การกำหนดค่า Active Directory สามารถลดการบุกรุกได้

เนื่องจากบทบาทของ Active Directory ในการรักษาความปลอดภัยทางไซเบอร์ บริษัทต่างๆ จึงพิจารณาการกำหนดค่า Active Directory อย่างละเอียดเพื่อลดโอกาสที่จะมีการบุกรุกทางไซเบอร์ที่สร้างความเสียหาย ภาพรวมภัยคุกคามทั่วโลกยังคงพัฒนาต่อไป และเหตุการณ์ทางภูมิศาสตร์การเมืองอย่างกะทันหันอาจทำให้องค์กรเกือบทุกชนิดบนอินเทอร์เน็ตตกเป็นเป้าหมายได้

Active Directory (AD) แพร่หลายทั่วโลกจนเป็นเป้าหมายหลักสำหรับผู้ไม่ประสงค์ดีที่กำลังมองหาวิธีในการแย่งชิงการรับรองความถูกต้องและการอนุญาต องค์กรขนาดใหญ่สามารถป้องกันตนเองได้โดยหันไปหาทีมผู้เชี่ยวชาญของ Active Directory แต่ธุรกิจขนาดเล็กถึงขนาดกลางก็เผชิญกับความเสี่ยงที่จะถูกบุกรุกเช่นเดียวกัน โดยมีทรัพยากรในการป้องกันน้อยกว่ามาก

ในโพสต์นี้ ฉันจะกล่าวถึงแนวทางปฏิบัติที่ดีที่สุดและแบ่งปันข้อมูลเชิงลึกในโลกแห่งความเป็นจริงว่าการกำหนดค่า Active Directory สามารถช่วยเพิ่มความแข็งแกร่งในการป้องกันความปลอดภัยทางไซเบอร์ของคุณได้อย่างไร

การรักษาความปลอดภัยระดับ 0 เกี่ยวข้องกับการกำหนดค่า Active Directory อย่างไร

โมเดลระดับของการจัดการการเข้าถึงที่มีสิทธิพิเศษ (PAM) มีเป้าหมายเพื่อป้องกันการยกระดับสิทธิ์ที่ผิดกฎหมายในสภาพแวดล้อมเช่น Active Directory การแยกผู้ดูแลระบบตามทรัพยากรที่พวกเขาจัดการจะปฏิเสธผู้ไม่ประสงค์ดีซึ่งเป็นเส้นทางที่ง่ายดายในการยกระดับภายใน Active Directory คุณสามารถใช้ Group Policy Objects เพื่อป้องกันไม่ให้ผู้ดูแลระบบโดเมนของคุณ (ระดับ 0) เข้าสู่ระบบเซิร์ฟเวอร์องค์กร (ระดับ 1) และเวิร์กสเตชันผู้ใช้มาตรฐาน (ระดับ 2)

ตามโมเดลระดับ ผู้ดูแลระบบโดเมนจะได้รับการปฏิบัติที่แตกต่างกันไป ขึ้นอยู่กับทรัพยากรที่พวกเขาจัดการ Microsoft ใช้เวลาหลายปีในการรับรองว่าเราทุกคนเข้าใจลำดับความสำคัญของระดับ 0 นั่นก็คือ ตัวควบคุมโดเมนของเรา ตามเกณฑ์ดังกล่าว ระดับ 0 ยังรวมถึงสิ่งต่อไปนี้:

• ระบบที่จัดการ ควบคุม และมีสิทธิ์ของผู้ดูแลระบบในตัวควบคุมโดเมน
• ระบบที่รันตัวแทนใดๆ บนตัวควบคุมโดเมน
• โครงสร้างพื้นฐานคีย์สาธารณะ (PKI)
• การดูแลระบบ VMware ซึ่งควบคุม Active Directory ในสภาพแวดล้อมส่วนใหญ่
• การดูแลระบบคลาวด์ของการกำหนดค่าและสภาพแวดล้อม Azure Active Directory ของคุณ
• การควบคุมเมนเฟรม
• บริการสหพันธรัฐ Active Directory (ADFS)

