ลบสิทธิ์ผู้ดูแลระบบท้องถิ่นโดยใช้นโยบายกลุ่ม

ในคู่มือนี้ ฉันจะแสดงวิธีลบสิทธิ์ผู้ดูแลระบบท้องถิ่นโดยใช้นโยบายกลุ่ม

ฉันจะแสดงวิธีเพิ่มผู้ใช้หรือกลุ่มในกลุ่มผู้ดูแลระบบท้องถิ่นด้วย

ด้วยการใช้นโยบายกลุ่ม คุณสามารถควบคุมสิทธิ์ของผู้ดูแลระบบภายในเครื่องได้ และรับรองว่าไม่มีการเพิ่มผู้ใช้กลับเข้าไปในกลุ่มผู้ดูแลระบบภายในเครื่องโดยไม่ได้รับการอนุมัติจากคุณ

หัวข้อในคู่มือนี้:

• สร้างรายงานผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบภายใน
• วิธีลบสิทธิ์ผู้ดูแลระบบท้องถิ่นโดยใช้นโยบายกลุ่ม
• สร้าง GPO ใหม่
• เรียกใช้ gpupdate หรือรีบูตคอมพิวเตอร์
• การแยกคอมพิวเตอร์ออกจากนโยบาย GPO (อนุญาตให้ผู้ใช้บางรายรักษาสิทธิ์ของผู้ดูแลระบบ)

เหตุใดสิทธิ์ของผู้ดูแลระบบท้องถิ่นจึงมีความเสี่ยงด้านความปลอดภัยอย่างมาก

คุณไม่ต้องการให้ผู้ใช้ของคุณเข้าสู่ระบบคอมพิวเตอร์และทำงานประจำวันด้วยสิทธิ์ของผู้ดูแลระบบ การใช้สิทธิ์ของผู้ดูแลระบบเป็นวิธีการหลักที่ผู้โจมตีใช้ในการแพร่กระจายและเข้าควบคุมระบบภายในองค์กร

สถานการณ์ที่ 1: ผู้ใช้ลงชื่อเข้าใช้คอมพิวเตอร์ด้วยสิทธิ์ของผู้ดูแลระบบ บุคคลนี้ถูกหลอกให้เปิดอีเมลที่มีไฟล์แนบที่เป็นอันตราย เอกสารแนบนี้มีโค้ดปฏิบัติการและดำเนินการบนคอมพิวเตอร์ เนื่องจากผู้ใช้เข้าสู่ระบบด้วยสิทธิ์ของผู้ดูแลระบบ โค้ดที่เป็นอันตรายนี้จึงมีสิทธิ์เต็มรูปแบบในคอมพิวเตอร์ จึงสามารถติดตั้งคีย์ล็อกเกอร์ ดมกลิ่น เรียกใช้แรนซัมแวร์และเข้ารหัสไฟล์ทั้งหมด ติดตั้งซอฟต์แวร์ควบคุมระยะไกล และอื่นๆ ไม่ดี.

สถานการณ์ที่ 2: มีใครบางคน..บางทีเทคโนโลยีโปรแกรมช่วยเหลือได้สร้างผู้ใช้ในเครื่องบนคอมพิวเตอร์หลายเครื่องด้วยรหัสผ่านเดียวกัน และเพิ่มลงในกลุ่มผู้ดูแลระบบในเครื่อง หากผู้โจมตีถอดรหัสรหัสผ่านนี้ ผู้โจมตีจะมีสิทธิ์การเข้าถึงของผู้ดูแลระบบในเครื่องทั้งหมดที่ใช้สร้างบัญชีนี้ ผู้โจมตีสามารถย้ายจากระบบหนึ่งไปอีกระบบหนึ่งโดยทิ้งไฟล์ที่เป็นอันตราย ขโมยข้อมูล และอื่นๆ

ทั้งสองสถานการณ์สามารถบรรเทาลงได้ด้วยการควบคุมกลุ่มผู้ดูแลระบบในพื้นที่ของคุณ ตอนนี้… มาดูบทช่วยสอนกันดีกว่า

สร้างรายงานผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบภายใน

เป็นสิ่งสำคัญมากที่คุณจะต้องเรียกใช้รายงานบนคอมพิวเตอร์ทุกเครื่องก่อนเพื่อดูว่าใครมีสิทธิ์ของผู้ดูแลระบบในพื้นที่ จากนั้นตรวจสอบรายงานนี้กับเจ้าหน้าที่เพื่อหารือว่าเหตุใดผู้ใช้หรือกลุ่มเหล่านี้จึงมีสิทธิ์ของผู้ดูแลระบบในเครื่องคอมพิวเตอร์ของตน ขั้นตอนต่อไปคือการขออนุมัติให้ลบผู้ใช้เหล่านี้ออก

