วิธีป้องกัน Brute Force บน Windows Server 2025 ลดความเสี่ยงจากการเดารหัสผ่านและยึดบัญชีผู้ใช้

Brute Force Attack เป็นหนึ่งในรูปแบบการโจมตีที่พบมากที่สุดบน Windows Server 2025 โดยผู้โจมตีจะพยายามเดาชื่อผู้ใช้และรหัสผ่านซ้ำ ๆ จนกว่าจะเข้าสู่ระบบสำเร็จ

การโจมตีประเภทนี้มักเกิดกับ

• RDP (Remote Desktop Protocol)
• VPN
• Web Login
• Active Directory
• Remote Management

แม้จะเป็นเทคนิคที่ไม่ซับซ้อน แต่ยังคงสร้างความเสียหายให้กับองค์กรทั่วโลกอยู่เสมอ โดยเฉพาะเมื่อมีการใช้รหัสผ่านที่อ่อนแอหรือไม่มีมาตรการป้องกันเพิ่มเติม

Windows Server 2025 มีเครื่องมือและแนวทางหลายอย่างที่ช่วยลดความเสี่ยงจาก Brute Force ได้อย่างมีประสิทธิภาพ

① Brute Force Attack คืออะไร

Brute Force คือการลองชื่อผู้ใช้และรหัสผ่านจำนวนมากแบบอัตโนมัติ

ตัวอย่าง

admin
administrator
test
guest

ร่วมกับรหัสผ่านยอดนิยม

123456
password
admin123
qwerty

จนกว่าจะพบข้อมูลที่ถูกต้อง

② ทำไม Brute Force จึงอันตราย

หากบัญชีถูกยึดได้

ผู้โจมตีอาจ

• เข้าถึงข้อมูลสำคัญ
• ขโมยข้อมูล
• ติดตั้ง Malware
• ขยายสิทธิ์ในระบบ
• แพร่กระจาย Ransomware

จึงไม่ควรมองข้ามแม้เป็นการโจมตีพื้นฐาน

③ สัญญาณของ Brute Force Attack

สิ่งที่มักพบ

• Login ล้มเหลวจำนวนมาก
• Event ID 4625 เพิ่มขึ้นผิดปกติ
• Login จากต่างประเทศ
• การพยายาม Login ตลอด 24 ชั่วโมง

เป็นสัญญาณที่ควรตรวจสอบทันที

④ วิธีตรวจสอบ Brute Force ผ่าน Security Logs

เปิด

eventvwr.msc

ไปที่

Windows Logs
 └ Security

ค้นหา

4625

เหตุการณ์นี้หมายถึง

Login ล้มเหลว

⑤ เปิด Account Lockout Policy

วิธีที่สำคัญที่สุด

เปิด Group Policy

gpmc.msc

ไปที่

Computer Configuration
 └ Windows Settings
     └ Security Settings
         └ Account Policies
             └ Account Lockout Policy

ตั้งค่า

Account Lockout Threshold

ตัวอย่าง

5 Attempts

⑥ กำหนด Lockout Duration

ตัวอย่าง

15 Minutes

เมื่อใส่รหัสผิดเกินกำหนด

บัญชีจะถูกล็อกชั่วคราว

ช่วยหยุดการเดารหัสผ่านอัตโนมัติ

⑦ ใช้รหัสผ่านที่แข็งแรง

ตัวอย่างแนวทาง

• อย่างน้อย 14 ตัวอักษร
• ตัวพิมพ์ใหญ่
• ตัวพิมพ์เล็ก
• ตัวเลข
• อักขระพิเศษ

ตัวอย่าง

Srv#2025!Secure@Admin

ยิ่งรหัสผ่านซับซ้อน

ยิ่งเดาได้ยาก

⑧ เปิด Multi-Factor Authentication (MFA)

MFA เป็นหนึ่งในวิธีที่มีประสิทธิภาพที่สุด

แม้ผู้โจมตีจะรู้รหัสผ่าน

ก็ยังต้องผ่าน

• OTP
• Mobile App
• Security Key

ก่อนเข้าสู่ระบบ

⑨ จำกัดการเข้าถึง RDP

แนวทางที่แนะนำ

• ใช้ VPN ก่อนเข้า RDP
• ใช้ Allow List
• จำกัด Source IP

ไม่ควรเปิด RDP ให้เข้าถึงได้จากอินเทอร์เน็ตโดยตรง

⑩ บล็อก IP ที่พยายาม Login ซ้ำ

ตรวจสอบ Event 4625

เมื่อพบ IP ที่พยายาม Login จำนวนมาก

สามารถสร้าง Firewall Rule

New-NetFirewallRule -DisplayName "Block Brute Force IP" -Direction Inbound -RemoteAddress 203.0.113.50 -Action Block