เมื่อย้อนกลับไปตรวจสอบสิ่งต่าง ๆ ให้กว้างขึ้น ลองคิดถึงระบบที่ละเอียดอ่อนที่สุดขององค์กร และสิ่งที่ผู้โจมตีตามหาจริงๆ นั่นก็คือ ข้อมูลของพวกเขา การโจมตีส่วนใหญ่จะดึงข้อมูลอีเมลและไฟล์ออกจากการแชร์ Ransomware ทำงานได้อย่างมีประสิทธิภาพเนื่องจากมีการเข้ารหัสข้อมูล ส่งผลให้บริษัทสูญเสียข้อมูลหรือสูญเสียการเข้าถึงข้อมูล

การเชื่อมต่อระหว่างระบบเทียร์ 0 อาจทำให้คุณประหลาดใจ:

• โดยทั่วไปตัวควบคุมโดเมน Active Directory จะถูกจำลองเสมือนบน VMware
• ผู้ดูแลระบบ VMware ของคุณมักจะอยู่ในกลุ่มใน Active Directory
• Active Directory เชื่อมต่อกับ Azure AD ผ่าน Azure AD Connect
• ผู้ดูแลระบบทั่วโลกสามารถข้ามจาก Azure AD เพื่อควบคุม Azure ได้
• Azure เองมักจะโฮสต์ตัวควบคุมโดเมนเสมือน โดยเฉพาะอย่างยิ่งในบริษัทที่ใช้ Azure หรือ Amazon Web Services (AWS) เป็นศูนย์ข้อมูลบนคลาวด์สำหรับโครงสร้างพื้นฐานในฐานะบริการ (IaaS)

ซึ่งเพิ่มองค์ประกอบแยกหลายชิ้นที่ไม่เคยมีไว้เพื่อเชื่อมต่อและบูรณาการอย่างใกล้ชิดขนาดนี้ แทบทุกอย่างที่จัดการข้อมูลประจำตัวและการรับรองความถูกต้องจะตกอยู่ภายใต้ระดับศูนย์และอาจมีการกระโดดจากที่หนึ่งไปยังอีกที่หนึ่ง

ความสำคัญของระดับ 0 และโครงสร้างพื้นฐานคลาวด์

หมดยุคแล้วที่เรามีโครงสร้างพื้นฐานภายในองค์กรขนาดใหญ่เพียงบล็อกเดียวที่ต้องรักษาความปลอดภัย บริษัทต่างๆ หันมาใช้ระบบมัลติคลาวด์ — Azure, AWS และ Google Cloud Platform (GCP) — เพราะพวกเขาไม่ต้องการให้มีไข่ทั้งหมดอยู่ในตะกร้าใบเดียว ซึ่งก็สมเหตุสมผล แต่การเชื่อมต่อโครงข่ายมีความซับซ้อนมากขึ้น เนื่องจากผู้ให้บริการแต่ละรายจัดการความปลอดภัยต่างกัน

คุณสามารถเปรียบ Azure กับชุดบล็อก LEGO ได้ พวกเขาให้คำแนะนำที่ช่วยให้คุณสามารถรวบรวมโซลูชันสำเร็จรูปได้อย่างรวดเร็ว AWS เปรียบเสมือน Tinkertoy แห่งไอที ซึ่งช่วยให้คุณสร้างสิ่งที่คุณต้องการได้ รวมถึงบทบาทการจัดการข้อมูลประจำตัวและการเข้าถึง (IAM) แต่การสร้างบทบาท IAM ใน AWS ที่ทำให้เกิดปัญหาเป็นเรื่องง่าย หากต้องการใช้เครื่องมือ Google Cloud คุณต้องตรวจสอบสิทธิ์ด้วยข้อมูลประจำตัวของ Google ดังนั้นการนำ Active Directory ไปใช้บน GCP จึงไม่ใช่การทดแทนการรวม Active Directory ที่มีอยู่ด้วย Google Cloud

คุณจะพบไม่เพียงแต่การกำหนดค่า Active Directory ภายในองค์กรเท่านั้น แต่ยังรวมถึง AD ที่จัดการโดย Azure, AD ที่จัดการโดย AWS และ AD ที่จัดการโดย GCP โดยแต่ละรายการมีกฎของตัวเอง การประนีประนอมของบัญชีผู้ใช้ใด ๆ ที่มีการจัดการหรือความสามารถในการรันคำสั่งทำให้คุณมีความเสี่ยง ผู้โจมตีสามารถบุกรุกสภาพแวดล้อมภายในองค์กรของคุณได้โดยไม่ต้องกระโดดจากระบบคลาวด์ไปยังสถานที่ของคุณในรูปแบบดั้งเดิม