ฉันเคยผ่านกระบวนการนี้กับองค์กรขนาดใหญ่และผู้คนก็โกรธมากเมื่อคุณลบสิทธิ์ผู้ดูแลระบบของพวกเขา แถมของแตกได้ ฉันขอแนะนำให้คุณแจ้งการเปลี่ยนแปลงเหล่านี้และได้รับการอนุมัติอย่างเหมาะสม

หากต้องการรับรายงาน คุณสามารถใช้ Local Administrator Report Tool จาก AD Pro Toolkit

นี่คือขั้นตอน:

1. ดาวน์โหลดและติดตั้ง Toolkit - คุณสามารถดาวน์โหลดรุ่นทดลองใช้ฟรีได้ที่นี่
2. เปิดชุดเครื่องมือ -> รายงานผู้ดูแลระบบท้องถิ่น
3. เลือกตัวเลือกการค้นหา (เลือกทั้งโดเมนหรือ OU/กลุ่ม)
4. คลิกเรียกใช้

เมื่อดำเนินการเสร็จแล้ว คุณสามารถจัดเรียงและกรองคอลัมน์ใดก็ได้ คุณสามารถส่งออกรายงานนี้เป็น CSV เพื่อเก็บไว้เป็นหลักฐานได้ เป็นความคิดที่ดีที่จะแชร์รายงานนี้กับเจ้าหน้าที่ เพื่อให้พวกเขาทราบว่าใครมีสิทธิ์ของผู้ดูแลระบบและใครจะถูกลบออก

วิธีลบสิทธิ์ผู้ดูแลระบบท้องถิ่นโดยใช้นโยบายกลุ่ม

เคล็ดลับ: ฉันขอแนะนำให้คุณทดสอบการเปลี่ยนแปลงเหล่านี้บนคอมพิวเตอร์หรือผู้ใช้เครื่องเดียวก่อนที่จะนำไปใช้กับระบบที่ใช้งานจริงทั้งหมด

ขั้นแรก ให้ตรวจสอบคอมพิวเตอร์และดูว่าบัญชีใดบ้างที่อยู่ในกลุ่มผู้ดูแลระบบภายใน ซึ่งสามารถทำได้ง่ายๆ โดยใช้คำสั่ง PowerShell ต่อไปนี้

Get-LocalGroupMember administrators

คุณสามารถเห็นในภาพหน้าจอว่ามีผู้ใช้ภายในและโดเมนหลายคนในกลุ่มผู้ดูแลระบบ

คุณยังสามารถรับรายงานนี้ได้จาก AD Pro Toolkit

นี้ไม่ดี.

คุณจะเห็นว่า PC1 มีผู้ใช้ภายในและสองกลุ่มที่เป็นสมาชิกของกลุ่มผู้ดูแลระบบท้องถิ่น

การใช้นโยบายกลุ่มไม่เพียงแต่สามารถลบบัญชีเหล่านี้ได้ แต่ยังสามารถควบคุมบัญชีผู้ใช้หรือกลุ่มที่เป็นสมาชิกของกลุ่มนี้ได้ หากมีคนพยายามเพิ่มผู้ใช้ในกลุ่มนี้ด้วยตนเอง นโยบายกลุ่มจะแทนที่ผู้ใช้นั้น

ฉันชอบรวมคอมพิวเตอร์ทุกเครื่องไว้ในหน่วยขององค์กร ซึ่งทำให้ง่ายต่อการใช้นโยบายกลุ่มกับบัญชีคอมพิวเตอร์

สร้าง GPO ใหม่

ขั้นตอนที่ 1 คลิกขวาที่หน่วยขององค์กรที่คุณต้องการใช้ GPO และเลือก “สร้าง GPO ในโดเมนนี้ และลิงก์ที่นี่”

ขั้นตอนที่ 2 ตั้งชื่อ GPO แล้วคลิกตกลง

ตอนนี้คุณต้องแก้ไข GPO

ขั้นตอนที่ 3 คลิกขวาที่ GPO แล้วคลิกแก้ไข

ขั้นตอนที่ 4 เรียกดูการตั้งค่า GPO ต่อไปนี้

การกำหนดค่าคอมพิวเตอร์ -> การตั้งค่า -> การตั้งค่าแผงควบคุม -> ผู้ใช้และกลุ่มภายใน

