:54:59    4625      Logon  Audit Failure
4/3/2017 11:52:45    4625      Logon  Audit Failure
4/3/2017 11:51:17    4625      Logon  Audit Failure
4/3/2017 11:43:04    4625      Logon  Audit Failure
4/3/2017 11:43:00    4625      Logon  Audit Failure

Journal Sécurité de Windows : échecs répétés (événement 4625).

Un échec RD Web Access peut contenir ces détails :

An account failed to log on.

Subject:
  Security ID:         IIS APPPOOL\RDWeb
  Account Name:        RDWeb
  Account Domain:      IIS APPPOOL
  Logon ID:            0x3091c6d6

Logon Type:            3

Account For Which Logon Failed:
  Security ID:         NULL SID
  Account Name:        Administrator
  Account Domain:

Failure Information:
  Failure Reason:      Unknown user name or bad password.
  Status:              0xc000006d
  Sub Status:          0xc0000064

Process Information:
  Caller Process ID:   0x143c
  Caller Process Name: C:\Windows\System32\inetsrv\w3wp.exe

Exemple montrant le pool d'applications RDWeb et le processus de travail IIS.

Les journaux IIS peuvent aussi contenir des requêtes répétées vers la page de connexion :

Time      Client IP      Method URI                           Status
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:26  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200
11:02:27  176.62.100.189 POST   /RDWeb/Pages/en-US/login.aspx 200

Extraits IIS : requêtes POST répétées vers la page de connexion RD Web Access.

Ces requêtes, surtout avec des événements d'échec, peuvent indiquer une attaque de mots de passe. Une réponse HTTP 200 seule n'indique pas si la connexion a réussi ou échoué.

RdpGuard aide à protéger RD Web Access contre la force brute. Il surveille IIS et les événements de sécurité Windows pour détecter les connexions suspectes et bloquer automatiquement les IP attaquantes au seuil configuré.

Pour Windows et Windows Server 64 bits. Versions de Windows prises en charge.

Protection RD Web Access contre la force brute

Voir aussi