Azure Bastion

cloud

Définition

Azure Bastion est un service managé PaaS de Microsoft Azure fournissant un accès distant sécurisé RDP et SSH aux machines virtuelles hébergées dans un réseau virtuel Azure, directement depuis le portail Azure via une connexion HTTPS chiffrée sur le port 443, sans jamais exposer d'adresse IP publique sur les VMs cibles ni sur les ports d'administration (3389 pour RDP, 22 pour SSH). Déployé dans un sous-réseau dédié nommé AzureBastionSubnet, le service élimine le besoin traditionnel de sauts via un bastion host auto-géré, de VPN point-à-site ou de tunnels SSH exposés, réduisant significativement la surface d'attaque exploitée par les campagnes de brute force et de scan automatisé ciblant les ports RDP/SSH ouverts sur Internet, une des causes majeures de compromission initiale observées dans les incidents de ransomware. Azure Bastion s'intègre nativement avec Azure Active Directory pour l'authentification et supporte le contrôle d'accès basé sur les rôles (RBAC), la journalisation via Azure Monitor et l'intégration avec les politiques d'accès conditionnel. Il constitue une réponse directe aux recommandations de durcissement cloud émises par l'ANSSI et le CIS Benchmark Azure, qui préconisent systématiquement de bannir l'exposition directe des ports d'administration sur Internet public au profit de solutions d'accès privilégié managées et journalisées.

Description

Azure Bastion est un service PaaS Microsoft fournissant un accès RDP et SSH sécurisé aux machines virtuelles Azure directement via le portail Azure (HTML5/TLS), sans exposer d'IP publique ni de port 3389/22 sur Internet, éliminant la surface d'attaque des jump servers traditionnels.

Contexte cloud

Déployé dans le sous-réseau AzureBastionSubnet (/26 minimum) d'un VNet, Azure Bastion établit une session TLS chiffrée vers la VM cible via son IP privée. Le SKU Standard ajoute la gestion des ports personnalisés, le tunneling natif et l'intégration avec Just-in-Time VM Access de Defender for Cloud.

Points clés

CLI : az network bastion ssh --name bastion --resource-group RG --target-resource-id VM_ID --auth-type ssh-key --username adminuser
Activer les logs de diagnostic Bastion vers Log Analytics pour auditer toutes les sessions RDP/SSH
Combiner avec JIT VM Access pour n'ouvrir les ports NSG qu'à la demande avec une durée limitée (1-3h)

Articles liés

Expert en cybersécurité offensive et intelligence artificielle. Pentest, audit et développement IA sur-mesure.

Services

Ressources

Projets & Outils

Contact

Nous contacter

Mentions légales Confidentialité Politique éditoriale Plan du site ⭐ Source préférée

Un projet cybersécurité ?

Expert dispo · Réponse 24h

Devis