{"id":886468,"date":"2026-09-29T16:47:58","date_gmt":"2026-09-29T16:47:58","guid":{"rendered":"https:\/\/www.ninjaone.com\/blog\/comment-surveiller-les-sessions-rdp-inattendues-avec-les-journaux-devenements-et-powershell\/"},"modified":"2026-09-29T16:47:59","modified_gmt":"2026-09-29T16:47:59","slug":"comment-surveiller-les-sessions-rdp-inattendues-avec-les-journaux-devenements-et-powershell","status":"publish","type":"post","link":"https:\/\/www.ninjaone.com\/fr\/blog\/comment-surveiller-les-sessions-rdp-inattendues-avec-les-journaux-devenements-et-powershell\/","title":{"rendered":"Comment surveiller les sessions RDP inattendues avec les journaux d&rsquo;\u00e9v\u00e9nements et PowerShell"},"content":{"rendered":"<div class=\"in-context-cta\"><h2>Points cl\u00e9s<\/h2>\n<h3>Comment surveiller les sessions RDP inattendues avec les journaux d&rsquo;\u00e9v\u00e9nements et PowerShell<\/h3>\n<ul>\n<li>D\u00e9tecter les sessions RDP non autoris\u00e9es\u00a0: la journalisation d&rsquo;\u00e9v\u00e9nements de Windows et PowerShell vous permettent d&rsquo;identifier les activit\u00e9s Remote Desktop Protocol (RDP) masqu\u00e9es ou suspectes.<\/li>\n<li>Activer une journalisation d&rsquo;audit compl\u00e8te\u00a0: configurez les Event ID 4624 (ouverture de session), 4634 (fermeture de session) et les journaux TerminalServices (21, 23, 25) pour suivre toute l&rsquo;activit\u00e9 des sessions RDP et d\u00e9tecter les acc\u00e8s non autoris\u00e9s.<\/li>\n<li>Alertes automatis\u00e9es sur les menaces\u00a0: utilisez les d\u00e9clencheurs d&rsquo;\u00e9v\u00e9nements PowerShell pour envoyer des alertes en cas d&rsquo;activit\u00e9 RDP inhabituelle, de connexions \u00e9chou\u00e9es ou de tentatives d&rsquo;acc\u00e8s en dehors des heures ouvr\u00e9es.<\/li>\n<li>Se prot\u00e9ger avec NinjaOne\u00a0: renforcez la s\u00e9curit\u00e9 des terminaux et automatisez la surveillance et la r\u00e9ponse RDP avec la plateforme de surveillance et de gestion NinjaOne.<\/li>\n<\/ul>\n<\/div>\n<p>Les sessions de bureau \u00e0 distance non autoris\u00e9es peuvent cr\u00e9er de s\u00e9rieuses failles de s\u00e9curit\u00e9 que les outils de surveillance classiques laissent souvent passer. Il vous faut des m\u00e9thodes fiables pour <strong>surveiller les <\/strong><a href=\"https:\/\/www.ninjaone.com\/fr\/blog\/qu-est-ce-que-le-protocole-rdp-remote-desktop-protocol\/\"><strong>sessions RDP inattendues<\/strong><\/a> \u00e0 l&rsquo;aide des fonctions de journalisation int\u00e9gr\u00e9es \u00e0 Windows. PowerShell et l&rsquo;analyse des journaux d&rsquo;\u00e9v\u00e9nements permettent une surveillance compl\u00e8te des sessions sans logiciel suppl\u00e9mentaire, ce qui vous aide \u00e0 d\u00e9tecter les menaces potentielles avant qu&rsquo;elles ne causent des d\u00e9g\u00e2ts.<\/p>\n<h2>Qu&rsquo;est-ce que le protocole Remote Desktop\u00a0?<\/h2>\n<p>Remote Desktop Protocol est la norme de communication r\u00e9seau de Microsoft qui vous connecte \u00e0 des syst\u00e8mes Windows distants via une interface graphique. Par d\u00e9faut, le protocole utilise des canaux chiffr\u00e9s sur le port TCP 3389 et transmet les donn\u00e9es d&rsquo;affichage, les saisies clavier, les mouvements de souris et l&rsquo;audio entre votre machine locale et le serveur distant.