Windows Server là một trong những hệ điều hành phổ biến nhất để điều hành máy chủ (servers). Do bản chất hoạt động thường liên quan đến doanh nghiệp, bảo mật Windows Server là then chốt đối với dữ liệu doanh nghiệp.
Mặc định, Windows Server có một số biện pháp bảo mật. Nhưng bạn có thể làm thêm để đảm bảo Windows server của bạn có đủ khả năng phòng thủ chống lại các mối đe dọa tiềm ẩn. Dưới đây là một số mẹo quan trọng để bảo mật Windows Server của bạn.
1. Giữ Windows Server Luôn Cập Nhật
Mặc dù có vẻ như một việc hiển nhiên, hầu hết các server cài đặt hình ảnh Windows Server đều thiếu các bản cập nhật bảo mật và hiệu suất mới nhất. Cài đặt các bản vá bảo mật mới nhất là rất quan trọng để bảo vệ hệ thống của bạn khỏi các cuộc tấn công độc hại.
Nếu bạn vừa thiết lập một Windows server mới hoặc nhận được thông tin đăng nhập cho một server, hãy chắc chắn tải xuống và cài đặt tất cả các bản cập nhật mới nhất có sẵn cho máy tính của bạn. Bạn có thể trì hoãn bản cập nhật tính năng (feature update) một thời gian, nhưng bạn nên cài đặt bản cập nhật bảo mật ngay khi nó có sẵn.
2. Chỉ Cài Đặt Các Thành Phần OS Cần Thiết Qua Windows Server Core
Trên Windows Server 2012 và trở lên, bạn có thể sử dụng hệ điều hành ở chế độ core (core mode). Chế độ Windows Server Core là tùy chọn cài đặt tối thiểu cài đặt Windows Server không có GUI, nghĩa là giảm bớt tính năng.
Cài đặt Windows Server Core mang lại nhiều lợi ích. Lợi ích rõ ràng là lợi thế hiệu suất. Bạn có thể dùng cùng phần cứng để đạt được cải tiến hiệu suất thông qua các thành phần OS không được sử dụng, dẫn đến yêu cầu RAM và CPU thấp hơn, uptime và thời gian khởi động tốt hơn, và ít bản vá hơn.
Mặc dù lợi ích hiệu suất rất tốt, nhưng lợi ích bảo mật còn tốt hơn. Tấn công một hệ thống với ít công cụ và vector tấn công (attack vectors) khó hơn hack một hệ điều hành hoàn toàn dựa trên GUI. Windows Server Core giảm bề mặt tấn công (attack surface), cung cấp công cụ Windows Server RSAT (Remote Server Administration) và khả năng chuyển từ Core sang GUI.
3. Bảo Vệ Tài Khoản Admin
Tài khoản người dùng mặc định trong Windows Server tên là Administrator. Kết quả là, hầu hết các cuộc tấn công brute force đều nhắm vào tài khoản này. Để bảo vệ tài khoản, bạn có thể đổi tên nó thành thứ gì đó khác. Thay vào đó, bạn cũng có thể vô hiệu hóa tài khoản administrator cục bộ hoàn toàn và tạo một tài khoản admin mới.
Khi đã vô hiệu hóa tài khoản admin cục bộ, hãy kiểm tra xem tài khoản guest cục bộ có sẵn không. Tài khoản guest cục bộ là kém an toàn nhất, vì vậy tốt nhất là loại bỏ chúng bất cứ nơi nào có thể. Áp dụng cách xử lý tương tự cho các tài khoản người dùng không sử dụng.
Một chính sách mật khẩu tốt yêu cầu thay đổi mật khẩu định kỳ, mật khẩu phức tạp và dài với số, ký tự, và ký tự đặc biệt có thể giúp bạn bảo mật tài khoản người dùng chống lại tấn công brute force.
4. Cấu Hình NTP
Quan trọng là cấu hình server của bạn để đồng bộ thời gian với máy chủ NTP (Network Time Synchronization) để ngăn chặn trôi thời gian (clock drift). Điều này thiết yếu vì ngay cả chênh lệch vài phút cũng có thể làm hỏng nhiều chức năng, bao gồm đăng nhập Windows.
Các tổ chức dùng thiết bị mạng dùng đồng hồ nội bộ hoặc dựa vào Public Internet Time Server để đồng bộ. Các server là thành viên domain thường có thời gian đồng bộ với domain controller. Tuy nhiên, server độc lập (stand-alone servers) sẽ yêu cầu bạn thiết lập NTP đến nguồn bên ngoài để ngăn chặn các cuộc tấn công replay (replay attacks).
5. Bật Và Cấu Hình Windows Firewall Và Antivirus
Windows Servers đi kèm với tường lửa (firewall) tích hợp và công cụ antivirus. Trên các server không có firewall phần cứng, Windows Firewall có thể giảm bề mặt tấn công và cung cấp bảo vệ khá tốt chống lại các cuộc tấn công mạng bằng cách giới hạn lưu lượng truy cập đến các đường dẫn cần thiết. Tuy nhiên, firewall dựa trên phần cứng hoặc đám mây (Cloud-based) sẽ cung cấp bảo vệ tốt hơn và giảm tải cho server của bạn.