ตอนนี้คลิกขวาในหน้าต่างด้านขวาแล้วเลือกใหม่ -> กลุ่มท้องถิ่น

คุณสมบัติของกลุ่มท้องถิ่นใหม่

• การดำเนินการ: อัปเดต
• ชื่อกลุ่ม: ผู้ดูแลระบบ (ในตัว)
• ลบผู้ใช้ที่เป็นสมาชิกทั้งหมด: การดำเนินการนี้จะลบผู้ใช้ทั้งหมดออกจากกลุ่มผู้ดูแลระบบภายใน ฉันจะเลือกช่องนี้
• ลบกลุ่มสมาชิกทั้งหมด: การดำเนินการนี้จะลบกลุ่มทั้งหมดออกจากกลุ่มผู้ดูแลระบบภายใน ฉันจะเลือกช่องนี้

สมาชิก:

คลิกเพิ่มและเลือกสมาชิกที่คุณต้องการเพิ่มลงในกลุ่มผู้ดูแลระบบภายใน คุณอาจต้องการให้บัญชีผู้ดูแลระบบท้องถิ่นและกลุ่มผู้ดูแลระบบโดเมนเป็นผู้ดูแลระบบท้องถิ่น... แต่นั่นก็ขึ้นอยู่กับคุณเลย ฉันจะเพิ่มกลุ่มที่มีเจ้าหน้าที่ฝ่ายช่วยเหลือเพื่อให้พวกเขามีสิทธิ์ของผู้ดูแลระบบในเครื่องคอมพิวเตอร์

ภาพหน้าจอของการตั้งค่าของฉัน

การตั้งค่าข้างต้นจะลบผู้ใช้และกลุ่มทั้งหมดออกจากกลุ่มของผู้ดูแลระบบภายใน จากนั้นจึงเพิ่มผู้ใช้ที่ระบุในกล่องของสมาชิกกลับเข้าไป วิธีนี้จะล้างบัญชีที่ไม่ต้องการทั้งหมด และเพิ่มเฉพาะบัญชีที่คุณอนุมัติผ่าน GPO

หมายเหตุ: ผู้ใช้ที่มีสิทธิ์ของผู้ดูแลระบบยังคงสามารถแก้ไขความเป็นสมาชิกกลุ่มในเครื่องได้ แต่เมื่อ GPO รีเฟรช ก็จะเปลี่ยนกลับเป็นการตั้งค่า GPO

เรียกใช้ gpupdate หรือรีบูตคอมพิวเตอร์

ตอนนี้ GPO ถูกสร้างขึ้นและเชื่อมโยงกับหน่วยองค์กรแล้ว มาทดสอบกัน

บน PC1 ฉันจะเรียกใช้คำสั่งต่อไปนี้เพื่อบังคับให้อัปเดตนโยบายกลุ่ม

gpupdate /force

เมื่อคำสั่งเสร็จสิ้น ฉันจะตรวจสอบความเป็นสมาชิกกลุ่มอีกครั้ง ด้านล่างนี้เป็นภาพหน้าจอของก่อนและหลัง คุณจะเห็นว่า GPO ได้ลบสมาชิกของกลุ่มผู้ดูแลระบบภายในและกำหนดค่าสมาชิกให้เป็นการตั้งค่า GPO

ค่อนข้างเท่ห์ใช่ไหม?

คุณสามารถดูได้จากภาพหน้าจอว่าบัญชีที่ไม่ต้องการถูกลบออกจากกลุ่มผู้ดูแลระบบแล้ว GPO ลบสามกลุ่มและบัญชีผู้ใช้ภายในสองบัญชี จากนั้นจึงเพิ่มกลุ่มผู้ดูแลระบบโดเมน กลุ่ม IT_Wrk_Admin และบัญชีผู้ดูแลระบบภายในเครื่อง

คอมพิวเตอร์ทุกเครื่องที่คุณใช้นโยบายนี้จะได้รับการตั้งค่าที่แน่นอนเหล่านี้ หากคุณเลือกที่จะลบบัญชีผู้ใช้และกลุ่มของสมาชิกทั้งหมด จะเป็นการลบบัญชีเหล่านั้นออกจากกลุ่มของผู้ดูแลระบบท้องถิ่น ฉันขอแนะนำให้คุณทดสอบสิ่งนี้ก่อนเปิดตัวสู่การใช้งานจริง

แยกคอมพิวเตอร์ออกจากนโยบาย GPO

หากคุณต้องการแยกคอมพิวเตอร์ออกจากนโยบายนี้ ให้ทำตามขั้นตอนเหล่านี้:

เคล็ดลับ: มีโปรแกรมที่เขียนโค้ดไม่ดีจำนวนมากที่ไม่ทำงานโดยไม่ให้สิทธิ์ผู้ดูแลระบบแก่ผู้ใช้ หากคุณสามารถหลีกเลี่ยงโปรแกรมเหล่านี้ได้ โปรดหลีกเลี่ยง มันไร้สาระที่ยังมีบริษัทที่ขายซอฟต์แวร์ที่ไม่สามารถทำงานได้ด้วยสิทธิ์ของผู้ดูแลระบบ...ลองหลีกเลี่ยงโปรแกรมเหล่านี้อีกครั้ง หากคุณไม่สามารถดูโปรแกรมการยกระดับสิทธิ์เช่น BeyondTrust และ PolicyPak โปรแกรมเหล่านี้ช่วยให้คุณสามารถกำหนดค่าโปรแกรมให้ทำงานโดยไม่ต้องให้สิทธิ์ผู้ดูแลระบบแก่ผู้ใช้

ขั้นตอนที่ 1 สร้างกลุ่มไดเรกทอรีที่ใช้งานใหม่ ตั้งชื่อสิ่งที่คุณต้องการ

ขั้นตอนที่ 2 เพิ่มบัญชีคอมพิวเตอร์ที่คุณต้องการยกเว้นในกลุ่มนี้

ขั้นตอนที่ 3 ในคอนโซลการจัดการนโยบายกลุ่ม ให้เลือก GPO ที่คุณสร้างและเลือกแท็บการมอบหมาย

ตอนนี้คลิกแท็บขั้นสูง

คลิกเพิ่มและเลือกกลุ่มที่คุณเพิ่งสร้างขึ้น

ตอนนี้ตรวจสอบให้แน่ใจว่ากลุ่มนี้มีสิทธิ์เหล่านี้เท่านั้น:

อ่าน: อนุญาต
ใช้นโยบายกลุ่ม: ปฏิเสธ

การดำเนินการนี้จะปฏิเสธสมาชิกในกลุ่มนี้จากการใช้ GPO นี่เป็นแนวทางง่ายๆ ในการยกเว้นคอมพิวเตอร์ไม่ให้ใช้ GPO นี้ นอกจากนี้ยังทำให้ง่ายต่อการจัดการ หากคุณต้องการทราบว่าใครถูกแยกออกจาก GPO คุณสามารถตรวจสอบสมาชิกของกลุ่ม AD ได้เลย

ตอนนี้ ฉันจะตรวจสอบว่าคอมพิวเตอร์ถูกแยกออกโดยใช้คำสั่ง gpresult

หากต้องการดู GPO ทั้งหมดที่ใช้กับคอมพิวเตอร์และผู้ใช้ให้พิมพ์คำสั่งนี้

gpresult /r

คุณจะต้องเป็นผู้ดูแลระบบบนคอมพิวเตอร์จึงจะได้รับผลลัพธ์จากคอมพิวเตอร์

คุณจะเห็นว่า GPO “คอมพิวเตอร์ GPO - สมาชิกกลุ่มผู้ดูแลระบบภายใน” ถูกนำไปใช้กับคอมพิวเตอร์เครื่องนี้ ฉันจะรีบูตคอมพิวเตอร์และรันคำสั่งอีกครั้ง เมื่อฉันรีบูต ฉันไม่ควรเห็นว่ามีการใช้ GPO กับคอมพิวเตอร์เครื่องนี้อีกต่อไป เนื่องจากถูกปฏิเสธไม่ให้ใช้งาน

ฉันจะรัน gpresult /r อีกครั้ง

คุณจะเห็นว่า GPO ไม่ได้ถูกนำไปใช้กับคอมพิวเตอร์เครื่องนี้อีกต่อไป หากต้องการเรียนรู้เพิ่มเติมเกี่ยวกับการกรองนโยบายกลุ่ม โปรดดูคู่มือการจัดการนโยบายกลุ่มของฉัน

เคล็ดลับ: คุณควรตรวจสอบสิทธิ์ของผู้ใช้ก่อน และทำความเข้าใจว่าทำไมพวกเขาจึงมีสิทธิ์ของผู้ดูแลระบบในพื้นที่ คุณไม่ต้องการเปิดใช้นโยบายนี้ในคอมพิวเตอร์ทุกเครื่องโดยปราศจากการทดสอบและทำความเข้าใจผลกระทบของนโยบายนี้ก่อน ขออภัย มีโปรแกรมที่ยังต้องการสิทธิ์ระดับสูง และการใช้นโยบายนี้อาจขัดขวางและป้องกันไม่ให้โปรแกรมทำงานได้

คุณสามารถใช้เครื่องมือรายงาน Local Administrators เพื่อสร้างรายงานและส่งออกเป็นไฟล์ CSV ได้อย่างง่ายดาย

หากคุณมีคำถามใด ๆ โปรดโพสต์ไว้ในส่วนความคิดเห็นด้านล่าง