<\/p>\n<h2>Les bases de la surveillance des sessions RDP<\/h2>\n<p>Une surveillance efficace des sessions RDP commence par des strat\u00e9gies d&rsquo;audit Windows correctement configur\u00e9es, une collecte des journaux d&rsquo;\u00e9v\u00e9nements et l&rsquo;\u00e9tablissement d&rsquo;une r\u00e9f\u00e9rence de configuration qui capture l&rsquo;ensemble des donn\u00e9es de connexion. Votre entreprise a besoin de cadres de journalisation standardis\u00e9s qui enregistrent les \u00e9v\u00e9nements d&rsquo;authentification, les activit\u00e9s de session et les fins de connexion sur tous les syst\u00e8mes o\u00f9 RDP est activ\u00e9.<\/p>\n<h3>Configurer le journal d&rsquo;audit pour les \u00e9v\u00e9nements de s\u00e9curit\u00e9<\/h3>\n<p>Le journal de s\u00e9curit\u00e9 Windows capture les \u00e9v\u00e9nements d&rsquo;authentification et de session RDP gr\u00e2ce \u00e0 des Event ID pr\u00e9cis qui livrent des informations de connexion d\u00e9taill\u00e9es\u00a0: adresses IP sources, comptes utilisateurs et horodatages. L&rsquo;Event ID 4624 enregistre les ouvertures de session r\u00e9ussies avec le type d&rsquo;ouverture de session 10 pour les connexions RDP, tandis que l&rsquo;Event ID 4634 documente les fermetures de session correspondant aux fins de session.<\/p>\n<p>La mise en place d&rsquo;un audit complet des ouvertures de session garantit que toutes les tentatives de connexion RDP g\u00e9n\u00e8rent des entr\u00e9es dans le journal de s\u00e9curit\u00e9, pr\u00eates \u00e0 \u00eatre analys\u00e9es.<\/p>\n<p>Suivez ces commandes pour activer une journalisation d&rsquo;audit adapt\u00e9e\u00a0:<\/p>\n<ol>\n<li>Ouvrez l&rsquo;invite de commandes en tant qu&rsquo;administrateur<\/li>\n<li>Ex\u00e9cutez\u00a0: <code>auditpol \/set \/subcategory:\"Logon\" \/success:enable \/failure:enable<\/code><\/li>\n<li>V\u00e9rifiez les param\u00e8tres avec\u00a0: <code>auditpol \/get \/subcategory:\"Logon\"<\/code><\/li>\n<li>Faites un test en \u00e9tablissant une connexion RDP, puis consultez l&rsquo;observateur d&rsquo;\u00e9v\u00e9nements<\/li>\n<li>Confirmez que l&rsquo;Event ID 4624 appara\u00eet dans les journaux de s\u00e9curit\u00e9 avec le type d&rsquo;ouverture de session 10<\/li>\n<\/ol>\n<h3>Activer le suivi des sessions RDP dans le journal d&rsquo;\u00e9v\u00e9nements<\/h3>\n<p>Les journaux op\u00e9rationnels TerminalServices-LocalSessionManager fournissent des donn\u00e9es d\u00e9taill\u00e9es de gestion des sessions qui compl\u00e8tent les entr\u00e9es de sessions RDP du journal de s\u00e9curit\u00e9 avec des d\u00e9tails de connexion suppl\u00e9mentaires et des informations sur l&rsquo;\u00e9tat des sessions. L&rsquo;Event ID 21 signale l&rsquo;\u00e9tablissement r\u00e9ussi d&rsquo;une session RDP, l&rsquo;Event ID 23 enregistre les d\u00e9connexions et l&rsquo;Event ID 25 capture les reconnexions lorsque des utilisateurs reprennent une session pr\u00e9c\u00e9demment d\u00e9connect\u00e9e.<\/p>\n<p>Voici les \u00e9tapes de configuration \u00e0 envisager\u00a0:<\/p>\n<ol>\n<li>Ouvrez PowerShell en tant qu&rsquo;administrateur.<\/li>\n<li>Ex\u00e9cutez\u00a0: wevtutil sl Microsoft-Windows-TerminalServices-LocalSessionManager\/Operational \/e\u00a0:true<\/li>\n<li>V\u00e9rifiez avec\u00a0: wevtutil gl Microsoft-Windows-TerminalServices-LocalSessionManager\/Operational.<\/li>\n<li>Consultez l&rsquo;observateur d&rsquo;\u00e9v\u00e9nements pour rep\u00e9rer la nouvelle source de journal.