Cấu hình firewall có thể là một nhiệm vụ rối rắm và khó thành thạo lúc đầu. Tuy nhiên, nếu không cấu hình đúng, các cổng mở (open ports) có thể truy cập bởi client không được ủy quyền sẽ tạo ra rủi ro bảo mật lớn cho server. Cũng hãy ghi nhớ các quy tắc được tạo cho việc sử dụng nó và các thuộc tính khác để tham khảo sau này.
6. Bảo Mật Remote Desktop (RDP)
Nếu bạn dùng RDP (Remote Desktop Protocol), hãy chắc chắn nó không mở ra internet. Để ngăn truy cập trái phép, hãy đổi cổng mặc định, và giới hạn truy cập RDP đến một địa chỉ IP cụ thể nếu bạn có địa chỉ IP chuyên dụng (dedicated IP). Bạn cũng có thể muốn quyết định ai có thể truy cập và dùng RDP, vì nó được bật mặc định cho tất cả người dùng trên server.
Cũng áp dụng tất cả các biện pháp bảo mật cơ bản khác để bảo mật RDP, bao gồm dùng mật khẩu mạnh, bật xác thực hai yếu tố (two-factor authentication), giữ phần mềm cập nhật, giới hạn truy cập qua cài đặt firewall nâng cao, bật xác thực cấp mạng (network-level authentication), và thiết lập chính sách khóa tài khoản (account lockout policy).
7. Bật Mã Hóa Ổ Đĩa BitLocker
Tương tự như Windows 10 Pro, phiên bản server của hệ điều hành đi kèm với công cụ mã hóa ổ đĩa tích hợp tên là BitLocker. Nó được coi là một trong những công cụ mã hóa tốt nhất bởi các chuyên gia bảo mật vì nó cho phép bạn mã hóa toàn bộ ổ cứng ngay cả khi an ninh vật lý của server bị vi phạm.
Trong quá trình mã hóa, BitLocker thu thập thông tin về máy tính của bạn và dùng nó để xác thực tính xác thực của máy tính. Sau khi xác thực, bạn có thể đăng nhập vào máy tính dùng mật khẩu. Khi phát hiện hoạt động đáng ngờ, BitLocker sẽ yêu cầu bạn nhập khóa khôi phục (recovery key). Trừ khi khóa giải mã được cung cấp, dữ liệu sẽ vẫn bị khóa.
Nếu bạn mới với mã hóa ổ cứng, hãy xem hướng dẫn chi tiết này về cách dùng BitLocker trong Windows 10.
8. Dùng Microsoft Baseline Security Analyzer
Microsoft Baseline Security Analyzer (MBSA) là một công cụ bảo mật miễn phí được chuyên gia CNTT dùng để giúp quản lý bảo mật server của họ. Nó có thể tìm ra các vấn đề bảo mật và bản cập nhật thiếu hụt trên server và đề xuất hướng dẫn khắc phục theo khuyến nghị bảo mật của Microsoft.
Khi dùng, MBSA sẽ kiểm tra các lỗ hổng quản trị Windows như mật khẩu yếu, sự hiện diện của lỗ hổng SQL và IIS, và các bản cập nhật bảo mật thiếu hụt trên các hệ thống riêng lẻ. Nó cũng có thể quét một máy hoặc nhóm máy tính bằng địa chỉ IP, domain, và các thuộc tính khác. Cuối cùng, báo cáo bảo mật chi tiết sẽ được chuẩn bị và hiển thị trên giao diện đồ họa dưới dạng HTML.
9. Cấu Hình Giám Sát Log Và Vô Hiệu Hóa Các Cổng Mạng Không Cần Thiết
Bất kỳ dịch vụ hoặc giao thức nào không cần thiết hoặc không được Windows Server và các thành phần cài đặt sử dụng phải bị vô hiệu hóa. Bạn có thể chạy quét cổng (port scan) để kiểm tra dịch vụ mạng nào bị lộ ra internet.
Giám sát các lần thử đăng nhập hữu ích để ngăn chặn xâm nhập và bảo vệ server chống lại tấn công brute force. Các công cụ ngăn chặn xâm nhập chuyên dụng (intrusion prevention tools) có thể giúp bạn xem và xem xét tất cả các tệp log và gửi cảnh báo nếu phát hiện hoạt động đáng ngờ. Dựa trên cảnh báo, bạn có thể thực hiện hành động thích hợp để chặn địa chỉ IP kết nối đến server của bạn.
Windows Server Hardening Có Thể Giảm Nguy Cơ Tấn Công Mạng!
Khi nói đến bảo mật Windows Server của bạn, luôn tốt khi nắm bắt mọi thứ bằng cách kiểm tra hệ thống để tìm rủi ro bảo mật thường xuyên. Bạn có thể bắt đầu bằng cách cài đặt các bản cập nhật mới nhất, bảo vệ tài khoản admin, dùng chế độ Windows Server Core khi có thể, và bật mã hóa ổ đĩa qua BitLocker.
Mặc dù Windows Server có thể chia sẻ cùng mã nguồn với phiên bản tiêu dùng của Windows 10 và trông giống hệt nhau, cách nó được cấu hình và sử dụng lại hoàn toàn khác biệt.