Khi nghi có người lạ vào được máy chủ Windows, nhật ký sự kiện của Windows ghi lại đủ để trả lời: ai vào, từ địa chỉ nào, lúc mấy giờ.
1. Mở Event Viewer
Bấm Windows + R, gõ eventvwr, rồi Enter.
2. Ba nơi chứa thông tin, dùng cho ba mục đích khác nhau
| Đường dẫn trong Event Viewer | Cho biết |
|---|---|
Windows Logs\Security, lọc Event ID 4624, Logon Type 10 |
Danh sách phiên đăng nhập thành công qua Remote Desktop. Đây là nơi quan trọng nhất |
Applications and Services Logs\Microsoft\Windows\TerminalServices-LocalSessionManager\Operational |
Phiên nào đã mở, ngắt, nối lại |
Applications and Services Logs\Microsoft\Windows\TerminalServices-RemoteConnectionManager\Operational |
Lượt kết nối tới, kể cả lượt không đăng nhập được |
Logon Type 10 nghĩa là đăng nhập từ xa qua Remote Desktop. Các con số khác là kiểu đăng nhập khác, nên lọc đúng số 10 thì danh sách gọn hẳn.
Vài kiểu hay gặp khác:
| Logon Type | Nghĩa |
|---|---|
| 2 | Đăng nhập ngay tại máy |
| 3 | Qua mạng, ví dụ truy cập thư mục chia sẻ |
| 10 | Remote Desktop |
3. Đọc một bản ghi
Mở một dòng Event ID 4624, xem ba trường này:
| Trường | Nghĩa |
|---|---|
| Account Name | Tài khoản đã đăng nhập |
| Source Network Address | Địa chỉ IP của người kết nối |
| Logon Type | Phải là 10 nếu là Remote Desktop |
4. Lọc nhanh bằng PowerShell
Bấm chuột phải vào nút Start, chọn Windows PowerShell (Admin), rồi:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4624} -MaxEvents 200 |
Where-Object { $_.Properties[8].Value -eq 10 } |
Select-Object TimeCreated,
@{N='TaiKhoan'; E={$_.Properties[5].Value}},
@{N='DiaChiIP'; E={$_.Properties[18].Value}} |
Format-Table -AutoSizeLệnh này cho ngay bảng: thời điểm, tài khoản, địa chỉ IP. Nhanh hơn bấm từng dòng trong giao diện rất nhiều.
Đếm số lần dò mật khẩu hỏng (Event ID 4625):
(Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 5000).CountXem những địa chỉ IP dò nhiều nhất:
Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625} -MaxEvents 5000 |
Group-Object { $_.Properties[19].Value } |
Sort-Object Count -Descending |
Select-Object Count, Name -First 15Máy mở cổng 3389 ra Internet thường có vài nghìn lượt dò mỗi ngày. Con số đó là bình thường, không phải dấu hiệu bị nhắm riêng.
5. Thấy một địa chỉ IP lạ đăng nhập thành công thì làm gì
Đây là trường hợp nghiêm trọng, không phải chuyện để mai tính. Làm theo thứ tự:
| Bước | Việc |
|---|---|
| 1 | Đổi mật khẩu mọi tài khoản quản trị trên máy |
| 2 | Xem Users and Groups, tìm tài khoản lạ hoặc tài khoản thường bị thêm vào nhóm Administrators |
| 3 | Kiểm Task Scheduler và các dịch vụ mới, đây là chỗ hay bị cài cắm để vào lại |
| 4 | Giới hạn cổng 3389 chỉ cho địa chỉ IP của quý Khách hàng, bằng tường lửa Windows |
| 5 | Nhắn Cloudzone qua khung chat, gửi kèm thời điểm và địa chỉ IP lạ |
⚠️ Đổi mật khẩu thôi là chưa đủ. Người đã vào được thường để lại một đường vào khác. Bước 2 và 3 mới là bước tìm ra nó.
6. Giảm hẳn số lượt dò
| Việc | Hiệu quả |
|---|---|
| Giới hạn địa chỉ IP được nối cổng 3389 | Mạnh nhất. Người ngoài không chạm tới được màn hình đăng nhập |
| Đổi cổng Remote Desktop | Giảm rõ lượng dò tự động. Xem bài Hướng dẫn sử dụng chức năng đổi port remote |
| Đặt mật khẩu dài | Tối thiểu 12 ký tự |
| Bật khoá tài khoản sau N lần sai | Trong secpol.msc, mục Account Lockout Policy |
| Nối qua VPN rồi mới remote | Cách sạch nhất, cổng 3389 không cần mở ra Internet |
7. Khi cần hỗ trợ
Nhắn qua khung chat ở góc phải màn hình kèm: địa chỉ IP máy chủ, thời điểm nghi có người lạ vào, và ảnh chụp hoặc kết quả chép ra của bản ghi Event ID 4624 tương ứng.
Nghi máy đã bị chiếm thì nói ngay trong tin nhắn đầu tiên, việc đó được xử lý trước.