<\/li>\n<li>Testez une connexion RDP pour confirmer que les \u00e9v\u00e9nements apparaissent.<\/li>\n<\/ol>\n<h3>\u00c9tablir des sch\u00e9mas de connexion de r\u00e9f\u00e9rence<\/h3>\n<p>L&rsquo;\u00e9tablissement d&rsquo;une r\u00e9f\u00e9rence de configuration exige une analyse syst\u00e9matique de l&rsquo;usage l\u00e9gitime de RDP\u00a0: heures de connexion habituelles, comptes utilisateurs autoris\u00e9s, adresses IP sources approuv\u00e9es et dur\u00e9es de session standard. L&rsquo;analyse des donn\u00e9es historiques r\u00e9v\u00e8le les plages d&rsquo;acc\u00e8s administrateur normales, les fen\u00eatres de maintenance de routine et les comportements utilisateurs attendus, qui servent ensuite de points de comparaison pour la d\u00e9tection d&rsquo;anomalies.<\/p>\n<p>Bien conna\u00eetre vos sch\u00e9mas RDP habituels vous aide \u00e0 rep\u00e9rer les activit\u00e9s inhabituelles susceptibles de signaler une menace de s\u00e9curit\u00e9. La commande Get-WinEvent -FilterHashtable @{LogName=&rsquo;Security&rsquo;; ID=4624; Data=&rsquo;10&rsquo;} extrait les \u00e9v\u00e9nements d&rsquo;ouverture de session RDP en vue d&rsquo;une analyse statistique et du calcul de la r\u00e9f\u00e9rence.<\/p>\n<h3>Mettre en place des alertes sur les activit\u00e9s suspectes<\/h3>\n<p>Les syst\u00e8mes d&rsquo;alerte automatis\u00e9s surveillent en temps r\u00e9el les flux d&rsquo;\u00e9v\u00e9nements afin de rep\u00e9rer les tentatives d&rsquo;acc\u00e8s non autoris\u00e9es, les sch\u00e9mas de connexion inhabituels ou les comportements de session suspects qui n\u00e9cessitent une investigation imm\u00e9diate. Des scripts de surveillance PowerShell \u00e9valuent la fr\u00e9quence des connexions, la r\u00e9putation des IP sources, les tentatives d&rsquo;acc\u00e8s en dehors des heures ouvr\u00e9es et les s\u00e9quences d&rsquo;authentification \u00e9chou\u00e9es pour identifier d&rsquo;\u00e9ventuels incidents de s\u00e9curit\u00e9.<\/p>\n<p>La surveillance pilot\u00e9e par les \u00e9v\u00e9nements d\u00e9clenche des notifications imm\u00e9diates d\u00e8s qu&rsquo;une activit\u00e9 de session RDP suspecte se produit sur les syst\u00e8mes surveill\u00e9s. La cmdlet Register-WmiEvent rend possible cette capacit\u00e9 d&rsquo;alerte en temps r\u00e9el, qui tient votre \u00e9quipe de s\u00e9curit\u00e9 inform\u00e9e des menaces potentielles.<\/p>\n<h2>R\u00e9cup\u00e9rer les sessions RDP\u00a0: techniques PowerShell<\/h2>\n<p><a href=\"https:\/\/www.ninjaone.com\/fr\/script-hub\/recherche-dans-les-journaux-des-evenements-powershell\/\">PowerShell<\/a> offre des capacit\u00e9s natives pour extraire, filtrer et analyser les donn\u00e9es de connexion RDP des journaux d&rsquo;\u00e9v\u00e9nements Windows via des cmdlets qui acc\u00e8dent aussi bien aux journaux de s\u00e9curit\u00e9 qu&rsquo;aux journaux TerminalServices.<\/p>\n<h3>Utiliser Get-WinEvent pour capturer les \u00e9v\u00e9nements de connexion RDP<\/h3>\n<p>La cmdlet Get-WinEvent donne un acc\u00e8s complet aux journaux d&rsquo;\u00e9v\u00e9nements Windows, avec des capacit\u00e9s de filtrage qui isolent les \u00e9v\u00e9nements li\u00e9s \u00e0 RDP au sein de volumes de journaux contenant des milliers d&rsquo;entr\u00e9es. Des tables de hachage de filtrage pr\u00e9cises ciblent les Event ID pertinents, comme 4624 pour les ouvertures de session r\u00e9ussies, 4625 pour les tentatives \u00e9chou\u00e9es et les \u00e9v\u00e9nements TerminalServices qui d\u00e9taillent la gestion des sessions.