Windows và Windows Server là những hệ điều hành được sử dụng phổ biến trên Cloud VPS và Dedicated Server nhờ khả năng tương thích với nhiều phần mềm doanh nghiệp như SQL Server, IIS, Remote Desktop Services, MISA, ERP, Active Directory… Tuy nhiên, đây cũng là mục tiêu bị tấn công nhiều nhất trên Internet, đặc biệt là các máy chủ mở dịch vụ Remote Desktop (RDP).

Chỉ cần một vài thiết lập mặc định không được thay đổi, máy chủ có thể trở thành mục tiêu của các cuộc tấn công brute-force, ransomware hoặc khai thác lỗ hổng bảo mật. Dưới đây là checklist bảo mật mà đội ngũ kỹ thuật DataOnline khuyến nghị áp dụng cho mọi Windows VPS và Windows Server.

1. Luôn cập nhật Windows Update

Việc đầu tiên sau khi cài đặt là cập nhật đầy đủ các bản vá bảo mật từ Microsoft.

Nên cập nhật:

• Windows Security Update
• .NET Framework
• Defender Platform
• Cumulative Update

Không nên sử dụng các bản Windows quá cũ như:

• Windows Server 2008
• Windows Server 2012 (đã hết hỗ trợ tiêu chuẩn)

2. Đổi tên tài khoản Administrator

Tài khoản Administrator luôn là mục tiêu đầu tiên của hacker.

Khuyến nghị:

• Đổi tên Administrator
• Tạo một tài khoản quản trị khác
• Disable Administrator nếu không sử dụng

Điều này giúp giảm đáng kể các cuộc tấn công dò mật khẩu tự động.

Tham khảo Docs chi tiết tại đây

3. Đặt mật khẩu mạnh

Mật khẩu nên có:

• Từ 14 ký tự trở lên
• Chữ hoa
• Chữ thường
• Số
• Ký tự đặc biệt

Ví dụ:

D@ta0nline#2026!Cloud

Không nên sử dụng:

123456
admin123
Password@

4. Thay đổi cổng RDP

Mặc định:

TCP 3389

Đây là cổng bị scanner quét liên tục.

Có thể đổi sang:

52111
41239
62000

Sau khi đổi cần:

• Cập nhật Windows Firewall
• Khởi động lại dịch vụ RDP

5. Giới hạn IP được phép Remote Desktop

Nếu có IP cố định của văn phòng hoặc nhân viên:

Chỉ cho phép:

203.x.x.x
103.x.x.x

Không mở:

0.0.0.0/0

Đây là biện pháp hiệu quả nhất để chống brute-force.

6. Bật Windows Firewall

Không nên tắt Firewall chỉ vì “cho dễ dùng”.

Chỉ mở các dịch vụ cần thiết:

• RDP
• IIS
• SQL Server (nếu cần)
• FTP (nếu thực sự sử dụng)

Đóng toàn bộ các cổng còn lại.

7. Bật Account Lockout Policy

Ví dụ:

• Sai mật khẩu 5 lần
• Khóa tài khoản 15 phút

Giúp ngăn chặn các cuộc tấn công dò mật khẩu.

8. Tắt các dịch vụ không sử dụng

Ví dụ:

• SMBv1
• Print Spooler (nếu không in)
• Remote Registry
• Fax
• Xbox Services
• Bluetooth

Càng ít dịch vụ chạy, càng ít nguy cơ bị khai thác.

9. Không sử dụng tài khoản Administrator cho ứng dụng

Website, SQL Server hoặc phần mềm không nên chạy bằng Administrator.

Nên tạo tài khoản riêng với quyền tối thiểu.

10. Bật Windows Defender

Windows Defender trên Windows Server 2019/2022/2025 có khả năng bảo vệ khá tốt nếu được cập nhật thường xuyên.

Nên:

• Realtime Protection
• Cloud Protection
• Tamper Protection
• Automatic Sample Submission

11. Cài phần mềm chống mã độc nếu cần

Đối với máy chủ doanh nghiệp có thể cân nhắc:

• Bitdefender GravityZone
• ESET Protect
• Microsoft Defender for Business
• Sophos

Không nên cài nhiều phần mềm Antivirus cùng lúc.

