Windows Server Hardening: เช็กลิสต์เครื่องใหม่บนคลาวด์

เช็กลิสต์ Windows Server Hardening สำหรับเครื่องใหม่บนคลาวด์ จำกัด RDP จัดการบัญชีแอดมิน อัปเดต เปิด Defender และไฟร์วอลล์ ปิด SMBv1 ตั้ง audit และสำรองข้อมูล

โดย ทีมงาน THAI DATA CLOUD13 พ.ย. 2569 09:29 น. อ่าน 15 นาที

แชร์Facebook X LINE LinkedIn

Windows Server Hardening — Windows Server Hardening: เช็กลิสต์เครื่องใหม่บนคลาวด์ — Windows Server Hardening: เช็กลิสต์เครื่องใหม่บนคลาวด์

คำตอบสั้น ๆ: เช็กลิสต์ Windows Server Hardening สำหรับเครื่องใหม่บนคลาวด์ จำกัด RDP จัดการบัญชีแอดมิน อัปเดต เปิด Defender และไฟร์วอลล์ ปิด SMBv1 ตั้ง audit และสำรองข้อมูล

คู่มือนี้อธิบาย Windows Server Hardening ทีละขั้นตอน พร้อมคำสั่งที่ใช้ได้จริงและปัญหาที่พบบ่อย

Windows Server Hardening คือการปรับค่าของเครื่องให้เหลือช่องโหว่น้อยที่สุดก่อนใช้งานจริง เครื่องที่เพิ่งสร้างบนคลาวด์มี IP สาธารณะตั้งแต่นาทีแรก บอตจะเริ่มสแกนพอร์ตและเดารหัสผ่าน RDP ทันที ค่าเริ่มต้นของ Windows ออกแบบให้ใช้งานได้กว้าง ไม่ได้ออกแบบมาสำหรับเครื่องที่หันหน้าออกอินเทอร์เน็ต การทำ Windows Server Hardening ในวันแรกจึงสำคัญกว่าการตามแก้หลังเกิดเหตุ

คู่มือนี้เป็นเช็กลิสต์ Windows Server Hardening สำหรับผู้ดูแลที่เพิ่งเปิด Windows Server 2019, 2022 หรือ 2025 บนคลาวด์ ทั้งเครื่องเดี่ยวและเครื่องใน Active Directory เมื่อทำครบ คุณจะได้เครื่องที่จำกัดทางเข้า RDP มีบัญชีแอดมินที่ปลอดภัย อัปเดตแล้ว เปิด Defender และไฟร์วอลล์ครบ ปิดโปรโตคอลเก่า เก็บ log ที่ใช้สืบย้อนได้ และมี backup ที่กู้คืนได้จริง

สิ่งที่ต้องเตรียม

บัญชีที่อยู่ในกลุ่ม Administrators และ PowerShell แบบ Run as administrator
สิทธิ์แก้ Security Group และเปิด Console ของเครื่องบนพอร์ทัล TDC Enterprise เผื่อตั้งค่าผิดแล้วเข้า RDP ไม่ได้
IP สาธารณะของออฟฟิศหรือของ VPN ที่ทีมใช้
รายการบทบาทและโปรแกรมที่เครื่องนี้ต้องให้บริการจริง เช่น IIS, SQL Server หรือ File Server เพื่อแยกว่าอะไรควรปิดในรอบ Windows Server Hardening
snapshot ของเครื่องก่อนเริ่ม Windows Server Hardening เพื่อย้อนกลับได้ถ้าการปรับค่าใดทำให้แอปทำงานผิด

ภาพด้านล่างสรุปเช็กลิสต์ Windows Server Hardening ทั้งหมดในหน้านี้ แต่ละข้อมีวิธีทำและคำสั่งตรวจอยู่ในขั้นตอนถัดไป

เช็กลิสต์ Windows Server Hardening สำหรับเครื่องใหม่บนคลาวด์ ตั้งแต่จำกัด RDP บัญชีแอดมิน อัปเดต Defender ไฟร์วอลล์ จนถึงสำรองข้อมูล — ทำให้ครบภายในวันแรกที่เปิดเครื่อง ก่อนติดตั้งแอปและย้ายข้อมูลจริงเข้ามา