การกำหนดค่า Active Directory: ข้อใดลดโอกาสของการบุกรุก

เมื่อต้องตรวจสอบการกำหนดค่าสภาพแวดล้อม Active Directory ของคุณ ขั้นตอนแรกคือตรวจสอบการตั้งค่านโยบายความปลอดภัยพื้นฐานสำหรับเวิร์กสเตชัน เซิร์ฟเวอร์ และตัวควบคุมโดเมน (DC) สิ่งนั้นและการกำหนดค่าการตรวจสอบที่เหมาะสมสำหรับ Active Directory เป็นวิธีที่ดีในการรับรองว่าคุณกำลังจัดการรายการรักษาความปลอดภัยบรรทัดแรก ตามคำแนะนำจาก Microsoft

ต่อไป การคิดถึงแรนซัมแวร์เป็นสิ่งสำคัญ วิธีที่มีประสิทธิภาพที่สุดวิธีหนึ่งในการกำจัดแรนซัมแวร์คือการทำให้การเคลื่อนไหวด้านข้างบนเครือข่ายของคุณยากขึ้น นั่นหมายถึงการเปิดใช้งานไฟร์วอลล์ฐานโฮสต์ โดยเฉพาะอย่างยิ่งสำหรับกรองการรับส่งข้อมูลเซิร์ฟเวอร์บล็อกข้อความ (SMB) โดยพื้นฐานแล้ว เวิร์กสเตชันทั้งหมดสามารถรับการรับส่งข้อมูลจากกันและกันได้ แต่ก็ไม่มีเหตุผลที่ดีว่าทำไมจึงควร — ยกเว้นการโฮสต์เครื่องพิมพ์ในองค์กรขนาดเล็ก มีงานบางอย่างที่เกี่ยวข้องกับการหาวิธีปรับใช้ไฟร์วอลล์บนโฮสต์ให้ประสบความสำเร็จ แต่การรวมสิ่งนั้นเข้ากับโซลูชันรหัสผ่านผู้ดูแลระบบภายในของ Microsoft (LAPS) จะทำให้แรนซัมแวร์และผู้โจมตีหงุดหงิด

เหตุใด Active Directory จึงเป็นเป้าหมายหลักสำหรับการโจมตี

แม้ว่า Active Directory มักจะเป็นเป้าหมายหลัก แต่ก็ไม่ใช่เป้าหมายแรกเสมอไป การโจมตีที่คดเคี้ยวเริ่มต้นจากที่อื่น จากนั้นข้ามไปที่ Active Directory ตัวอย่างเช่น Log4j ไม่ได้กำหนดเป้าหมายการกำหนดค่า Active Directory ต่อตัว แต่ด้วยการส่งผลกระทบต่อทุกสิ่งที่เชื่อมต่อกับเครือข่าย ทำให้มีการเข้าถึง Active Directory

กุญแจสำคัญคือการจัดระเบียบบ้านของคุณในระดับต่างๆ ซึ่งเป็นหนึ่งในคุณธรรมของ NIST Cybersecurity Framework: ระบุ ปกป้อง ตรวจจับ ตอบสนอง และกู้คืน ทำสิ่งที่คุณทำได้เพื่อปกป้องหรือรักษาความปลอดภัยสภาพแวดล้อม Active Directory ของคุณ จากนั้น ตรวจสอบให้แน่ใจว่าคุณมีกลไกที่เหมาะสมทั้งหมดในการตรวจจับเมื่อมีบางอย่างเกิดขึ้น และเตรียมพร้อมที่จะตอบสนองในระดับต่างๆ ด้วยโซลูชันที่แตกต่างกันสำหรับทุกสิ่งที่ทำงานภายในเครือข่ายของคุณ

เวกเตอร์การโจมตีใดที่น่าเป็นห่วงมากที่สุด?

