Một máy chủ Windows RDP là công cụ mạnh mẽ nhưng cũng là mục tiêu hấp dẫn. Các bot quét internet suốt ngày đêm để tìm cổng remote desktop đang mở. Những bước này mất khoảng mười phút và loại bỏ phần lớn rủi ro.
1. Thay đổi thiết lập tài khoản Administrator
- Đặt mật khẩu dài và duy nhất (từ 16 ký tự trở lên).
- Tạo một người dùng thường có tên riêng cho công việc hằng ngày, và đổi tên hoặc vô hiệu hóa tài khoản Administrator tích hợp sẵn nếu có thể.
- Dùng trình quản lý mật khẩu. Đừng bao giờ dùng lại mật khẩu từ trang web khác.
2. Bật Network Level Authentication
Mở System Properties, Remote và đảm bảo ô "Allow connections only from computers running Remote Desktop with Network Level Authentication" đã được đánh dấu. NLA buộc client phải xác thực trước khi một phiên đầy đủ được tạo, điều này chặn cả một nhóm tấn công.
3. Giới hạn ai được kết nối
Bước đơn lẻ mạnh nhất là một quy tắc tường lửa chỉ cho phép cổng 3389 từ địa chỉ IP của chính bạn.
New-NetFirewallRule -DisplayName "RDP from my IP" -Direction Inbound `
-Protocol TCP -LocalPort 3389 -RemoteAddress 203.0.113.10 -Action AllowHãy thay địa chỉ ví dụ bằng địa chỉ của bạn, và vô hiệu hóa quy tắc rộng mặc định cho "Remote Desktop - User Mode (TCP-In)". Nếu IP của bạn thay đổi thường xuyên, hãy dùng VPN có địa chỉ cố định và chỉ cho phép địa chỉ đó.
4. Ngăn việc đoán mật khẩu
Đặt chính sách khóa tài khoản: Local Security Policy, Account Policies, Account Lockout Policy. Khóa tài khoản 15 phút sau 5 lần thử sai khiến các cuộc tấn công dò mật khẩu trở nên bất khả thi.
5. Luôn cập nhật Windows
Cài bản cập nhật kịp thời, đặc biệt là cho Remote Desktop Services. Nhiều lỗ hổng RDP nghiêm trọng nhất đã được vá trong các bản cập nhật hằng tháng từ rất lâu trước khi kẻ tấn công dùng rộng rãi.
6. Tùy chọn: đổi cổng
Chuyển RDP khỏi cổng 3389 giúp giảm nhiễu nhật ký từ các bot thông thường, nhưng không ngăn được một trình quét quyết tâm. Hãy coi đó là biện pháp phụ nhỏ, không bao giờ thay thế các bước trên. Nếu bạn đổi, nhớ mở cổng mới trong tường lửa.
7. Kiểm tra nhật ký
Mở Event Viewer, Windows Logs, Security, và tìm event ID 4625 (đăng nhập thất bại). Hàng trăm lần thất bại từ một địa chỉ nghĩa là có người đang đoán mật khẩu. Hãy chặn địa chỉ đó và xem lại bước 3.
Thói quen tốt
- Đừng duyệt web hay mở tệp đính kèm email trên máy chủ mà bạn phụ thuộc vào.
- Luôn bật và cập nhật Defender.
- Hãy ngắt kết nối (không chỉ đóng cửa sổ) khi dùng xong, và đăng xuất khỏi các phiên không dùng.
- Sao lưu các tệp quan trọng ra ngoài máy chủ.