Ransomware tấn công qua RDP: 6 cấu hình chặn đứng 99% vụ việc

Sáng thứ Hai, nhân viên kế toán mở máy và thấy dòng chữ đòi tiền chuộc — toàn bộ file công ty đã bị mã hóa. Điều tra cho thấy kẻ tấn công không dùng kỹ thuật gì cao siêu: chúng chỉ đoán đúng mật khẩu Remote Desktop của một máy chủ mà công ty chưa bao giờ nghĩ tới việc chặn ransomware qua RDP. Kịch bản minh họa này không hiếm — RDP từ lâu đã là một trong những cửa ngõ phổ biến nhất để ransomware xâm nhập doanh nghiệp.

Tin tốt: phần lớn vụ tấn công qua RDP đều khai thác những điểm yếu rất cơ bản: RDP phơi trực tiếp ra Internet, mật khẩu yếu, không khóa tài khoản, thiếu xác thực đa yếu tố. 6 cấu hình dưới đây xử lý triệt để từng điểm yếu đó — và bất kỳ quản trị viên nào cũng có thể triển khai trong một buổi làm việc.

Chặn ransomware qua rdp: vì sao RDP là cửa ngõ ưa thích của ransomware?

RDP là giao thức cho phép điều khiển máy tính Windows từ xa, mặc định chạy trên port 3389. Trong giai đoạn dịch bệnh và làm việc từ xa, vô số doanh nghiệp đã mở RDP ra Internet để nhân viên truy cập máy chủ công ty — và nhiều nơi quên đóng lại sau đó.

Với kẻ tấn công, một RDP phơi ra Internet là "món hời": chúng dùng công cụ quét tự động dò hàng triệu địa chỉ IP tìm port 3389 đang mở, rồi thử hàng nghìn mật khẩu phổ biến (brute-force) hoặc dùng thông tin đăng nhập bị rò rỉ (credential stuffing). Chỉ cần một tài khoản yếu, chúng có ngay "cánh cửa" vào mạng nội bộ.

Từ đó kịch bản quen thuộc diễn ra: di chuyển ngang sang các máy khác, leo thang đặc quyền, vô hiệu hóa diệt virus và backup, rồi tung ransomware mã hóa toàn bộ. Theo Microsoft, brute-force RDP là kỹ thuật rất phổ biến trong các chiến dịch ransomware do con người điều khiển — hãng đã phải bổ sung chính sách khóa tài khoản mặc định trên Windows 11 để đối phó.

Chặn ransomware qua rdp: ransomware đi qua RDP như thế nào?

Hiểu chuỗi tấn công giúp thấy vì sao mỗi cấu hình dưới đây đều cần thiết:

1. Quét và phát hiện: botnet quét Internet tìm port 3389 mở — máy chủ của bạn lọt vào danh sách chỉ vì "có mặt" trên mạng.
2. Đoán mật khẩu: công cụ thử tự động hàng nghìn tổ hợp mỗi giờ; tài khoản "administrator" mật khẩu đơn giản là mục tiêu số một.
3. Xâm nhập: đăng nhập thành công, kẻ tấn công có phiên remote desktop như người dùng bình thường.
4. Di chuyển ngang và leo thang: quét mạng nội bộ, thử các máy khác, khai thác lỗ hổng chưa vá (như BlueKeep — CVE-2019-0708 từng gây chấn động với khả năng lây lan kiểu worm qua RDP).
5. Vô hiệu hóa phòng thủ: tắt phần mềm diệt virus, xóa shadow copy, vô hiệu hóa backup.
6. Mã hóa và đòi tiền chuộc.

Mỗi cấu hình dưới đây cắt đứt chuỗi tấn công tại một mắt xích khác nhau.

Chặn ransomware qua rdp: cấu hình 1: Không phơi RDP ra Internet — chỉ truy cập qua VPN

Đây là biện pháp hiệu quả nhất và cũng là bước đầu tiên phải làm. Nguyên tắc: không một máy chủ nào được mở port RDP trực tiếp ra Internet.

Cách triển khai:

• Trên firewall (hoặc security group của cloud), chặn toàn bộ truy cập từ Internet tới port 3389. Chỉ cho phép kết nối RDP từ dải IP nội bộ hoặc từ VPN gateway.
• Thiết lập VPN cho nhân viên cần truy cập từ xa: họ kết nối VPN vào mạng công ty trước, sau đó mới RDP tới máy chủ như đang ngồi trong văn phòng.
• Nếu không có VPN, giải pháp thay thế là RD Gateway — một cổng trung gian đặt ở biên mạng, yêu cầu xác thực trước khi cho RDP đi tiếp vào trong.

Cách kiểm tra nhanh: từ một mạng ngoài công ty (ví dụ 4G điện thoại), thử kết nối tới IP public của server trên port 3389. Nếu kết nối được nghĩa là RDP đang phơi ra ngoài — phải chặn ngay.