การจัดการช่องโหว่จากช่องโหว่แบบ Zero-day ถือเป็นสิ่งสำคัญ แต่แม้ว่าคุณจะปรับใช้แพตช์ภายในสองวันนับจากวันที่มีให้ใช้งาน แต่ก็จะไม่ช่วยให้คุณประหยัดจากซีโร่เดย์ได้ อย่างไรก็ตาม ไม่ใช่ว่าศูนย์วันจะถูกโจมตีเสมอไป แต่เป็นภัยคุกคามขั้นสูงที่คงอยู่ซึ่งแฝงตัวมานานหลายปีและทำให้ผู้โจมตีสามารถข้ามไปมาระหว่างระบบในเครือข่ายของคุณได้

จากมุมมองของการกำหนดค่า Active Directory คุณสามารถเปิดการตรวจสอบและปรับใช้โซลูชันใดๆ ที่คุณต้องการได้ แต่สิ่งที่ต้องทำก็แค่ Group Policy Object ที่กำหนดค่าไม่ถูกต้องซึ่งสามารถเขียนได้และคุณอาจถูกโจมตีได้

แอปพลิเคชันบนคลาวด์แนะนำเวกเตอร์การโจมตีในรูปแบบของคุณสมบัติใหม่ โดยเฉพาะอย่างยิ่งสำหรับเครื่องมือเพิ่มประสิทธิภาพการทำงานและการทำงานร่วมกันที่ใช้กันอย่างแพร่หลาย สิ่งนี้ทำให้ผู้เชี่ยวชาญด้านความปลอดภัยคอยติดตามการเปลี่ยนแปลงและฟีเจอร์ใหม่ๆ ที่ Microsoft ชอบที่จะเปิดใช้งานตามค่าเริ่มต้น แน่นอนว่าผู้จำหน่ายซอฟต์แวร์เปิดใช้งานคุณลักษณะนี้ เนื่องจากหากปิดใช้งานตามค่าเริ่มต้น ผู้ใช้จะต้องเปิดใช้งานและการใช้งานยังคงมีน้อย

พิจารณาผลกระทบด้านความปลอดภัยของฟีเจอร์อย่างเช่นที่ช่วยให้ผู้ใช้ Teams ทั่วไปสามารถพูดคุยกับผู้ใช้ Teams มืออาชีพ หรือกับบัญชีบริษัทได้ ด้านหนึ่งของเหรียญเป็นเพียงคนกำลังคุยกัน แต่อีกด้านหนึ่งของเหรียญเป็นช่องทางฟิชชิ่ง

คุณจะรักษาความปลอดภัยการสำรองข้อมูลของคุณได้อย่างไร?

เมื่อกลับมาที่ NIST Cybersecurity Framework ขั้นตอนการกู้คืนคือจุดที่การสำรองข้อมูลที่ปลอดภัยเข้ามามีบทบาท

สาระสำคัญของการสำรองข้อมูลที่ปลอดภัยคือมันเกิดขึ้นก่อนการประนีประนอมที่คุณพยายามกู้คืน ไม่เช่นนั้น คุณจะกู้คืนไฟล์เวอร์ชันที่ติดไวรัสแล้วเท่านั้น ขณะนี้ผู้โจมตีกำลังละเมิดองค์กร จากนั้นก็นอนนิ่งอยู่ในกรอบเวลาการสำรองข้อมูล เช่น สองสัปดาห์ หนึ่งเดือน สองเดือน ฯลฯ พวกเขาต้องการให้แน่ใจว่าประตูหลังที่พวกเขาติดตั้งบนเครือข่ายของคุณได้ทำให้ประตูหลังนั้นกลายเป็นข้อมูลสำรองของคุณแล้ว จากนั้น เมื่อพวกเขาแน่ใจว่าคุณไม่สามารถกู้คืนเวอร์ชันที่ไม่ติดไวรัสที่ประตูหลังได้อีกต่อไป พวกเขาก็จะเริ่มการโจมตี หากคุณพยายามกู้คืนจากข้อมูลสำรอง คุณจะคืนค่าประตูหลังของพวกเขาและอนุญาตให้พวกเขาเข้าถึงได้อีกครั้ง

วิธีแก้ปัญหาหนึ่งคือสิ่งที่เรียกว่าสครับหรือการสำรองข้อมูลที่ได้รับการตรวจสอบอย่างละเอียด ผู้ให้บริการใช้ชุดการสำรองข้อมูลเมื่อเวลาผ่านไปและสแกนช่องโหว่และประตูหลังใหม่ ๆ เป็นประจำโดยอาศัยข้อมูลอัจฉริยะที่พัฒนาอยู่ตลอดเวลา การขัดถูและการสำรองข้อมูลที่ไม่เปลี่ยนรูปแบบเป็นมาตรการสำคัญที่คุณสามารถทำได้เพื่อให้แน่ใจว่าคุณสามารถกู้คืนจากการละเมิดได้ อย่างไรก็ตาม การมีโซลูชันการกู้คืนของบริษัทอื่นไว้เป็นวิธีที่ดีที่สุดในการให้ความช่วยเหลือและรับรองความสำเร็จ เนื่องจากโซลูชันดังกล่าวสามารถให้การควบคุมขั้นสูง ตัวเลือกการกู้คืนแบบละเอียด ระบบอัตโนมัติ และความสามารถในการขยายสภาพแวดล้อมภายในองค์กรและบนระบบคลาวด์

