Windows Server เป็น OS ยอดนิยมสำหรับ Server เนื่องจากเกี่ยวกับธุรกิจ Security ของ Windows Server จึงสำคัญยิ่ง
Windows Server มีมาตรการความปลอดภัย built-in แต่สามารถทำเพิ่มเติมได้ เพื่อป้องกันภัยคุกคาม นี่คือเคล็ดลับสำคัญ
1. อัปเดต Windows Server ให้ล่าสุดเสมอ
ดูชัดเจนแต่มักถูกมองข้าม: Server หลายตัวไม่มี Security/Performance Updates ล่าสุด → ติดตั้ง Security Patches ทันทีที่ออก (Feature Update หน่วงได้ แต่ Security Update ต้องติดตั้งทันที)
2. ติดตั้งเฉพาะ Components ที่จำเป็น ด้วย Windows Server Core
Windows Server 2012+ ใช้ได้ใน Core Mode = Minimal Install ไม่มี GUI → Features น้อยลง
ประโยชน์:
- Performance: ใช้ Hardware เดียวกัน RAM/CPU น้อยลง, Uptime/Boottime ดีขึ้น, Patch น้อยลง
- Security: Attack Surface น้อยลง (Tools/Attack Vectors น้อย) + RSAT Tools + สลับ Core ↔ GUI ได้
3. ปกป้อง Admin Account
Default Admin Account ชื่อ Administrator → Brute Force โจมตี Account นี้มากที่สุด
- เปลี่ยนชื่อ Account Admin
- หรือ Disable Local Admin Account → สร้าง Admin Account ใหม่
Disable Local Admin แล้ว → เช็ค Guest Account (Insecure ที่สุด) → Disable ไปเลย + Account ที่ไม่ได้ใช้
Password Policy: บังคับเปลี่ยนรหัสบ่อย, ยาว, ซับซ้อน, มีตัวเลข/อักขระพิเศษ → ป้องกัน Brute Force
4. กำหนดค่า NTP (Network Time Protocol)
Sync เวลากับ NTP Servers เพื่อป้องกัน Clock Drift — แค่ผิดไปไม่กี่นาที ก็ทำให้ Windows Login และฟังก์ชันอื่นๆ พัง
Domain Members: Sync กับ Domain Controller อัตโนมัติ
Stand-alone Servers: ตั้งค่า NTP ไปที่ External Source เพื่อป้องกัน Replay Attacks
5. เปิดและตั้งค่า Windows Firewall และ Antivirus
Windows Server มี Firewall และ Antivirus Built-in
- Server ที่ไม่มี Hardware Firewall: Windows Firewall ลด Attack Surface, ป้องกัน Cyber Attacks ด้วยการจำกัด Traffic
- Hardware/Cloud Firewall: ป้องกันดีกว่า + ลดภาระ Server
ตั้งค่า Firewall ยุ่งยาก แต่ถ้าตั้งผิด → Open Ports ให้ Unauthorized Clients เข้าถึง = Security Risk ใหญ่ → จดบันทึก Rules ไว้อ้างอิง
6. รักษาความปลอดภัย Remote Desktop (RDP)
- ไม่ให้ RDP เปิดสู่ Internet
- เปลี่ยน Default Port
- จำกัด RDP Access ให้ IP เฉพาะ (ถ้ามี Dedicated IP)
- กำหนดว่าใครเข้าถึง RDP ได้ (Default: ทุก User)
- มาตรการพื้นฐาน: Strong Password, 2FA, Update Software, Advanced Firewall Rules, Network Level Authentication, Account Lockout Policy
7. เปิดใช้งาน BitLocker Drive Encryption
Server Edition มี BitLocker (เหมือน Windows 10 Pro) — Encryption Tool ต้นแบบหนึ่งตามมาตรฐาน Security Pros
- เข้ารหัสทั้ง Hard Drive — ปลอดภัยแม้ Physical Security ถูกละเมิด
- ระหว่าง Encryption: BitLocker จับข้อมูล Hardware → Verify Authenticity → Login ด้วย Password
- ตรวจพบกิจกรรมน่าสงสัย → ขอ Recovery Key → ไม่มี Key = Data Locked
มือใหม่: อ่านคู่มือ BitLocker Windows 10 รายละเอียด
8. ใช้ Microsoft Baseline Security Analyzer (MBSA)
MBSA = Free Security Tool สำหรับ IT Pro จัดการ Security Server
- หา Security Issues, Missing Updates → แนะนำการแก้ไขตาม Microsoft Recommendations
- เช็ค: Weak Passwords, SQL/IIS Vulnerabilities, Missing Security Updates
- Scan: Individual/Group Computers โดย IP, Domain ฯลฯ
- รายงานรายละเอียดใน HTML GUI
9. ตั้งค่า Log Monitoring และปิด Network Ports ที่ไม่จำเป็น
- Services/Protocols ที่ไม่ใช้ → Disable
- Port Scan → เช็ค Network Services ที่ Exposed สู่ Internet
- Monitor Login Attempts → ป้องกัน Intrusion, Brute Force
- Intrusion Prevention Tools: ดู/วิเคราะห์ Logs, ส่ง Alert กิจกรรมน่าสงสัย → Block IP
Windows Server Hardening ลดความเสี่ยง Cyber Attacks!
Security: Audit ระบบสม่ำเสมอ เริ่มจาก: Update ล่าสุด, ปกป้อง Admin, ใช้ Server Core, เปิด BitLocker
Windows Server แม้ Code เหมือน Windows 10 Consumer แต่ Configuration และ Usage แตกต่างกันมาก
