ระดับ 0: คืออะไรและมีความหมายอย่างไรสำหรับ Active Directory
ภูมิทัศน์ความปลอดภัยทางไซเบอร์มีความซับซ้อนและมีการพัฒนาอยู่ตลอดเวลา องค์กรต่างๆ เผชิญกับการตัดสินใจที่ยากลำบากเกี่ยวกับสิ่งที่ควรจัดลำดับความสำคัญสำหรับการป้องกันและการกู้คืนเมื่อเผชิญกับภัยคุกคามขั้นสูง
มีบางสิ่งที่สามารถทำได้เพื่อเพิ่มความปลอดภัยให้กับตนเองอย่างมาก ซึ่งเริ่มต้นด้วยการจัดลำดับความสำคัญของสินทรัพย์ระดับ 0 และปรับใช้โมเดลการบริหารแบบแบ่งระดับ เราจะพูดถึงแนวคิดทั้งสองนี้โดยละเอียดในโพสต์นี้
ระดับ 0 คืออะไร?
สินทรัพย์ระดับ 0 แสดงถึงสินทรัพย์ด้านไอทีที่สำคัญที่สุดสำหรับองค์กร เช่น ตัวควบคุมโดเมนในสภาพแวดล้อม Active Directory ภายในองค์กร สินทรัพย์ระดับ 0 ถือเป็นสินทรัพย์และบัญชีที่ได้รับสิทธิพิเศษมากที่สุดในสภาพแวดล้อมด้านไอที ทำให้เป็นเป้าหมายหลักของผู้แสดงภัยคุกคามและจึงเสี่ยงต่อการถูกโจมตี การบุกรุกบัญชีระดับ 0 สามารถและมักจะส่งผลให้เกิดการประนีประนอมในโครงสร้างพื้นฐานด้านไอทีขององค์กร ทำให้เกิดความเสียหายอย่างมากต่อการดำเนินงานขององค์กร ชื่อเสียง และแม้แต่เสถียรภาพทางการเงิน
เพื่อลดความเสี่ยงนี้ สินทรัพย์และบัญชีระดับ 0 ควรได้รับการจัดการอย่างเคร่งครัด และการเข้าถึงควรจำกัดให้เฉพาะบุคลากรที่ได้รับอนุญาตกลุ่มเล็กๆ เท่านั้น และการจัดการระบบระดับ 0 ควรแยกออกจากระบบอื่นๆ โดยใช้บัญชีเฉพาะ ในบางกรณีที่เจาะจงมาก องค์กรอาจเลือกที่จะปรับใช้ฟอเรสต์ Active Directory แยกต่างหากเพื่อแยกการจัดการบัญชีที่ใช้ในการจัดการสินทรัพย์ระดับ 0 เพิ่มเติม
ดำเนินไปโดยไม่ได้บอกว่าควรมีการควบคุมการเข้าถึง การตรวจสอบ และการควบคุมความปลอดภัยที่เข้มงวด เหนือสิ่งอื่นใด สิ่งนี้อาจรวมถึงการใช้โซลูชันการจัดการการเข้าถึงสิทธิพิเศษ (PAM)
การบริหารแบบแบ่งระดับทำงานอย่างไร?