โปรดทราบว่าแผนการกู้คืนข้อมูลของคุณมีความสำคัญพอๆ กับเครื่องมือการกู้คืนของคุณ หากระบบทั้งหมดของคุณใช้งานไม่ได้กะทันหันเนื่องจากแรนซัมแวร์ คุณจะต้องกู้คืนระบบใดภายในระยะเวลาที่สั้นที่สุดเท่าที่จะเป็นไปได้ หากคุณวางแผนที่จะเตรียมพร้อมสำหรับการกู้คืนแบบ end-to-end ในคราวเดียว โดยไม่จัดลำดับความสำคัญเหล่านั้น คุณจะต้องใช้เงินจำนวนมากไปกับการเฝ้าระวังอย่างต่อเนื่องและทั่วถึง

พื้นที่รักษาความปลอดภัยในการสำรองข้อมูลที่ถูกมองข้ามนั้นอยู่ที่การควบคุมการเข้าถึงตำแหน่งที่จัดเก็บข้อมูลสำรองของคุณ เมื่อคุณสำรองข้อมูลตัวควบคุมโดเมน ใครบ้างที่สามารถเข้าถึงพื้นที่เก็บข้อมูลในระบบสำรองข้อมูลนั้น ใครก็ตามที่มีสิทธิ์เข้าถึง ไม่ว่าจะถูกกฎหมายหรือไม่ก็ตาม สามารถดูและแก้ไขข้อมูลสำรองทั้งหมดที่คุณเก็บไว้ได้ แม้ว่าคุณจะย้ายไปยังระบบสำรองข้อมูลหลักที่ใหม่กว่าและผลักไสระบบเก่าให้สำรองข้อมูลการกำหนดค่า Active Directory และตัวควบคุมโดเมน ระบบยังคงถูกเปิดเผยอยู่ ผู้โจมตีอาจละเมิดพื้นที่จัดเก็บข้อมูลและเข้าถึงหรือทำให้ข้อมูลสำรอง Active Directory ของคุณติดไวรัสได้

เหตุใดการสำรองข้อมูลสถานะระบบจึงมีประโยชน์สำหรับการกู้คืนข้อมูล

หากไม่มีการสำรองข้อมูลการกำหนดค่า Active Directory ที่เชื่อถือได้ คุณจะไม่สามารถกู้คืนระบบที่ควบคุมทุกสิ่งทุกอย่างได้ ดังนั้นคุณจึงประสบปัญหา

บริษัทหลายแห่งคิดว่าพวกเขาพร้อมที่จะกู้คืนจากสิ่งใดสิ่งหนึ่งเนื่องจากมีผลิตภัณฑ์ปกป้องข้อมูล แต่การกู้คืนจากการโจมตีที่รุนแรงเช่นแรนซัมแวร์จะช้ากว่ามากหากคุณไม่มีข้อมูลสำรองสถานะระบบที่รวม AD ของคุณไว้ด้วย การกู้คืนไม่ใช่เรื่องที่เป็นไปไม่ได้ แต่อาจต้องใช้เวลาและความพยายามมากขึ้นอย่างเห็นได้ชัด บวกกับการแทรกแซงจากผู้จำหน่ายสำรองข้อมูลและ Microsoft เพื่อบูตเครือข่ายของคุณอีกครั้ง

เหตุผลก็คือระบบสำรองข้อมูลบางระบบอาศัย SQL Server ซึ่งในทางกลับกันต้องอาศัย Active Directory Active Directory จำเป็นต้องได้รับการกู้คืนเพื่อทำการกู้คืนเต็มรูปแบบ

