Livres blancs

Découvrez comment remplacer Microsoft RD Gateway par une architecture RDP plus sécurisée, plus rapide et prête pour l'audit qui réduit l'exposition à Internet, sans toutefois entraîner de coûts de performance inutiles, de frictions opérationnelles et d'écarts de gouvernance.

Ce cas d'utilisation s'adresse aux organisations qui dépendent actuellement de Microsoft Remote Desktop Gateway (RD Gateway) pour fournir un accès au Protocole de Bureau à Distance (RDP), mais qui souhaitent un remplacement qui réduise la surface d'attaque, améliore la performance et simplifie la gouvernance.

Les principaux publics et environnements bénéficiaires incluent :

• PME qui utilisent Microsoft RD Gateway pour exposer RDP sur Internet, et souhaitent réduire la surface d'attaque externe.
• Fournisseurs de services gérés (MSP) qui ont besoin d'accéder de manière sécurisée et auditable au RDP dans de nombreux environnements clients sans maintenir de multiples VPN et des configurations de passerelle fragiles.
• Équipes IT et sécurité internes allégées cherchant à simplifier la gouvernance de l'accès à distance tout en appliquant l'A2F, les approbations JAT, et le moindre privilège sur les sessions RDP.
• Organisations dans des secteurs réglementés ou soumis à de lourds audits (finance, santé, secteur public, etc.) qui doivent produire des preuves par session pour l'accès administratif à distance.
• Environnements hybrides et prioritairement distants où les administrateurs, fournisseurs, et contractuels nécessitent un accès RDP rapide et fiable depuis l'extérieur du réseau d'entreprise sans exposer RDP ou surdépendre des VPN.

LE PROBLÈME

Il est largement établi que RDP ne doit jamais être exposé directement à Internet. Utiliser RD Gateway résout ce problème, mais introduit des problèmes difficiles à gérer ; surtout pour les équipes TI allégées dans les petites et moyennes entreprises (PME). Les problèmes et risques incluent :

• Exposition aux attaques par force brute et pulvérisation de mots de passe contre Active Directory. RD Gateway utilise l'authentification Windows (NTLM ou Kerberos) sur HTTP. Les passerelles exposées à Internet peuvent être abusées pour des tentatives de pulvérisation de mots de passe et d'attaques par force brute contre Active Directory si les contrôles ne sont pas strictement appliqués.
• Surcharge de performances due au TLS-dans-TLS. RD Gateway envoie le TLS du RDP à travers HTTPS, ce qui ajoute un emballage supplémentaire et peut dégrader l'expérience utilisateur par rapport aux approches plus directes et conscientes du protocole.
• Application de l'A2F difficile. Intégrer et appliquer de manière cohérente l'A2F sur RD Gateway nécessite souvent des composants tiers et des configurations fragiles, augmentant la charge de support et le risque de contournement.
• Gouvernance limitée au niveau de l'application. RD Gateway se concentre sur l'entrée réseau. Il ne répond pas nativement à qui est autorisé à accéder à quel serveur, sous quelle approbation, pour combien de temps, et avec quelles preuves, ce qui rend les audits et les enquêtes plus difficiles.

LA SOLUTION

Devolutions Gateway, combiné avec Devolutions Server et Remote Desktop Manager, offre un accès RDP sécurisé et Juste-à-Temps (JAT) — mais sans utiliser RD Gateway. Voici comment les éléments s'emboîtent harmonieusement :

• Devolutions Gateway achemine les connexions RDP à la périphérie de l'application. Il n'y a pas de tunnel à l'échelle du réseau. Seul le chemin RDP spécifique et approuvé est ouvert pour la durée de la session.
• Devolutions Server est le plan de contrôle pour l'identité, les politiques d'accès, les approbations, A2F, et la journalisation détaillée. La passerelle n'accepte que les demandes de connexion déjà autorisées par Devolutions Server.
• Remote Desktop Manager offre aux administrateurs un moyen simple et cohérent de lancer des sessions. L'injection d'identifiants garde les mots de passe hors de portée des utilisateurs tout en maintenant une expérience transparente.

Le tableau ci-dessous résume comment Devolutions Gateway + Devolutions Server + Remote Desktop Manager répond directement et résout chacun des défis spécifiques discutés précédemment :

Défi : RD Gateway peut être abusé pour des tentatives de pulvérisation de mots de passe et de force brute contre Active Directory car il utilise l'authentification Windows (NTLM/Kerberos) sur HTTP. Solution : Réduire l'exposition aux attaques d'authentification externe et contenir le périmètre d'impact. Devolutions Server applique l'authentification unique avec A2F et évalue le contrôle d'accès basé sur les rôles et les approbations avant qu'une connexion ne soit autorisée. Devolutions Gateway n'accepte que les demandes de session préautorisées et ouvre un chemin strictement vers l'hôte RDP approuvé pour la fenêtre autorisée.