ขั้นตอนที่ 1: จำกัดทางเข้า RDP ตั้งแต่ชั้นคลาวด์

ช่องทางที่ถูกโจมตีมากที่สุดของ Windows Server บนคลาวด์คือ RDP ที่เปิดให้ทุก IP ขั้นแรกของ Windows Server Hardening จึงทำที่ Security Group ไม่ใช่ในตัวเครื่อง ที่ TDC Enterprise ไปที่ Network > Firewall Security แก้กฎ Inbound ของ RDP(3389) ให้ Source เป็น IP ออฟฟิศแบบ /32 และลบกฎที่ Source เป็น 0.0.0.0/0 ออก ถ้าทีมทำงานจากหลายที่ ให้ใช้ VPN หรือ RD Gateway ที่รับการเชื่อมต่อผ่าน HTTPS แทนการเปิด 3389

ในเครื่อง ตรวจว่า Network Level Authentication ยังเปิดอยู่ ค่า UserAuthentication ต้องเป็น 1

Get-ItemProperty 'HKLM:\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp' -Name UserAuthentication
net accounts

คำสั่ง net accounts แสดงนโยบายรหัสผ่านและ lockout ปัจจุบัน ถ้า Lockout threshold เป็น Never แปลว่าใครก็เดารหัสได้ไม่จำกัดครั้ง ให้ตั้งตามคู่มือ Account Lockout Policy

ขั้นตอนที่ 2: จัดการบัญชีแอดมินและรหัสผ่าน

ชื่อ Administrator เป็นชื่อแรกที่บอตลองเดา ให้สร้างบัญชีแอดมินชื่อเฉพาะ ทดสอบให้แน่ใจว่าเข้าได้ทั้งทาง RDP และ Console แล้วค่อยปิดบัญชีเดิม

$pw = Read-Host "Password for srvadmin" -AsSecureString
New-LocalUser -Name "srvadmin" -Password $pw -FullName "Server Admin"
Add-LocalGroupMember -Group "Administrators" -Member "srvadmin"

ออกจากระบบ แล้วล็อกอินใหม่ด้วย srvadmin ทั้งทาง RDP และ Console เมื่อเข้าได้ทั้งสองทางแล้วจึงปิดบัญชีเดิมและตรวจรายชื่อบัญชีทั้งหมด

Disable-LocalUser -Name "Administrator"
Get-LocalUser | Format-Table Name, Enabled, LastLogon

บัญชีที่ Enabled ควรมีแค่บัญชีที่มีเจ้าของชัดเจน บัญชี Guest ต้องเป็น False ใช้รหัสผ่านยาวอย่างน้อย 14 ตัวอักษรและไม่ซ้ำกับเครื่องอื่น ถ้ามีหลายเครื่องใน Active Directory ให้ใช้ Windows LAPS หมุนรหัส Local Administrator ของแต่ละเครื่องให้อัตโนมัติ งาน Windows Server Hardening ส่วนนี้ช่วยไม่ให้รหัสที่หลุดจากเครื่องหนึ่งพาผู้โจมตีไปเครื่องอื่นได้

ขั้นตอนที่ 3: ติดตั้งอัปเดตและตั้งรอบอัปเดต

image ของเครื่องใหม่อาจสร้างไว้ก่อนอัปเดตเดือนล่าสุด ให้ติดตั้งอัปเดตทั้งหมดก่อนเปิดบริการ ตรวจอัปเดตล่าสุดที่ติดตั้งแล้วด้วยคำสั่งนี้ แล้วติดตั้งเพิ่มผ่าน Settings หรือ sconfig ตามคู่มืออัปเดต Windows Server ผ่าน Windows Update และ sconfig

Get-HotFix | Sort-Object InstalledOn -Descending | Select-Object -First 5 HotFixID, Description, InstalledOn

Microsoft ออกอัปเดตความปลอดภัยทุกวันอังคารที่สองของเดือน ตั้งรอบของทีมให้ทดสอบและติดตั้งภายในไม่กี่วันหลังจากนั้น และเลือกช่วงรีสตาร์ตที่กระทบผู้ใช้น้อยที่สุด เครื่องที่ไม่ได้อัปเดตหลายเดือนคือเป้าหมายง่ายที่สุดของการโจมตี ไม่ว่าจะทำ Windows Server Hardening ข้ออื่นไว้ดีแค่ไหน