การบริหารแบบเป็นชั้นหมายถึงแนวทางปฏิบัติในการจัดบุคลากรสนับสนุนด้านไอทีและการบริหารเซิร์ฟเวอร์และแพลตฟอร์มให้อยู่ในระดับหรือระดับที่แตกต่างกัน โดยแต่ละระดับจะมีหน้าที่และทักษะเฉพาะ โมเดลที่พบบ่อยที่สุดคือแนวทางแบบหลายระดับ โดยที่แต่ละระดับ (ระดับ) แสดงถึงชุดของระบบที่เฉพาะเจาะจง และการจัดการของระบบจะแยกจากกัน (ในระดับสูง) ในแง่ของสภาพแวดล้อม Active Directory ภายในองค์กร หมายความว่ามีการใช้บัญชีที่แยกจากกันเพื่อจัดการระบบในแต่ละระดับ เพื่อให้มีประสิทธิภาพ บัญชีที่ได้รับสิทธิพิเศษในระดับหนึ่งไม่ควรสามารถดูแลระบบในระดับอื่นได้
- ระดับ 0 ที่เรากล่าวถึงข้างต้น แต่เป็นระดับที่สำคัญที่สุดในการตอกย้ำและรวมสินทรัพย์ด้านไอทีที่มีความสำคัญต่อภารกิจมากที่สุด
- สินทรัพย์ระดับ 1 มักเป็นระบบที่สำคัญต่อการทำงานของโครงสร้างพื้นฐานด้านไอทีขององค์กร แต่มีความสำคัญน้อยกว่าสินทรัพย์ระดับ 0 การละเมิดทรัพย์สินระดับ 1 ยังไม่ถือเป็นการละเมิดระบบอื่นในทันที โดยมีเงื่อนไขว่าต้องมีการรักษาความปลอดภัยเพียงพอ ตัวอย่างได้แก่เซิร์ฟเวอร์อีเมล เซิร์ฟเวอร์ไฟล์ เซิร์ฟเวอร์การจัดการ และอื่นๆ
- โดยทั่วไประบบ ระดับ 2 คือระบบอื่นๆ ทั้งหมดที่ไม่รวมอยู่ในระดับก่อนหน้า บ่อยครั้งที่ระบบ Tier 2 เป็นอุปกรณ์คอมพิวเตอร์ของผู้ใช้ปลายทาง เช่น เดสก์ท็อป แล็ปท็อป ฯลฯ
ไม่มีกฎเกณฑ์ที่กำหนดว่าการบริหารแบบแบ่งระดับควรมีกี่ระดับ อย่างไรก็ตาม ขอแนะนำให้รักษาโมเดลการบริหารของคุณให้เรียบง่าย เพื่อไม่ให้กลายเป็นฝันร้ายของการจัดการ
ภัยคุกคามด้านความปลอดภัยที่ใหญ่ที่สุดในปัจจุบัน
เมื่อเราดูภาพรวมภัยคุกคามที่กว้างใหญ่ ภัยคุกคามทางไซเบอร์และมาตรฐานความปลอดภัยมาในหลากหลายรูปแบบและขนาด โดยมีระดับผลกระทบที่แตกต่างกัน ภัยคุกคามที่ใหญ่ที่สุดในปัจจุบันได้แก่:
- จำนวนและความซับซ้อนของการโจมตีทางไซเบอร์ รวมถึงแรนซัมแวร์ ฟิชชิ่ง ส่งแฮช ฯลฯ
- การโจมตีด้านซัพพลายเชน โดยที่สินทรัพย์การพัฒนาของผู้ขายที่ถูกบุกรุกนำไปสู่ความเสี่ยงด้านความปลอดภัยที่เพิ่มขึ้นสำหรับพวกเขาและลูกค้าของพวกเขา
- ทรัพยากรบนคลาวด์ ความซับซ้อนด้านความปลอดภัย ความหลากหลาย และการแพร่กระจายของโซลูชั่นคลาวด์เพิ่มความเสี่ยงของการกำหนดค่าที่ไม่ถูกต้องและพื้นผิวการโจมตีโดยรวมขององค์กร
- ความปลอดภัยของอุปกรณ์ IoT และ OT เนื่องจากสิ่งเหล่านี้กลายเป็นเป้าหมายการโจมตีที่พบบ่อยมากขึ้น
- การเพิ่มขึ้นของ AI ใช้สำหรับองค์ประกอบเชิงรุกและเชิงรับด้านความปลอดภัยทางไซเบอร์
- ขาดแคลนทักษะและการฝึกอบรม
- กฎระเบียบที่เพิ่มขึ้นและความต้องการการปฏิบัติตาม