วิธีที่ดีที่สุดในการทดสอบการสำรองข้อมูลและการกู้คืน Active Directory คืออะไร

คุณทดสอบการฟื้นตัวของคุณบ่อยแค่ไหน? คุณสามารถรันรูทีนการสำรองข้อมูลของคุณอย่างเคร่งครัดและเก็บไว้อย่างปลอดภัย แต่หากคุณไม่ได้ทดสอบมัน แสดงว่าคุณไม่ได้พิสูจน์อะไรเลย เช่นเดียวกับการสำรองและกู้คืนการกำหนดค่า Active Directory ของคุณ

“การทดสอบการดำเนินการตามแผนฟื้นฟูจะช่วยปรับปรุงความตระหนักรู้ของพนักงานและพันธมิตร และเน้นย้ำประเด็นที่ต้องปรับปรุง อัปเดตแผนด้วยบทเรียนที่ได้รับอยู่เสมอ ”
-คู่มือเริ่มต้นใช้งานด่วนของ NIST Ransomware

ผู้ให้บริการสำรองข้อมูลแบบดั้งเดิมจำนวนมากโฆษณาช่องทำเครื่องหมายเพื่อระบุว่าตนสำรองข้อมูล Active Directory อย่างไรก็ตาม ปรากฎว่าพวกเขาสามารถกู้คืน AD บางส่วนได้ แต่ไม่ใช่ทั้งหมด

Ransomware กำหนดแถบที่สูงเป็นพิเศษสำหรับการกู้คืน มีขั้นตอนอัตโนมัติหลายขั้นตอนที่คุณต้องปฏิบัติตามเพื่อให้แน่ใจว่าการกู้คืนของคุณจะไม่ทำให้เกิดความเสียหายและปัญหาการย้อนกลับในภายหลัง นั่นเป็นเหตุผลว่าทำไมการทดสอบสถานการณ์แรนซัมแวร์จึงมีความสำคัญมาก เราแจกแจงรายละเอียดการกู้คืนแรนซัมแวร์เพิ่มเติมที่นี่: สิ่งที่คุณต้องรู้เกี่ยวกับการกู้คืนแรนซัมแวร์

การคัดลอกตัวควบคุมโดเมนแบบออฟไลน์ ใส่ลงในสภาพแวดล้อมห้องปฏิบัติการของคุณ เริ่มต้นใช้งาน และทดสอบแอปพลิเคชันอื่นๆ ของคุณนั้นไม่เพียงพอ หากต้องการดูขีดจำกัดของคุณอย่างแท้จริง ให้ทดสอบเหตุการณ์ที่ DC ทั้งหมดหยุดทำงานพร้อมกัน ในสถานการณ์จริง ผู้โจมตีเข้าถึง GPO ระดับ 0 ปรับใช้เพย์โหลด และปิดสภาพแวดล้อมองค์กรทั้งหมดของคุณ รวมถึง Active Directory และระบบที่เกี่ยวข้องทั้งหมดพร้อมกัน มีเพียงการทดสอบและฝึกฝนจนถึงขีดสุดเท่านั้นที่จะช่วยให้คุณได้รับความสบายในระดับที่คุณต้องการในสถานการณ์ที่ตึงเครียดเช่นนี้

แล้วการสำรองข้อมูลสภาพแวดล้อมคลาวด์ล่ะ?

หากคุณสำรองข้อมูลการกำหนดค่า Active Directory และทดสอบการกู้คืนได้สำเร็จ คุณจะสำรองข้อมูลสภาพแวดล้อมระบบคลาวด์ที่มีข้อมูล Office 365 ของคุณด้วยหรือไม่ คุณกำลังสำรองข้อมูล SharePoint ออนไลน์ โดยที่คุณโฮสต์ OneDrive for Business และมีแนวโน้มว่าจะโฮสต์โฮมไดรฟ์ของผู้ใช้ทั้งหมดของคุณหรือไม่ แล้ว Teams และข้อมูลทั้งหมดที่คุณเก็บไว้ที่นั่นล่ะ

การทำงานในระบบคลาวด์ไม่ได้รับประกันว่าข้อมูลของคุณจะได้รับการสำรองข้อมูล และองค์กรส่วนใหญ่ที่ใช้การประมวลผลแบบคลาวด์ไม่ได้สำรองข้อมูลสภาพแวดล้อมระบบคลาวด์ของตน หากจุดมุ่งเน้นของแรนซัมแวร์เริ่มเปลี่ยนจากข้อมูลภายในองค์กรไปเป็นข้อมูลบนคลาวด์ มันคงไม่สวยงามนัก ทรัพยากรเชิงโปรแกรมทั้งหมด เช่น API อยู่ที่นั่น ดังนั้นจึงไม่ใช่เรื่องแปลกที่ผู้แสดงภัยคุกคามจะเริ่มเข้ารหัสข้อมูลบนคลาวด์และจับมันเป็นตัวประกัน