เพื่อหยุดการโจมตีทันที

⑪ ใช้ Windows Defender Firewall

เปิด Firewall ทุก Profile

Get-NetFirewallProfile

ช่วยลด Attack Surface

และควบคุมการเข้าถึงได้ดีขึ้น

⑫ ใช้ Security Monitoring

ควรมีระบบแจ้งเตือนเมื่อพบ

• Event 4625 จำนวนมาก
• Account Lockout
• Login จากประเทศแปลก ๆ

ช่วยให้ตอบสนองต่อเหตุการณ์ได้เร็วขึ้น

⑬ ใช้ LAPS สำหรับ Local Administrator

LAPS ช่วยให้

Local Administrator

แต่ละเครื่องมีรหัสผ่านแตกต่างกัน

ลดความเสี่ยงจากการโจมตีแบบต่อเนื่อง

⑭ ใช้ Smart Account Naming

หลีกเลี่ยงชื่อ

admin
administrator
test
guest

เพราะเป็นเป้าหมายแรกของ Brute Force

ควรใช้ชื่อบัญชีที่คาดเดาได้ยากกว่า

⑮ ปิดบัญชีที่ไม่ได้ใช้งาน

บัญชีเก่าที่ไม่ได้ใช้งาน

มักกลายเป็นเป้าหมายของผู้โจมตี

ควร

• Disable
• Remove
• Review เป็นประจำ

⑯ ข้อผิดพลาดที่พบบ่อย

ไม่มี Account Lockout

เสี่ยงสูงมาก

ใช้รหัสผ่านง่าย

ถูกเดาได้รวดเร็ว

เปิด RDP ตรงสู่อินเทอร์เน็ต

เพิ่มโอกาสถูกโจมตี

ไม่ตรวจสอบ Security Logs

ทำให้รู้เหตุการณ์ช้าเกินไป

⑰ สัญญาณว่าระบบกำลังถูก Brute Force

ตัวอย่าง

• Event 4625 หลายพันรายการ
• Login ผิดทุกนาที
• Account Lockout จำนวนมาก
• Login จากหลายประเทศ

ควรเริ่มตรวจสอบทันที

⑱ Best Practice สำหรับองค์กร

• เปิด MFA
• เปิด Account Lockout
• ใช้ Password Policy
• จำกัด RDP
• ใช้ Allow List
• ตรวจสอบ Security Logs ทุกวัน

ทีมงาน comsiam มักแนะนำให้องค์กรเริ่มต้นจาก MFA และ Account Lockout Policy ก่อนเป็นอันดับแรก เพราะเป็นสองมาตรการที่ให้ผลลัพธ์คุ้มค่าที่สุดในการลดความเสี่ยงจาก Brute Force

ในหลายโครงการที่ comsiam เข้าไปตรวจสอบ พบว่าเซิร์ฟเวอร์จำนวนไม่น้อยยังเปิด RDP สู่สาธารณะโดยตรง ซึ่งเป็นสาเหตุหลักที่ทำให้เกิดการโจมตีแบบ Brute Force อย่างต่อเนื่อง

⑲ FAQ

Brute Force ยังพบได้บ่อยหรือไม่

พบได้บ่อยมาก

MFA ป้องกันได้หรือไม่

ช่วยลดความเสี่ยงได้อย่างมาก

Event ID ที่สำคัญคืออะไร

4625

ควรเปิด Account Lockout หรือไม่

ควรอย่างยิ่ง

⑳ สรุป

Brute Force Attack เป็นหนึ่งในการโจมตีที่พบบ่อยที่สุดบน Windows Server 2025 การใช้ Account Lockout Policy, MFA, Password Policy, Firewall และ Security Monitoring ร่วมกัน จะช่วยลดความเสี่ยงจากการถูกเดารหัสผ่านและยึดบัญชีผู้ใช้ได้อย่างมีประสิทธิภาพ

㉑ คำถามชวนคิด

หากมีผู้โจมตีพยายามเดารหัสผ่านบัญชี Administrator ของคุณวันละหลายหมื่นครั้งจากทั่วโลก วันนี้ระบบของคุณจะสามารถหยุดเขาได้ก่อนเข้าสู่ระบบสำเร็จหรือไม่?