<\/p>\n<p>Les options de filtrage avanc\u00e9es permettent de sp\u00e9cifier des plages horaires pour r\u00e9cup\u00e9rer les connexions RDP r\u00e9centes sur une p\u00e9riode donn\u00e9e. La commande Get-WinEvent -FilterHashtable @{LogName=&rsquo;Security&rsquo;; ID=4624; StartTime=(Get-Date).AddHours(-24)} r\u00e9cup\u00e8re les connexions RDP des derni\u00e8res 24 heures pour analyse.<\/p>\n<h3>Filtrer et analyser les sch\u00e9mas de connexion avec PowerShell<\/h3>\n<p>L&rsquo;architecture orient\u00e9e objet de PowerShell permet une analyse fine des donn\u00e9es d&rsquo;\u00e9v\u00e9nements RDP gr\u00e2ce \u00e0 des op\u00e9rations de pipeline qui trient, regroupent et filtrent les enregistrements de connexion selon plusieurs crit\u00e8res simultan\u00e9ment. La cmdlet Where-Object filtre les \u00e9v\u00e9nements selon des <a href=\"https:\/\/learn.microsoft.com\/en-us\/azure\/virtual-desktop\/rdp-properties\" target=\"_blank\" rel=\"noopener\">propri\u00e9t\u00e9s<\/a> pr\u00e9cises\u00a0: adresses IP sources, comptes utilisateurs ou types d&rsquo;authentification correspondant aux connexions RDP.<\/p>\n<p>Des fonctions d&rsquo;analyse statistique comme Group-Object et Measure-Object calculent les fr\u00e9quences de connexion, identifient les sch\u00e9mas d&rsquo;acc\u00e8s inhabituels et g\u00e9n\u00e8rent des rapports de synth\u00e8se qui mettent en \u00e9vidence les probl\u00e8mes de s\u00e9curit\u00e9 potentiels. Ces cmdlets int\u00e9gr\u00e9es transforment des donn\u00e9es d&rsquo;\u00e9v\u00e9nements brutes en renseignements de s\u00e9curit\u00e9 exploitables.<\/p>\n<h3>Cr\u00e9er des scripts de surveillance des sessions RDP sur mesure<\/h3>\n<p>Les scripts de surveillance r\u00e9unissent analyse des journaux d&rsquo;\u00e9v\u00e9nements, alertes en temps r\u00e9el et reporting automatis\u00e9 dans des solutions PowerShell unifi\u00e9es qui fonctionnent en continu, sans intervention manuelle. Des fonctions personnalis\u00e9es encapsulent la logique de filtrage complexe, les routines de traitement des donn\u00e9es et les proc\u00e9dures de mise en forme des r\u00e9sultats, afin de produire des rapports standardis\u00e9s pour les \u00e9quipes de s\u00e9curit\u00e9 et la direction.<\/p>\n<p>Suivez cette approche de d\u00e9veloppement\u00a0:<\/p>\n<ul>\n<li>D\u00e9finissez vos besoins de surveillance et vos seuils d&rsquo;alerte.<\/li>\n<li>Cr\u00e9ez des fonctions PowerShell pour le filtrage et l&rsquo;analyse des \u00e9v\u00e9nements.<\/li>\n<li>Mettez en place des m\u00e9canismes d&rsquo;alerte via l&rsquo;e-mail ou des syst\u00e8mes de journalisation.<\/li>\n<li>Ajoutez une gestion des erreurs et une journalisation pour fiabiliser le script.<\/li>\n<li>Testez le script en profondeur dans votre environnement.<\/li>\n<li>D\u00e9ployez-le sous forme de t\u00e2che planifi\u00e9e ou de service Windows.<\/li>\n<\/ul>\n<h2>Surveillance avanc\u00e9e avec les commandes Windows<\/h2>\n<p>Au-del\u00e0 des techniques PowerShell de base, les impl\u00e9mentations de surveillance avanc\u00e9es s&rsquo;appuient sur des commandes Windows sp\u00e9cialis\u00e9es, des requ\u00eates <a href=\"https:\/\/www.pcmag.com\/encyclopedia\/term\/wmi\" target=\"_blank\" rel=\"noopener\">WMI<\/a> et des API syst\u00e8me qui offrent une visibilit\u00e9 plus fine sur l&rsquo;\u00e9tat des sessions RDP surveill\u00e9es et les d\u00e9tails de connexion.