แน่นอนว่าสิ่งที่เกี่ยวกับการประมวลผลแบบคลาวด์คือเมื่อใดก็ตามที่การเชื่อมต่ออินเทอร์เน็ตของคุณถูกขัดจังหวะ ข้อมูลของคุณจะไม่สามารถใช้งานได้ การโจมตีหรือการละเมิดอาจก่อกวนมากจนคุณไม่มีทางเลือกอื่นนอกจากต้องตัดการเชื่อมต่อองค์กรของคุณและเริ่มต้นใหม่อีกครั้ง หรืออาจเป็นผลมาจากสถานการณ์ที่อยู่นอกเหนือการควบคุมของคุณ ไม่ว่าในกรณีใด หากการสำรองข้อมูลทั้งหมดของคุณอยู่ในคลาวด์ ก็จะมีแผนการกู้คืนข้อมูลของคุณ คุณจะต้องส่งใครสักคนกลับบ้านหรือไปยังเมืองอื่นเพื่อเชื่อมต่อกับที่เก็บข้อมูลบนคลาวด์ของคุณ และเริ่มดาวน์โหลดข้อมูลของคุณไปยังสื่อจัดเก็บข้อมูลแบบพกพา

ดังนั้น เพื่อเสริมภูมิปัญญาที่มีอยู่ในปัจจุบันของการประมวลผลบนคลาวด์และการสำรองข้อมูลบนคลาวด์ คุณควรดูแลรักษาการสำรองข้อมูลทางกายภาพในเครื่องด้วยเช่นกัน เนื่องจากการเชื่อมต่ออินเทอร์เน็ตของคุณไม่ได้รับประกันเสมอไป ซึ่งใช้ได้กับแอปพลิเคชันและข้อมูลทางธุรกิจที่สำคัญของคุณเป็นอย่างน้อย ทำการสำรองข้อมูลทางกายภาพที่เข้ารหัส จากนั้นให้บริการเก็บถาวรจัดเก็บข้อมูลนอกสถานที่หรือให้เจ้าหน้าที่ฝ่ายไอทีพาพวกเขากลับบ้านทุกคืน

ความคิดสุดท้าย

หน่วยงานรักษาความปลอดภัยทางไซเบอร์และโครงสร้างพื้นฐาน (CISA) ของกระทรวงความมั่นคงแห่งมาตุภูมิของสหรัฐอเมริกา ให้ความสำคัญกับการสำรองข้อมูลและการกู้คืนอย่างชัดเจนในโครงการริเริ่ม Shield's Up: “ทดสอบขั้นตอนการสำรองข้อมูลเพื่อให้แน่ใจว่าข้อมูลสำคัญสามารถกู้คืนได้อย่างรวดเร็วหากองค์กรได้รับผลกระทบจากแรนซัมแวร์ หรือการโจมตีทางไซเบอร์แบบทำลายล้าง ตรวจสอบให้แน่ใจว่าการสำรองข้อมูลถูกแยกออกจากการเชื่อมต่อเครือข่าย ”

เพื่อสรุปคำแนะนำในการสำรองข้อมูลของฉัน:

• จัดเก็บข้อมูลสำรองของคุณในสามแห่ง — เซิร์ฟเวอร์ภายในเครื่อง ออฟไลน์ และระยะไกล — อย่างน้อยที่สุด
• ทำการสำรองข้อมูลสถานะระบบนั้นอย่างน้อยสัปดาห์ละครั้ง บ่อยขึ้นจะดีกว่า
• เฉพาะผู้ดูแลระบบ AD ระดับ 0 เท่านั้นที่ควรมีสิทธิ์เข้าถึงข้อมูลสำรองของตัวควบคุมโดเมนของคุณ

หากต้องการข้อมูลเชิงลึกเพิ่มเติม คุณสามารถดูเว็บคาสต์ด้านล่างซึ่งครอบคลุมวิธีเพิ่มเติมในการปกป้องสภาพแวดล้อมภายในองค์กรและ Azure AD จากการโจมตีทางไซเบอร์