ขั้นตอนที่ 4: เปิด Defender และไฟร์วอลล์ทุกโปรไฟล์

Microsoft Defender Antivirus มากับ Windows Server 2016 ขึ้นไป ขั้นนี้ของ Windows Server Hardening ตรวจว่าเปิด real-time protection และ signature อัปเดตอยู่ ถ้าองค์กรใช้แอนตี้ไวรัสของผู้ผลิตอื่น ผู้ดูแลมักถอน Defender หรือตั้งเป็นโหมด passive ตามคำแนะนำของผู้ผลิต ซึ่งทำได้ แต่ต้องแน่ใจว่าตัวที่ใช้แทนทำงานจริง

Get-MpComputerStatus | Format-List AMServiceEnabled, RealTimeProtectionEnabled, AntivirusSignatureLastUpdated
Get-NetFirewallProfile | Format-Table Name, Enabled

ผลคำสั่ง PowerShell ตรวจ Windows Server Hardening พื้นฐาน ไฟร์วอลล์ทุกโปรไฟล์เปิด SMBv1 ปิด และ Defender เปิด real-time protection — รันชุดนี้ซ้ำทุกครั้งหลังติดตั้งโปรแกรมใหม่ เพราะตัวติดตั้งบางตัวแก้ค่าเหล่านี้

ไฟร์วอลล์ต้องเปิดทั้ง Domain, Private และ Public ถ้าโปรไฟล์ใดเป็น False ให้เปิดด้วย Set-NetFirewallProfile -Profile Domain,Private,Public -Enabled True จากนั้นดูว่าเครื่องเปิดพอร์ตรับการเชื่อมต่ออะไรอยู่บ้าง เทียบกับกฎใน Security Group ทุกพอร์ตที่ไม่มีเหตุผลให้เปิด ควรปิดบริการนั้นหรือจำกัด IP ด้วยกฎไฟร์วอลล์

Get-NetTCPConnection -State Listen | Sort-Object LocalPort -Unique | Format-Table LocalAddress, LocalPort, OwningProcess

ดูชื่อโปรแกรมจากเลข OwningProcess ด้วย Get-Process -Id ตั้งค่า Defender เพิ่มเติม เช่น การยกเว้นโฟลเดอร์ฐานข้อมูล ดูได้ในคู่มือตั้งค่า Microsoft Defender Antivirus บน Windows Server

ขั้นตอนที่ 5: ปิดโปรโตคอลและบริการที่ไม่ใช้

SMBv1 เป็นโปรโตคอลเก่าที่ถูกใช้แพร่ ransomware ระดับโลกมาแล้ว และเป็นรายการที่แนวทาง Windows Server Hardening ของ Microsoft ให้ปิด Windows Server 2019 ขึ้นไปไม่ติดตั้ง SMBv1 เป็นค่าเริ่มต้น แต่ image ที่ปรับแต่งหรือเครื่องที่อัปเกรดมาจากรุ่นเก่าอาจยังมี ตรวจและถอดออก

Get-WindowsFeature FS-SMB1
Get-SmbServerConfiguration | Select-Object EnableSMB1Protocol
Set-SmbServerConfiguration -EnableSMB1Protocol $false -Force
Uninstall-WindowsFeature FS-SMB1

คำสั่งถอดฟีเจอร์ต้องรีสตาร์ตเครื่องจึงมีผล ถ้ามีอุปกรณ์รุ่นเก่า เช่น เครื่องสแกนเอกสารที่ส่งไฟล์เข้าแชร์ด้วย SMBv1 ให้หาทางอัปเดตอุปกรณ์แทนการเปิดโปรโตคอลนี้ไว้ พอร์ต 445 ของ SMB ไม่ควรเปิดใน Security Group ให้อินเทอร์เน็ตเลย ถ้าต้องแชร์ไฟล์ข้ามสาขา ให้ใช้ VPN

บริการ Print Spooler มีช่องโหว่ร้ายแรงมาแล้วหลายครั้ง ถ้าเครื่องไม่ได้ทำหน้าที่ print server และผู้ใช้ไม่ต้องพิมพ์งานจาก session RDP ให้ปิดไว้ ถ้าผู้ใช้ต้องพิมพ์จาก RDP ห้ามปิด เพราะการส่งงานพิมพ์ไปเครื่องพิมพ์ฝั่งผู้ใช้ต้องพึ่งบริการนี้