<\/p>\n<p>Des classes WMI comme Win32_LogonSession et Win32_NetworkLoginProfile donnent un acc\u00e8s programmatique \u00e0 des informations d&rsquo;authentification d\u00e9taill\u00e9es, utiles pour une analyse de s\u00e9curit\u00e9 compl\u00e8te.<\/p>\n<h3>Interroger les sessions RDP actives<\/h3>\n<p>La commande qwinsta offre une visibilit\u00e9 imm\u00e9diate sur l&rsquo;\u00e9tat actuel des sessions RDP\u00a0: connexions actives, sessions d\u00e9connect\u00e9es et ouvertures de session console qui r\u00e9v\u00e8lent les usages du syst\u00e8me. Cet utilitaire en ligne de commande affiche les ID de session, les noms d&rsquo;utilisateurs, les noms de session, les types de session et les \u00e9tats en cours, ce qui vous aide \u00e0 identifier les connexions actives non autoris\u00e9es \u00e0 examiner sans d\u00e9lai.<\/p>\n<p>L&rsquo;int\u00e9gration \u00e0 PowerShell via Invoke-Command permet d&rsquo;ex\u00e9cuter qwinsta \u00e0 distance sur plusieurs syst\u00e8mes, pour une visibilit\u00e9 centralis\u00e9e sur l&rsquo;\u00e9tat des sessions RDP dans toute votre infrastructure.<\/p>\n<h3>Mettre en place des workflows de r\u00e9ponse automatis\u00e9s<\/h3>\n<p>Les syst\u00e8mes de r\u00e9ponse automatis\u00e9s ex\u00e9cutent des actions pr\u00e9d\u00e9finies d\u00e8s que des activit\u00e9s RDP suspectes d\u00e9clenchent des alertes de s\u00e9curit\u00e9, ce qui r\u00e9duit les d\u00e9lais de r\u00e9action et limite les d\u00e9g\u00e2ts potentiels li\u00e9s aux tentatives d&rsquo;acc\u00e8s non autoris\u00e9es. Des scripts PowerShell s&rsquo;int\u00e8grent aux outils de s\u00e9curit\u00e9, aux syst\u00e8mes de gestion des tickets et aux plateformes de communication pour orchestrer des r\u00e9ponses coordonn\u00e9es face aux menaces d\u00e9tect\u00e9es.<\/p>\n<p>Quelques recommandations \u00e0 suivre\u00a0:<\/p>\n<ul>\n<li>D\u00e9finissez des proc\u00e9dures de r\u00e9ponse pour chaque type de menace.<\/li>\n<li>Cr\u00e9ez une fonction PowerShell pour chaque action de r\u00e9ponse.<\/li>\n<li>Int\u00e9grez vos outils de s\u00e9curit\u00e9 et syst\u00e8mes de communication existants.<\/li>\n<li>Mettez en place des workflows de validation pour les r\u00e9ponses \u00e0 fort impact.<\/li>\n<li>Ajoutez une journalisation et des pistes d&rsquo;audit pour toutes les actions automatis\u00e9es.<\/li>\n<\/ul>\n<h2>Proc\u00e9dures de documentation et de reporting<\/h2>\n<p>Une documentation compl\u00e8te consigne les configurations de surveillance, les m\u00e9triques de r\u00e9f\u00e9rence, les seuils d&rsquo;alerte et les proc\u00e9dures de r\u00e9ponse, ce qui garantit une impl\u00e9mentation homog\u00e8ne dans tout votre environnement. Un reporting r\u00e9gulier apporte de la visibilit\u00e9 sur les usages de RDP, les incidents de s\u00e9curit\u00e9 et l&rsquo;efficacit\u00e9 du syst\u00e8me de surveillance, et alimente ainsi vos efforts d&rsquo;am\u00e9lioration continue.