ประโยชน์ของรูปแบบการบริหารแบบเป็นชั้น
ตอนนี้เราได้สร้างภูมิทัศน์ภัยคุกคามที่ซับซ้อนแล้ว การดูแลระบบแบบลำดับชั้นคืออะไร และแต่ละระดับประกอบด้วยอะไรบ้าง เรามาสำรวจประโยชน์ของโมเดลนี้กันดีกว่า แม้ว่าวิธีนี้จะเพิ่มค่าใช้จ่ายในการดูแลระบบเพื่อสร้างและจัดการบัญชีแยกกัน แต่ประโยชน์ที่ได้รับก็มีมากกว่าค่าใช้จ่าย เมื่อใช้งานแล้ว คุณสามารถ:
- ลดความเสี่ยงของการเคลื่อนไหวด้านข้างภายในสภาพแวดล้อม การเคลื่อนไหวด้านข้างในสภาพแวดล้อม Active Directory ภายในองค์กรหมายถึงเทคนิคที่ผู้โจมตีใช้เพื่อย้ายจากระบบหนึ่งไปยังอีกระบบหนึ่งภายในเครือข่าย ซึ่งมักใช้บัญชีที่มีสิทธิ์พิเศษ ที่เข้าถึงได้หลายระบบ ในการเคลื่อนไหวด้านข้าง ผู้โจมตีใช้เทคนิคหลายอย่าง รวมถึงการขโมยข้อมูลประจำตัวหรือการส่งผ่านแฮช
- ลดความเสี่ยงของการเข้าถึงโดยไม่ได้รับอนุญาต ด้วยการใช้รูปแบบการบริหารแบบแบ่งระดับ องค์กรสามารถจำกัดการเข้าถึงของพนักงานระดับล่างให้เข้าถึงข้อมูลและระบบที่ละเอียดอ่อนได้ ซึ่งจะช่วยลดความเสี่ยงของการเข้าถึงโดยไม่ได้รับอนุญาตและการละเมิดข้อมูล
- ปรับปรุงการควบคุมการกำหนดค่าระบบ ด้วยการดูแลระบบแบบเป็นระดับ แต่ละระดับจะมีความรับผิดชอบและระดับการเข้าถึงเฉพาะ วิธีนี้สามารถช่วยป้องกันการเปลี่ยนแปลงการกำหนดค่าระบบโดยไม่ได้รับอนุญาต และลดความเสี่ยงที่ระบบจะล้มเหลวหรือข้อมูลสูญหาย
- รับการจัดการบัญชีสิทธิพิเศษที่มีประสิทธิภาพมากขึ้น การดูแลระบบแบบแบ่งชั้นสามารถช่วยให้องค์กรจัดการบัญชีที่มีสิทธิพิเศษได้อย่างมีประสิทธิภาพมากขึ้น พนักงานระดับสูงสามารถได้รับความรับผิดชอบในการจัดการบัญชีที่ได้รับสิทธิพิเศษ เพื่อให้มั่นใจว่าพวกเขาจะถูกใช้เพื่อวัตถุประสงค์ที่ได้รับอนุญาตเท่านั้น และลดความเสี่ยงของการใช้ในทางที่ผิด
- ปรับปรุงการมองเห็นระบบของคุณด้วยการตรวจสอบความปลอดภัย ด้วยการมอบหมายความรับผิดชอบในการตรวจสอบความปลอดภัยเฉพาะให้กับผู้ดูแลระบบระดับสูง องค์กรสามารถตรวจจับภัยคุกคามด้านความปลอดภัยและจัดการกับพวกเขาได้ทันท่วงที ซึ่งช่วยลดความเสี่ยงที่เหตุการณ์ด้านความปลอดภัยจะไม่มีใครสังเกตเห็นและจำกัดความเสียหายที่อาจเกิดขึ้นกับองค์กร