Stop-Service Spooler
Set-Service Spooler -StartupType Disabled

ทบทวนบทบาทที่ติดตั้งไว้ด้วย Get-WindowsFeature | Where-Object Installed บทบาทที่ไม่ได้ใช้ เช่น IIS ที่ติดตั้งไว้ทดสอบ ให้ถอดออก ทุกบริการที่ไม่ได้ใช้คือช่องโหว่ที่ไม่มีใครเฝ้า การถอดสิ่งที่ไม่ใช้ออกจึงเป็นหัวใจของ Windows Server Hardening

ขั้นตอนที่ 6: เปิด audit policy และขยาย Security log

Windows Server Hardening ที่ดีต้องช่วยตอบคำถามหลังเกิดเหตุได้ด้วย สิ่งแรกที่ต้องรู้คือใครล็อกอินเข้ามาจากที่ไหนและเปลี่ยนอะไร เปิดการบันทึกเหตุการณ์ที่จำเป็นด้วย auditpol ชื่อ subcategory ด้านล่างใช้กับ Windows ภาษาอังกฤษ

auditpol /set /subcategory:"Logon" /success:enable /failure:enable
auditpol /set /subcategory:"Credential Validation" /success:enable /failure:enable
auditpol /set /subcategory:"User Account Management" /success:enable /failure:enable
auditpol /set /subcategory:"Security Group Management" /success:enable
auditpol /set /subcategory:"Audit Policy Change" /success:enable
auditpol /get /category:"Logon/Logoff"

ขนาด Security log ที่เล็กเกินไปจะถูกเขียนทับภายในไม่กี่วันบนเครื่องที่โดนเดารหัสผ่านตลอดเวลา ขยายเป็น 1 GB แล้วตรวจค่าด้วย wevtutil

wevtutil sl Security /ms:1073741824
wevtutil gl Security

เครื่องในโดเมนควรตั้งค่าเหล่านี้ผ่าน Group Policy แทนการตั้งทีละเครื่อง เพื่อให้ทุกเซิร์ฟเวอร์ได้ Windows Server Hardening ชุดเดียวกันและไม่หลุดเมื่อมีเครื่องใหม่

ขั้นตอนที่ 7: ตั้งการสำรองข้อมูลและบันทึกค่าที่ตั้งไว้

Windows Server Hardening ลดโอกาสโดนเจาะ แต่ไม่ได้ทำให้เป็นศูนย์ เครื่องที่ไม่มี backup ที่กู้ได้จริงยังเสี่ยงเสียข้อมูลจาก ransomware ความผิดพลาดของคน และดิสก์เสีย ตั้งสำรองข้อมูลด้วย Windows Server Backup หรือระบบสำรองของผู้ให้บริการ เก็บสำเนาไว้นอกเครื่อง และทดสอบกู้คืนไฟล์จริงอย่างน้อยหนึ่งครั้ง

สุดท้าย บันทึกค่าที่ตั้งไว้ในเอกสารของทีม เช่น IP ที่อนุญาต บัญชีแอดมิน รอบอัปเดต และตำแหน่ง backup แล้วทำ snapshot ใหม่ของเครื่องที่ผ่าน Windows Server Hardening แล้ว เพื่อใช้เป็นจุดเริ่มต้นที่สะอาดถ้าต้องกู้เครื่องในอนาคต

ลำดับขั้น Windows Server Hardening บนเครื่องใหม่ เริ่มจากปิดทางเข้าจากภายนอก จัดการบัญชี อัปเดต ลดช่องโหว่ เปิด audit และสำรองข้อมูล — ปิดทางเข้าจากภายนอกก่อน เพราะบอตเริ่มสแกนเครื่องใหม่ภายในไม่กี่นาทีหลังได้ IP

Windows Server 2025: ใช้ security baseline ของ OSConfig

Windows Server 2025 มีเครื่องมือ OSConfig ที่ใส่ security baseline ของ Microsoft ได้ในคำสั่งเดียว และคุมไม่ให้ค่าเลื่อนไปจากที่ตั้งไว้ baseline นี้ครอบคลุมการทำ Windows Server Hardening หลายร้อยรายการ ทั้งปิด SMBv1 บังคับ SMB signing จำกัด TLS ที่ 1.2 ขึ้นไป และเปิด audit เกือบทุกหมวด เครื่องที่ไม่ได้ join domain ใช้ scenario WorkgroupMember ส่วนเครื่องในโดเมนใช้ MemberServer

Install-Module -Name Microsoft.OSConfig -Scope AllUsers -Force
Set-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/WorkgroupMember -Default
Get-OSConfigDesiredConfiguration -Scenario SecurityBaseline/WindowsServer/2025/WorkgroupMember | ft Name, @{ Name = "Status"; Expression={$_.Compliance.Status} } -AutoSize