Lưu ý: VPN không thay thế mọi biện pháp khác. Nếu thông tin VPN bị lộ hoặc có thiết bị trong mạng đã nhiễm mã độc, kẻ tấn công vẫn có thể tới được RDP — vì vậy 5 cấu hình tiếp theo vẫn cần thiết.

Cấu hình 2: Bật Network Level Authentication (NLA)

NLA yêu cầu người dùng phải xác thực trước khi phiên RDP được thiết lập hoàn chỉnh, thay vì cho kết nối vào rồi mới hỏi mật khẩu. Điều này ngăn kẻ tấn công khai thác các lỗ hổng ở giai đoạn tiền xác thực của giao thức RDP.

Cách bật trên Windows Server:

1. Mở System Properties → tab Remote → tích chọn chỉ cho phép kết nối từ máy chạy Remote Desktop có NLA.
2. Hoặc qua Group Policy: Computer Configuration → Administrative Templates → Windows Components → Remote Desktop Services → Remote Desktop Session Host → Security → bật yêu cầu xác thực NLA.
3. Kiểm tra registry HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp: giá trị UserAuthentication bằng 1 là NLA đang bật.

Lưu ý tương thích: client RDP quá cũ (trước Windows 7) không hỗ trợ NLA. Trong môi trường hiện đại điều này hiếm khi là vấn đề, nhưng hãy kiểm tra các máy trạm cũ trước khi bật để tránh khóa nhầm người dùng hợp lệ.

Cấu hình 3: Chính sách khóa tài khoản chống brute-force

Brute-force chỉ hiệu quả khi kẻ tấn công được thử mật khẩu không giới hạn. Chính sách khóa tài khoản (account lockout) biến mỗi đợt đoán mật khẩu thành "trò chơi" mà kẻ tấn công luôn thua: thử sai quá số lần quy định, tài khoản bị khóa một thời gian.

Cấu hình khuyến nghị:

• Ngưỡng khóa: 5 lần đăng nhập sai liên tiếp.
• Thời gian khóa: 15–30 phút.
• Đặt lại bộ đếm: sau 15 phút.

Cách thiết lập: mở Local Security Policy (secpol.msc) hoặc Group Policy → Account Policies → Account Lockout Policy, chỉnh ba giá trị ngưỡng khóa, thời gian khóa và thời gian đặt lại bộ đếm. Trên môi trường domain, cấu hình một lần ở Default Domain Policy là áp dụng toàn hệ thống.

Song song, hãy rà soát và đổi tên hoặc vô hiệu hóa tài khoản "administrator" mặc định, đặt mật khẩu dài cho mọi tài khoản có quyền RDP, và giới hạn số tài khoản được phép remote desktop ở mức tối thiểu.

Cấu hình 4: Đổi port RDP mặc định và giới hạn IP truy cập

Port 3389 là "địa chỉ quen thuộc" mà mọi botnet đều quét đầu tiên. Đổi sang port khác (ví dụ 53389) không ngăn được kẻ tấn công có chủ đích, nhưng loại bỏ phần lớn lưu lượng quét tự động. Cách đổi: sửa giá trị PortNumber trong registry HKLM\SYSTEM\CurrentControlSet\Control\Terminal Server\WinStations\RDP-Tcp, khởi động lại máy, cập nhật rule firewall và thông báo cho người dùng cú pháp kết nối mới (địa-chỉ-server:port-mới).

Quan trọng hơn đổi port là giới hạn IP nguồn: trên firewall chỉ cho phép các IP cụ thể (IP văn phòng, IP VPN gateway) kết nối tới port RDP, chặn tất cả còn lại. Với cloud server, dùng security group để whitelist IP. Kết hợp port lạ + whitelist IP, botnet quét tự động gần như không còn cơ hội chạm tới RDP của bạn.

Cấu hình 5: Bật xác thực đa yếu tố (MFA) cho truy cập từ xa

Ngay cả khi mật khẩu bị lộ (qua phishing, rò rỉ dữ liệu, keylogger), MFA vẫn là bức tường cuối cùng: kẻ tấn công có username/password nhưng không có yếu tố thứ hai (mã OTP trên điện thoại, khóa bảo mật) thì vẫn không đăng nhập được.

Các lựa chọn triển khai MFA cho RDP: dùng Windows Hello for Business/smart card trong môi trường domain; dùng giải pháp MFA của bên thứ ba tích hợp vào màn hình đăng nhập Windows; hoặc đặt MFA ở lớp VPN/RD Gateway — kẻ tấn công không qua được VPN thì không bao giờ chạm tới RDP.

Ưu tiên bật MFA cho các tài khoản đặc quyền cao trước (domain admin, quản trị server), sau đó mở rộng cho toàn bộ người dùng có quyền RDP.

Cấu hình 6: Vá lỗ hổng và giữ backup 3-2-1 để luôn có đường lui

5 cấu hình trên là để ngăn tấn công. Cấu hình thứ 6 là để sống sót nếu điều tồi tệ nhất xảy ra — vì không có hệ thống nào an toàn tuyệt đối.

