มีคนพยายามแฮกคอม รีโมทคอม หรือพยายามเข้าสู่ระบบ เช็คยังไง
1. เช็กโปรแกรมหรือการเชื่อมต่อรีโมท (Remote Access)
• Task Manager (ตัวจัดการงาน): กด Ctrl + Shift + Esc เพื่อเปิด Task Manager
ดูว่ามีโปรแกรมรีโมทแปลกปลอมทำงานอยู่เบื้องหลังหรือไม่ เช่น TeamViewer, AnyDesk, VNC
หรือโปรแกรมที่คุณไม่ได้เป็นคนติดตั้ง
Resource Monitor / Network: ใน Task Manager ไปที่แท็บ Performance
แล้วคลิก Open Resource Monitor ดูที่แท็บ Network ว่ามีโปรแกรมหรือ IP แปลกปลอม
กำลังเชื่อมต่อออกไปหาเครื่องอื่น (Remote Address) ผิดปกติหรือไม่
2. ตรวจสอบประวัติการล็อกอินและ Log ของระบบ (Event Viewer)
• Event Viewer (Windows): กดปุ่ม Windows พิมพ์ Event Viewer แล้วเปิดขึ้นมา
ไปที่ Windows Logs > Security มองหา Event ID เช่น:
• 4625 (มีความพยายามล็อกอินไม่สำเร็จ - แปลว่ามีคนพยายามเดารหัสผ่าน)
• 4624 (มีการล็อกอินสำเร็จ)
• เช็กบัญชี Microsoft (ถ้าใช้): หากคุณผูก Windows กับบัญชี Microsoft
ให้เข้าไปตรวจสอบกิจกรรมการลงชื่อเข้าใช้ย้อนหลังได้ที่หน้า Microsoft Account Activity
เพื่อดูว่ามีใครพยายามเข้าระบบจากที่อื่นหรือไม่
วิธีเปิด Event Viewer
1. กดปุ่ม Win + R พิมพ์คำว่า eventvwr.msc แล้วกด Enter
2. ที่เมนูด้านซ้าย ให้คลิกขยาย Windows Logs -> เลือก Security
Event ID สำคัญที่ต้องดู
• Event ID 4624 (Logon Success): มีการเข้าสู่ระบบสำเร็จ
• Event ID 4625 (Logon Failure): มีความพยายามเข้าสู่ระบบแต่ล้มเหลว (เช่น มีคนสุ่มเดารหัสผ่าน)
• Logon Type (ประเภทการเข้าสู่ระบบที่ต้องสังเกต):
• Logon Type 3: เป็นการล็อกอินผ่านเครือข่าย หรือการพยายามเชื่อมต่อจากระยะไกล/เจาะเข้ามาทางเน็ตเวิร์ก
• Logon Type 10: เป็นการรีโมทเข้ามาผ่าน Remote Desktop (RDP)
• Logon Type 2: เป็นการล็อกอินนั่งใช้หน้าจอคอมพิวเตอร์โดยตรง
วิธีตรวจสอบเบื้องต้นใน Event Viewer
เมื่อเปิดดูรายละเอียดของ Event ID 4625 (Logon Type 3) ให้สังเกตจุดสำคัญเหล่านี้:
• Account For Which Logon Failed: ชื่อบัญชีผู้ใช้ที่ถูกนำมาลองล็อกอิน
• Source Network Address (IP ต้นทาง): ดูว่าเป็น IP ภายในบ้าน/ภายในบริษัท (เช่น 192.168.x.x) หรือเป็น IP แปลกปลอมจากภายนอกอินเทอร์เน็ต
• Failure Reason: เช่น รหัสผ่านไม่ถูกต้อง (0xC000006A) หรือไม่พบชื่อผู้ใช้นี้ (0xC0000064)
• ความถี่: ถ้าขึ้นรัวๆ ทุกวินาที หรือทุกๆ ไม่กี่นาที มีโอกาสสูงว่ากำลังโดน Brute Force Attack
IP ต้นทาง (Source Network Address) ที่แสดงใน Event เป็น IP ภายในหรือภายนอก?
วิธีค้นหา Event ID เจาะจง
1. คลิกขวาที่ Security ด้านซ้าย -> เลือก Filter Current Log...
2. ในช่อง Event IDs ให้พิมพ์เลขที่ต้องการค้นหา เช่น 4625, 4624 แล้วกด OK
3. คลิกดูรายละเอียดด้านล่าง (Tab: General) จะบอกเวลา (Date and Time),
ชื่อผู้ใช้งาน (Account Name) และ IP Address ที่พยายามเชื่อมต่อเข้ามา
3. ตรวจสอบประวัติการใช้งานไฟล์และโปรแกรม
• กดปุ่ม Windows + R พิมพ์คำว่า recent แล้วกด Enter เพื่อดูไฟล์ล่าสุดที่มีคนเปิดใช้งานในเครื่อง