ต้องรีสตาร์ตเครื่องหลังใส่ baseline และมีผลข้างเคียงที่ต้องรู้ก่อนใช้กับเครื่องจริง ต้องเปลี่ยนรหัส Local Administrator ให้ยาวอย่างน้อย 14 ตัวอักษร บัญชีจะถูกล็อกหลังใส่รหัสผิด 3 ครั้งเป็นเวลา 15 นาที การคัดลอกไฟล์ผ่าน RDP จะถูกปิด และการเชื่อมต่อกับระบบเก่าที่ใช้ TLS ต่ำกว่า 1.2 หรือ SMB ต่ำกว่า 3.0 จะใช้ไม่ได้ ทดสอบกับเครื่องสำเนาก่อนเสมอ รายละเอียดอยู่ในเอกสาร Configure security baselines for Windows Server 2025 ของ Microsoft สำหรับ Windows Server 2019 และ 2022 ใช้ GPO baseline จาก Microsoft Security Compliance Toolkit เป็นแนวทาง Windows Server Hardening แทน

ปัญหาที่พบบ่อยเกี่ยวกับ Windows Server Hardening

เปลี่ยนพอร์ต RDP แทนการจำกัด IP ได้หรือไม่?

ในมุมของ Windows Server Hardening การเปลี่ยนพอร์ตลดจำนวนบอตที่สแกนพอร์ตมาตรฐานได้บ้าง แต่ไม่ได้ป้องกันการเดารหัสผ่าน เพราะเครื่องมือสแกนหาพอร์ต RDP ที่เปลี่ยนไว้ได้ไม่ยาก การจำกัด IP ที่ Security Group ได้ผลกว่ามาก ถ้าจะเปลี่ยนพอร์ตด้วยก็ทำร่วมกันได้ แต่ห้ามใช้แทน

ปิดบัญชี Administrator แล้วเข้าเครื่องไม่ได้ ต้องทำอย่างไร?

เข้าทาง Console ของแพลตฟอร์มด้วยบัญชีแอดมินใหม่ ถ้าบัญชีใหม่ก็เข้าไม่ได้ ให้ติดต่อผู้ให้บริการเพื่อช่วยรีเซ็ตรหัสผ่าน หรือกู้จาก snapshot ที่ทำไว้ก่อนเริ่ม นี่คือเหตุผลที่ Windows Server Hardening ต้องทดสอบบัญชีใหม่ทั้งทาง RDP และ Console ก่อนปิดบัญชีเดิม

ทำ Windows Server Hardening แล้วโปรแกรมบางตัวใช้งานไม่ได้ ควรทำอย่างไร?

ย้อนดูว่าปรับค่าอะไรไปล่าสุด แล้วทดสอบทีละรายการ สาเหตุที่พบบ่อยคือไฟร์วอลล์บล็อกพอร์ตที่โปรแกรมใช้ ปิด Print Spooler ทั้งที่ต้องพิมพ์ หรือโปรแกรมเก่าใช้ TLS หรือ SMB รุ่นเก่า แก้ด้วยการเปิดเฉพาะสิ่งที่โปรแกรมต้องใช้ ไม่ควรย้อนค่าความปลอดภัยทั้งหมด

ต้องทำ Windows Server Hardening ซ้ำบ่อยแค่ไหน?

ตรวจ Windows Server Hardening ซ้ำทุกเดือนหลังรอบอัปเดต และทุกครั้งที่ติดตั้งบทบาทหรือโปรแกรมใหม่ รันคำสั่งตรวจในขั้นตอนที่ 4 และ 5 ดูว่า Security Group ยังเปิดเฉพาะที่จำเป็น และดู Security log ว่ามีการล็อกอินล้มเหลวจากที่แปลก ๆ หรือไม่

ถ้าต้องการให้ทีมงานตรวจและทำ Windows Server Hardening ให้เครื่องที่ใช้งานอยู่ หรือเฝ้าระวังความปลอดภัยต่อเนื่อง ติดต่อทีมงาน THAI DATA CLOUD ได้ ดูรายละเอียดบริการได้ที่ Managed Security Services

อ่านเพิ่มเติมเกี่ยวกับ Windows Server Hardening

แชร์Facebook X LINE LinkedIn

มีคำถามเรื่องบริการ? ติดต่อทีมงาน