12. Hạn chế sử dụng trình duyệt

Server không nên dùng để:

• Lướt web
• Tải phần mềm crack
• Mở email cá nhân

Đây là nguyên nhân phổ biến khiến server bị nhiễm mã độc.

13. Chỉ cài phần mềm từ nguồn chính thức

Không cài:

• Windows Activator
• Office Crack
• Patch
• Keygen

Đây là nguồn phát tán ransomware rất phổ biến.

14. Sao lưu định kỳ

Không có hệ thống nào an toàn tuyệt đối.

Nên:

• Backup hàng ngày
• Snapshot trước khi cập nhật
• Lưu bản sao trên máy chủ hoặc vùng lưu trữ khác

Định kỳ kiểm tra khả năng khôi phục dữ liệu thay vì chỉ kiểm tra việc tạo bản sao lưu.

15. Bật ghi nhật ký (Audit Log)

Theo dõi:

• Đăng nhập thất bại
• Đăng nhập thành công
• Thay đổi tài khoản
• Cài đặt phần mềm
• Khởi động hoặc dừng dịch vụ

Event Viewer là công cụ hữu ích để phát hiện các dấu hiệu bất thường.

16. Kiểm tra các cổng đang mở

Thường xuyên rà soát:

netstat -ano

hoặc

Get-NetTCPConnection

Nếu phát hiện cổng lạ cần kiểm tra ngay tiến trình đang sử dụng.

17. Mã hóa dữ liệu quan trọng

Nếu lưu trữ dữ liệu nhạy cảm:

• Bật BitLocker (nếu phù hợp với môi trường)
• Mã hóa cơ sở dữ liệu
• Sử dụng giao thức HTTPS/TLS

18. Bật xác thực đa yếu tố (MFA)

Đối với:

• Remote Desktop Gateway
• VPN
• Microsoft Account
• Azure AD

MFA giúp giảm đáng kể nguy cơ bị chiếm quyền truy cập khi mật khẩu bị lộ.

19. Không cấp quyền Administrator cho tất cả người dùng

Áp dụng nguyên tắc Least Privilege:

• Người dùng chỉ có quyền cần thiết.
• Chỉ cấp quyền quản trị khi thực sự cần.

Điều này giúp hạn chế thiệt hại nếu tài khoản bị xâm nhập.

20. Theo dõi tài nguyên hệ thống

Thường xuyên kiểm tra:

• CPU
• RAM
• Disk
• Network
• Event Log

CPU hoặc băng thông tăng đột biến có thể là dấu hiệu của malware, botnet hoặc quá trình khai thác trái phép.

Checklist nhanh

• ✅ Cập nhật Windows đầy đủ.
• ✅ Đổi tên hoặc vô hiệu hóa Administrator mặc định.
• ✅ Đặt mật khẩu mạnh và bật Account Lockout.
• ✅ Đổi cổng RDP, chỉ cho phép truy cập từ IP tin cậy.
• ✅ Bật Windows Firewall và Windows Defender.
• ✅ Tắt các dịch vụ không cần thiết.
• ✅ Không cài phần mềm từ nguồn không rõ ràng.
• ✅ Sao lưu dữ liệu và kiểm tra khả năng khôi phục định kỳ.
• ✅ Theo dõi Event Log, tài nguyên và các cổng đang mở.
• ✅ Áp dụng nguyên tắc phân quyền tối thiểu và MFA khi có thể.

Kết luận

Bảo mật Windows Server không phụ thuộc vào một thiết lập duy nhất mà là sự kết hợp của nhiều lớp phòng vệ: cập nhật bản vá, kiểm soát truy cập, cấu hình dịch vụ hợp lý, giám sát hệ thống và sao lưu dữ liệu. Một Cloud VPS hay Dedicated Server được cấu hình đúng ngay từ đầu sẽ giảm đáng kể nguy cơ bị tấn công, hạn chế thời gian gián đoạn dịch vụ và bảo vệ dữ liệu doanh nghiệp hiệu quả hơn.

Tại DataOnline, tất cả Cloud VPS Windows đều được triển khai trên hạ tầng OpenStack với hệ thống Anti-DDoS, cho phép khách hàng chủ động quản lý Firewall, Console (VNC), Snapshot và Backup, giúp việc vận hành và khôi phục hệ thống nhanh chóng khi xảy ra sự cố.