Défi : La surcharge TLS-dans-TLS dans RD Gateway dégrade la performance et l'expérience utilisateur. Solution : RDP plus rapide et plus fiable sans tunnelisation HTTPS. Devolutions Gateway n'achemine que la session RDP en utilisant le TLS standard, évitant l'emballage TLS-dans-TLS et les tunnels en épingle (par exemple, lorsque le trafic d'un client VPN est renvoyé à travers la passerelle VPN vers un autre sous-réseau interne). Le trafic est limité au protocole de la session RDP, ce qui réduit la latence et diminue le gaspillage de bande passante.

Défi : Appliquer l'A2F sur RD Gateway est difficile et fragile. Solution : A2F cohérente, gérée de manière centrale sur chaque session RDP. L'A2F est appliquée au niveau du plan de contrôle dans Devolutions Server dans le cadre de l'autorisation de session. Si une approbation est requise, la demande est routée, délimitée dans le temps, et enregistrée ; seulement après cela, Devolutions Gateway achemine la session.

Défi : RD Gateway se concentre sur l'entrée du réseau et manque de contrôle au niveau des actions à moindre privilège. Solution : Contrôle au niveau des actions : la bonne personne, vers le bon serveur, pour la bonne durée Devolutions Server applique des politiques par hôte, des approbations, des calendriers, et des limites de temps liées à l'action RDP. Remote Desktop Manager injecte les identifiants du coffre afin que les utilisateurs ne manipulent jamais les mots de passe, réduisant ainsi le risque de déplacement latéral.

Défi : La journalisation de RD Gateway manque de preuves au niveau de la session et de l'application pour les audits et les enquêtes. Solution : Pistes claires et prêtes pour l'audit qui accélèrent les enquêtes. Devolutions Server enregistre le demandeur, l'hôte cible, les heures de début/fin, les références d'approbation ou de billet, la fenêtre JAT, et l'état d'injection d'identifiants. L'enregistrement optionnel de la session et le réacheminement SIEM fournissent des preuves complètes et interrogeables.

Défi : Complexité opérationnelle et charge de support autour de la configuration de la passerelle et du comportement du client. Solution : Opérations simplifiées avec un plan de contrôle unifié et une expérience client cohérente. Centraliser l'identité et la politique dans Devolutions Server, placer Devolutions Gateway à la périphérie avec un TLS valide, et utiliser Remote Desktop Manager comme unique client administrateur. Standardiser la dénomination, les approbations, la rétention, et étendre en ajoutant une autre passerelle si nécessaire.

IMPLANTATION

Établir l'infrastructure nécessaire pour réaliser tous les avantages décrits ci-dessus est simple et direct :

• Étape 1 : Télécharger et installer Devolutions Server.
• Étape 2 : Déployer et configurer Devolutions Gateway pour être utilisé avec Devolutions Server.
• Étape 3 : Créer ou mettre à jour les entrées de connexion RDP dans Remote Desktop Manager pour utiliser Devolutions Gateway.

Instructions complètes et détaillées de déploiement et de configuration sont fournies pour les produits. L'équipe de support de classe mondiale de Devolutions est également disponible pour fournir des conseils et répondre à vos questions.

RÉSUMÉ DES AVANTAGES

• Surface d'attaque réduite. Pas de tunnel à l'échelle du réseau et pas de dépendance aux chemins d'authentification RD Gateway pouvant être abusés pour la pulvérisation de mots de passe.
• Accès plus rapide et plus fiable. L'acheminement direct orienté protocole évite la surcharge du TLS-dans-TLS et le trafic en épingle.
• Contrôle au niveau des actions. Les politiques décident qui peut se connecter à quel serveur, sous quelles conditions, et pour combien de temps.
• Les secrets restent cachés. L'injection d'identifiants empêche les utilisateurs de manipuler des mots de passe privilégiés.
• Prêt pour l'audit par défaut. Les preuves par session et l'enregistrement optionnel simplifient la conformité et accélèrent les enquêtes.
• Opérations simplifiées. Un plan de contrôle unifié avec une expérience client cohérente réduit la prolifération des configurations et la charge de support.
• Adapté aux réalités des PME. Débuter avec un pilote ciblé, prouver la valeur rapidement, et étendre à votre rythme.

ÉVOLUTION

Découvrez comment Devolutions peut aider votre organisation à établir une architecture plus sécurisée, plus facile à gérer et à opérer, et entièrement auditable.

Demandez un essai gratuit ou une démonstration en direct de Devolutions Gateway + Devolutions Server + Remote Desktop Manager.

Préférez-vous une approche personnalisée ? Commencez une preuve de concept (POC) de 30 à 90 jours avec Devolutions Gateway, Devolutions Server, et Remote Desktop Manager dans votre propre environnement. Notre équipe cartographiera les rôles et les flux de travail RDP, activera l'A2F et les approbations JAT, et suivra les résultats comme le temps de connexion, la complétude de l'audit, et la réduction des services exposés. Demandez votre POC dès aujourd'hui et constatez une valeur mesurable rapidement.

Nous vous invitons également à nous contacter pour plus d'informations et de conseils.