Vá lỗ hổng RDP định kỳ: các lỗ hổng nghiêm trọng như BlueKeep (CVE-2019-0708) cho phép thực thi mã từ xa mà không cần xác thực, và các máy chủ quên cập nhật vẫn bị khai thác. Hãy duy trì lịch patch hàng tháng, ưu tiên các bản vá bảo mật.

Backup theo nguyên tắc 3-2-1: 3 bản sao dữ liệu, 2 loại phương tiện khác nhau, 1 bản offsite. Điểm mấu chốt nhiều doanh nghiệp làm sai: backup đặt chung trên chính server bị mã hóa, hoặc tài khoản backup dùng chung quyền admin nên ransomware xóa luôn bản sao lưu. Bản backup offsite phải không thể bị xóa từ máy chủ production (immutable backup hoặc tài khoản riêng biệt).

Với hạ tầng cloud, SunCloud hỗ trợ backup tự động hàng tuần cho Cloud Server và VPS cùng khả năng khôi phục theo bản gần nhất — một lớp "đường lui" quan trọng. Dù dùng giải pháp nào, hãy diễn tập khôi phục ít nhất mỗi quý: backup chưa từng test thì chưa thể gọi là backup.

Kiểm tra lại: checklist rà soát sau khi cấu hình

Dành 30 phút chạy checklist sau để xác nhận mọi thứ hoạt động đúng — và lặp lại mỗi quý hoặc sau mỗi lần thay đổi hạ tầng:

Kẻ tấn công chỉ cần một kẽ hở — người phòng thủ cần bịt tất cả.

Kết luận

Chặn ransomware qua RDP không cần công cụ đắt tiền — 6 cấu hình trong bài viết đều có sẵn trong Windows và firewall: không phơi RDP ra Internet, bật NLA, khóa tài khoản chống brute-force, đổi port kết hợp whitelist IP, bật MFA, và duy trì vá lỗ hổng cùng backup 3-2-1. Mỗi lớp chặn một mắt xích trong chuỗi tấn công, cộng lại chúng bao phủ gần như toàn bộ kịch bản xâm nhập qua RDP thường gặp.

Nếu chỉ có một buổi chiều: làm cấu hình 1 (chặn RDP khỏi Internet qua firewall) trước — một thao tác này đã loại bỏ đa số nguy cơ. Sau đó triển khai dần các lớp còn lại và chạy checklist kiểm tra.

Nếu hệ thống của bạn đang chạy trên các máy chủ đặt tại datacenter và bạn muốn rà soát lại toàn bộ cấu hình bảo mật RDP, đội ngũ kỹ thuật SunCloud hỗ trợ 24/7/365 có thể tư vấn phương án hardening phù hợp. Liên hệ hotline 083 979 3434 hoặc truy cập suncloud.vn để được hỗ trợ.

Câu hỏi thường gặp

Tắt hẳn RDP có phải là cách an toàn nhất không?

Đúng, nếu server không cần quản trị từ xa qua giao diện đồ họa. Vô hiệu hóa Remote Desktop Services loại bỏ hoàn toàn bề mặt tấn công RDP. Nhiều server chỉ cần quản trị qua SSH, WinRM hoặc công cụ quản trị từ xa của nhà cung cấp cloud.

Đổi port RDP có thực sự giúp ích không?

Có, nhưng chỉ ở mức giảm nhiễu từ botnet quét tự động — kẻ tấn công có chủ đích vẫn dò ra port mới bằng quét toàn dải. Vì vậy đổi port phải đi kèm whitelist IP và các lớp bảo vệ khác, không nên coi là biện pháp duy nhất.

Tài khoản bị khóa do brute-force, làm sao mở lại?

Quản trị viên mở khóa thủ công trong Active Directory Users and Computers hoặc chờ hết thời gian khóa tự động. Nếu bị khóa liên tục, đó là dấu hiệu đang bị tấn công — hãy kiểm tra log đăng nhập và siết whitelist IP ngay.

Có nên dùng công cụ tự động chặn IP đăng nhập sai không?

Có thể — các công cụ auto-ban IP (tự thêm rule firewall chặn IP có nhiều lần đăng nhập thất bại) là lớp bổ sung hữu ích, nhưng không thay thế whitelist IP và MFA.

Backup trên cùng server có đủ chống ransomware không?

Không. Ransomware hiện đại chủ động tìm và xóa/mã hóa cả bản backup trên cùng máy. Bản sao lưu phải tách biệt: ổ đĩa riêng với tài khoản truy cập riêng, hoặc tốt hơn là bản offsite/immutable mà kẻ tấn công không thể chạm tới từ server bị nhiễm.

Bao lâu nên rà soát lại cấu hình RDP một lần?

Ít nhất mỗi quý một lần, và ngay sau mỗi lần thay đổi hạ tầng (thêm server, mở port cho dự án mới, nhân sự IT thay đổi). Kẻ tấn công chỉ cần một kẽ hở xuất hiện trong lúc bạn lơ là.