<\/p>\n<h2>Construire une strat\u00e9gie compl\u00e8te de surveillance des sessions RDP<\/h2>\n<p>Votre strat\u00e9gie de surveillance RDP doit \u00eatre mise \u00e0 jour r\u00e9guli\u00e8rement pour rester efficace face \u00e0 des menaces qui \u00e9voluent et \u00e0 des besoins d&rsquo;infrastructure qui changent. Des revues mensuelles des seuils d&rsquo;alerte, des sch\u00e9mas de r\u00e9f\u00e9rence et des r\u00e8gles de d\u00e9tection vous aident \u00e0 vous adapter aux nouvelles techniques d&rsquo;attaque et aux \u00e9volutions internes. L&rsquo;am\u00e9lioration continue passe par l&rsquo;int\u00e9gration de flux de renseignements sur les menaces, la mise \u00e0 jour des scripts PowerShell et l&rsquo;affinage des workflows de r\u00e9ponse automatis\u00e9s, en s&rsquo;appuyant sur l&rsquo;analyse des incidents et les retours de l&rsquo;\u00e9quipe de s\u00e9curit\u00e9<\/p>\n<h2>Passez \u00e0 l&rsquo;\u00e9tape suivante pour s\u00e9curiser les acc\u00e8s RDP<\/h2>\n<p>Des sessions RDP non surveill\u00e9es, c&rsquo;est une invitation ouverte aux attaquants. NinjaOne vous apporte <a href=\"https:\/\/www.ninjaone.com\/fr\/plateforme-de-gestion-de-terminaux\/\">la surveillance et la gestion des terminaux<\/a> n\u00e9cessaires pour d\u00e9tecter et couper rapidement les acc\u00e8s \u00e0 risque. <a href=\"https:\/\/www.ninjaone.com\/fr\/phase-de-test-gratuit\/\">Commencez votre essai gratuit d\u00e8s aujourd&rsquo;hui<\/a> et reprenez le contr\u00f4le avant que les menaces ne passent entre les mailles du filet.<\/p>\n<div class=\"quick-start-guide\"><h2><svg width=\"45\" height=\"45\" viewBox=\"0 0 45 45\" fill=\"none\" xmlns=\"http:\/\/www.w3.org\/2000\/svg\">\n<path d=\"M41.4822 0H3.51778C1.57496 0 0 1.57496 0 3.51778V41.4822C0 43.425 1.57496 45 3.51778 45H41.4822C43.425 45 45 43.425 45 41.4822V3.51778C45 1.57496 43.425 0 41.4822 0Z\" fill=\"#053856\"\/>\n<path d=\"M30.4399 13.9904C28.9161 12.4475 26.9127 11.6737 24.4346 11.6737C23.0721 11.6737 21.8188 11.911 20.6794 12.3858C19.5401 12.8605 18.5859 13.5346 17.8168 14.4129V11.2654L12.2766 13.867V32.562H18.0779V22.4739C18.0779 20.6224 18.5099 19.2267 19.3787 18.2867C20.2474 17.3515 21.4105 16.8815 22.8727 16.8815C24.1877 16.8815 25.1894 17.285 25.8825 18.0968C26.5756 18.9086 26.9222 20.1334 26.9222 21.7808V32.562H32.7234V21.2728C32.7234 18.2393 31.9591 15.5285 30.4399 13.9856V13.9904Z\" fill=\"#04FF88\"\/>\n<\/svg>Guide de d\u00e9marrage rapide<\/h2><p>Il n&rsquo;existe pas de script int\u00e9gr\u00e9 con\u00e7u exactement pour cet usage, mais <a href=\"https:\/\/www.ninjaone.com\/fr\/\">NinjaOne<\/a> propose plusieurs scripts et fonctionnalit\u00e9s qui peuvent vous aider \u00e0 surveiller les sessions RDP\u00a0:<\/p>\n<p>1. Scripts li\u00e9s \u00e0 RDP\u00a0:<\/p>\n<p>\u2013 Un script \u00ab\u00a0<a href=\"https:\/\/www.ninjaone.com\/fr\/script-hub\/verifier-l-etat-du-bureau-a-distance-avec-powershell\/\">Remote Desktop, Check Status and Port<\/a>\u00a0\u00bb indique l&rsquo;\u00e9tat du bureau \u00e0 distance et le port sur lequel il \u00e9coute.<br \/>, Un script \u00ab\u00a0<a href=\"https:\/\/www.ninjaone.com\/fr\/script-hub\/recherche-dans-les-journaux-des-evenements-powershell\/\">Search Event Log<\/a>\u00a0\u00bb vous permet de rechercher des \u00e9v\u00e9nements pr\u00e9cis dans l&rsquo;observateur d&rsquo;\u00e9v\u00e9nements, par journal d&rsquo;\u00e9v\u00e9nements, par source ou par Event ID.