แม้ว่าการใช้โมเดลการบริหารแบบแบ่งระดับไม่ได้รับประกันว่าเทคนิคใดๆ ข้างต้นจะไม่ถูกนำไปใช้ในทางที่ผิด แต่ก็ช่วยลดโอกาสและผลกระทบได้อย่างมากหากเกิดขึ้น ตัวอย่างเช่น หากไม่มีการแบ่งระดับ การละเมิดบัญชีเดียวอาจทำให้ผู้โจมตีย้ายจากระดับหนึ่งไปอีกระดับหนึ่งได้อย่างง่ายดาย นี่จะเป็นกรณีที่บัญชีผู้ดูแลระบบโดเมนถูกใช้เพื่อดำเนินงานด้านการดูแลระบบ ตัวอย่างเช่น คอมพิวเตอร์เดสก์ท็อป การละเมิดอย่างหลังทำให้ผู้โจมตีสามารถเข้าถึง ไม่เพียงแต่คอมพิวเตอร์เท่านั้น แต่ยังอาจรวมถึงบัญชีผู้ดูแลระบบโดเมนด้วย ซึ่งสามารถนำไปใช้ซ้ำเพื่อย้ายไปยังระบบอื่นในโดเมนด้านข้างได้ เมื่อพิจารณาว่าโอกาสที่อุปกรณ์ของผู้ใช้ปลายทางจะถูกบุกรุกนั้นสูงกว่าระบบที่ไม่ได้ใช้เพื่อนำทางอินเทอร์เน็ตอย่างมาก ดูเหมือนว่าจะสมเหตุสมผลเท่านั้นที่จะไม่มีการใช้บัญชีพิเศษในระบบเหล่านี้ ใช่ไหม? ท้ายที่สุดแล้ว หากคุณจำกัดการดูแลระบบแล็ปท็อปและเดสก์ท็อปให้เหลือเพียงบัญชีการดูแลระบบโดยเฉพาะ มิฉะนั้นจะไม่มีสิทธิ์อนุญาตจากที่อื่น คุณจะจำกัดความเสี่ยงของการเคลื่อนที่ด้านข้างไปยังอุปกรณ์ดังกล่าว ยิ่งไปกว่านั้น แน่นอนว่าหากอุปกรณ์ทุกเครื่องมีบัญชีผู้ดูแลระบบเป็นของตัวเองและแตกต่างกัน แต่นั่นเป็นเรื่องราวอีกครั้ง
โมเดลระดับชั้นใน Active Directory ควรมีลักษณะอย่างไร
การใช้โมเดลการดูแลระบบแบบแบ่งระดับใน Active Directory สามารถทำได้ทั้งตรงไปตรงมาและท้าทายในเวลาเดียวกัน ในทางเทคนิค คุณจำเป็นต้องมี Group Policy Objects เพียงไม่กี่รายการเพื่อควบคุมบัญชีที่ได้รับอนุญาตให้เข้าสู่ระบบเฉพาะ ซึ่งจะทำให้คุณสามารถจำกัดบัญชีระดับ 0 ไว้เฉพาะสินทรัพย์ระดับ 0, บัญชีระดับ 1 ไว้เฉพาะสินทรัพย์ระดับ 1 และอื่นๆ
นอกเหนือจากการดำเนินการตามระดับต่างๆ แล้ว ยังต้องดำเนินการอื่นๆ อีกหลายอย่าง เช่น การระบุสินทรัพย์ที่เป็นของระดับใด และการสร้าง การกระจาย การบำรุงรักษา และการตรวจสอบการใช้บัญชีผู้ดูแลระบบในแต่ละระดับ การแบ่งแยกการดูแลระบบไม่เพียงพอ คุณต้องตรวจสอบให้แน่ใจว่าระบบในแต่ละชั้นได้รับการปกป้องอย่างเพียงพอ
เพื่อให้บรรลุเป้าหมายนี้ คุณจะต้องปรับใช้พื้นฐานการรักษาความปลอดภัยสำหรับแอปพลิเคชันแต่ละประเภท ใช้การควบคุมและโซลูชันความปลอดภัยที่จำเป็น เช่น การป้องกันมัลแวร์ ไฟร์วอลล์ และ Endpoint Detection & Response (EDR) นอกจากนี้ คุณต้องตรวจสอบการใช้โมเดลแบบแบ่งระดับและระมัดระวังการละเมิดระดับที่อาจเกิดขึ้นหรือการใช้งานบัญชีผู้ดูแลระบบที่ผิดปกติ การตรวจจับและแจ้งเตือนเหตุการณ์ดังกล่าว
การระบุสินทรัพย์ระดับ 0
ตามที่ระบุไว้ก่อนหน้านี้ สินทรัพย์ระดับ 0 แสดงถึงระบบที่สำคัญที่สุดต่อสภาพแวดล้อมขององค์กร เช่น ระบบที่รับผิดชอบในการรับรองความถูกต้อง เช่น Active Directory, Active Directory Federation Services และ Active Directory Certificate Services
อย่างไรก็ตามนั่นไม่ใช่ทั้งหมด ระบบอื่นๆ ซึ่งตามสิทธิ์ที่อาจมีใน Active Directory ถือว่ามีสิทธิพิเศษสูงก็ควรได้รับการพิจารณาให้เป็นสินทรัพย์ระดับ 0 เช่นกัน ตัวอย่างบางส่วนมีดังต่อไปนี้:
- Microsoft Exchange Server โดยเฉพาะอย่างยิ่งเมื่อไม่มีการกำหนดค่าสิทธิ์การแยก Active Directory ในกรณีเช่นนี้ ระบบย่อย Exchange Trusted มีสิทธิ์พิเศษมากมายใน Active Directory ซึ่งการประนีประนอมของ Exchange Server มักจะนำไปสู่การประนีประนอมของทั้งไดเร็กทอรี
- Microsoft System Center Configuration Manager (SCCM) หรือเทียบเท่า เซิร์ฟเวอร์ใดๆ ที่ใช้ในการจัดการสินทรัพย์อื่นๆ โดยเฉพาะสินทรัพย์ระดับ 0 ควรถือเป็นระบบระดับ 0 โดยอัตโนมัติ หากพวกเขาสามารถแก้ไขการกำหนดค่าของสินทรัพย์ระดับ 0 ที่ได้รับการจัดการ หรือหากและเมื่อใดที่พวกเขามีสิทธิ์การดูแลระบบท้องถิ่น สินทรัพย์ดังกล่าว
- Microsoft Azure AD Connect (ซิงค์) ขึ้นอยู่กับการกำหนดค่าของ Azure AD Connect ซึ่งอาจเกี่ยวข้องโดยตรงกับการรับรองความถูกต้องของระบบคลาวด์ การแทรกแซงการกำหนดค่า Azure AD Connect อาจทำให้ผู้โจมตีสามารถสลับไปยังระบบคลาวด์หรือทำให้ระบบเหล่านั้นไม่พร้อมใช้งานสำหรับผู้ใช้
โปรดทราบว่าจำนวนและประเภทของระบบที่คุณรวมไว้ในระดับ 0 ของคุณจะแตกต่างกันไปตามระบบที่คุณใช้งาน สิ่งที่พวกเขาใช้สำหรับ สิทธิพิเศษที่พวกเขาใช้ประโยชน์ และอื่นๆ
คำสุดท้าย
การใช้โมเดลการดูแลระบบแบบแบ่งระดับด้วยหลายระดับอาจเป็นงานที่ซับซ้อน และจะต้องใช้เวลาในการดำเนินการ ดำเนินการทีละขั้นและเริ่มต้นด้วยการระบุทรัพยากรระดับ 0 ขั้นแรก ให้พิจารณาว่าระบบใดอยู่ในระดับนี้ จากนั้นจึงสร้างบัญชีผู้ดูแลระบบใหม่เพื่อให้แน่ใจว่าบัญชีระดับ 0 (ใหม่) จะไม่สามารถเข้าสู่ระบบหรือจัดการระบบระดับล่างได้โดยตรงอีกต่อไป เมื่อคุณเสร็จสิ้นขั้นตอนนี้แล้ว ให้ทำซ้ำขั้นตอนเดียวกันสำหรับระดับ 1, ระดับ 2 และอื่นๆ
ด้วยการแบ่งระบบของคุณออกเป็นระดับ คุณทำให้ผู้โจมตีเคลื่อนผ่านสภาพแวดล้อมได้ยากขึ้น และขัดขวางเส้นทางการโจมตีที่อาจเกิดขึ้นที่พวกเขาอาจค้นพบ ด้วยเครื่องมืออย่าง BloodHound คุณควรเห็นประโยชน์ทันทีจากการใช้ระดับต่างๆ ใน Active Directory ภายในองค์กรของคุณ
สิ่งสำคัญคือต้องจำไว้ว่าถึงแม้จะมีการจัดการแยกกันตามระดับต่างๆ ก็เป็นไปไม่ได้ที่จะหยุดผู้โจมตีโดยสิ้นเชิง แต่คุณจะทำให้พวกเขาช้าลงอย่างมาก ด้วยเหตุนี้ ให้พิจารณาว่าการดูแลระบบแบบแบ่งระดับเป็นส่วนสำคัญของกลยุทธ์ความปลอดภัยของคุณ ประโยชน์ของการรักษาความปลอดภัยที่ได้รับการปรับปรุงนั้นมีมากกว่าข้อเสียของการดำเนินการดูแลระบบเพิ่มเติมสำหรับแผนก IT ของคุณ