<\/p>\n<p>2. Approche par surveillance du journal d&rsquo;\u00e9v\u00e9nements\u00a0:<\/p>\n<p>Vous pouvez cr\u00e9er un script personnalis\u00e9 pour surveiller les sessions RDP en examinant des entr\u00e9es pr\u00e9cises du journal d&rsquo;\u00e9v\u00e9nements Windows. Les principaux Event ID \u00e0 suivre sont les suivants\u00a0:<br \/>, Event ID 4624 (connexion r\u00e9ussie)<br \/>, Event ID 4625 (tentative de connexion \u00e9chou\u00e9e)<br \/>, Event ID 4634 (fermeture de session)<br \/>, Event ID 4647 (fermeture de session \u00e0 l&rsquo;initiative de l&rsquo;utilisateur)<br \/>, Event ID 4778 (session reconnect\u00e9e)<br \/>, Event ID 4779 (session d\u00e9connect\u00e9e)<\/p>\n<p>3. M\u00e9thode de surveillance recommand\u00e9e\u00a0:<\/p>\n<p>\u2013 Utilisez le script \u00ab\u00a0<a href=\"https:\/\/www.ninjaone.com\/fr\/script-hub\/recherche-dans-les-journaux-des-evenements-powershell\/\">Search Event Log<\/a>\u00a0\u00bb pour cr\u00e9er des alertes sur les \u00e9v\u00e9nements de session RDP inattendus<br \/>, Filtrez selon des conditions pr\u00e9cises, par exemple\u00a0:<br \/>, connexions depuis des adresses IP inattendues<br \/>, connexions en dehors des heures ouvr\u00e9es<br \/>, tentatives de connexion \u00e9chou\u00e9es r\u00e9p\u00e9t\u00e9es<\/p>\n<p>Nous vous recommandons de travailler avec votre \u00e9quipe de s\u00e9curit\u00e9 informatique pour d\u00e9finir les crit\u00e8res pr\u00e9cis d&rsquo;une session RDP \u00ab\u00a0inattendue\u00a0\u00bb, en fonction des politiques de s\u00e9curit\u00e9 de votre entreprise.<\/p>\n<\/div>\n","protected":false},"excerpt":{"rendered":"<p>Les sessions de bureau \u00e0 distance non autoris\u00e9es peuvent cr\u00e9er de s\u00e9rieuses failles de s\u00e9curit\u00e9 que les outils de surveillance classiques laissent souvent passer. Il vous faut des m\u00e9thodes fiables pour surveiller les sessions RDP inattendues \u00e0 l&rsquo;aide des fonctions de journalisation int\u00e9gr\u00e9es \u00e0 Windows. PowerShell et l&rsquo;analyse des journaux d&rsquo;\u00e9v\u00e9nements permettent une surveillance compl\u00e8te [&hellip;]<\/p>\n","protected":false},"author":35,"featured_media":552490,"comment_status":"closed","ping_status":"closed","sticky":false,"template":"","format":"standard","meta":{"_acf_changed":false,"_relevanssi_hide_post":"","_relevanssi_hide_content":"","_relevanssi_pin_for_all":"","_relevanssi_pin_keywords":"","_relevanssi_unpin_keywords":"","_relevanssi_related_keywords":"","_relevanssi_related_include_ids":"","_relevanssi_related_exclude_ids":"","_relevanssi_related_no_append":"","_relevanssi_related_not_related":"","_relevanssi_related_posts":"","_relevanssi_noindex_reason":"","_lmt_disableupdate":"","_lmt_disable":"","footnotes":""},"categories":[4355],"tags":[],"class_list":["post-886468","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it-ops"],"acf":[],"modified_by":null,"_links":{"self":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886468","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/users\/35"}],"replies":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/comments?post=886468"}],"version-history":[{"count":1,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886468\/revisions"}],"predecessor-version":[{"id":886469,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/posts\/886468\/revisions\/886469"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media\/552490"}],"wp:attachment":[{"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/media?parent=886468"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/categories?post=886468"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/www.ninjaone.com\/fr\/wp-json\/wp\/v2\/tags?post=886468"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}