ปัญหา Active Directory เจ็ดอันดับแรก

Microsoft Active Directory (AD) เป็นโซลูชันที่เชื่อถือได้และปรับขนาดได้สำหรับการจัดการผู้ใช้ ทรัพยากร และการตรวจสอบสิทธิ์ในสภาพแวดล้อม Windows อย่างไรก็ตาม เช่นเดียวกับเครื่องมือซอฟต์แวร์อื่นๆ มันมีข้อจำกัดที่ยากจะเอาชนะได้ ต่อไปนี้เป็นความท้าทายหลัก 7 ประการเกี่ยวกับ Active Directory และตัวเลือกบางส่วนสำหรับจัดการกับปัญหาเหล่านั้น:

ความท้าทาย #1 Active Directory ขึ้นอยู่กับ Windows Server

แม้ว่า Active Directory จะสอดคล้องกับ Lightweight Directory Access Protocol (LDAP) แต่ก็มีการปรับปรุง ส่วนขยาย และการตีความข้อกำหนด LDAP มากมาย บางครั้งผู้จำหน่ายซอฟต์แวร์เลือกที่จะปรับใช้แง่มุมเสริมของ LDAP ที่ Active Directory ไม่รองรับ ดังนั้นการใช้ผลิตภัณฑ์ของตนในสภาพแวดล้อม AD จึงเป็นเรื่องยาก ตัวอย่างเช่น เป็นไปได้ทางเทคนิคที่จะใช้ Kerberos บน Unix แล้วสร้างความเชื่อถือด้วย Active Directory แต่กระบวนการนี้ทำได้ยากและเกิดข้อผิดพลาดบ่อยครั้ง เป็นผลให้หลายองค์กรรู้สึกว่าถูกบังคับให้จำกัดตัวเองอยู่เฉพาะระบบที่ใช้ Windows

ความท้าทาย #2 ใบอนุญาตและค่าบำรุงรักษาสูง

Microsoft ใช้สิทธิ์การเข้าถึงไคลเอนต์ (CAL) สำหรับ Windows Server OS ที่รองรับ Active Directory ตั้งแต่ Windows Server 2016 เป็นต้นมา Microsoft ได้ย้ายไปใช้สิทธิ์การใช้งานแบบต่อคอร์: ราคาเริ่มต้นที่ 6,156 ดอลลาร์สำหรับเซิร์ฟเวอร์ที่มีโปรเซสเซอร์สองตัวโดยแต่ละคอร์แปดคอร์; ค่าใช้จ่ายเพิ่มขึ้นสองเท่าหากคุณใช้โปรเซสเซอร์ที่มี 16 คอร์ นั่นอาจเป็นเรื่องยากที่จะกลืน โดยเฉพาะอย่างยิ่งเมื่อ Open LDAP และ ApacheDS ไม่มีค่าใช้จ่าย

ความท้าทาย #3 การบันทึกและการตรวจสอบไม่สะดวก

หลายๆ สิ่งใน Active Directory จำเป็นต้องมีการบันทึก การตรวจสอบ และการวิเคราะห์ที่เหมาะสม ตัวอย่างเช่น คุณต้องสามารถติดตามข้อผิดพลาดร้ายแรงและการเปลี่ยนแปลงออบเจ็กต์ AD และนโยบายกลุ่มได้ เนื่องจากอาจส่งผลต่อทั้งประสิทธิภาพและความปลอดภัย แต่บันทึก AD มีลักษณะทางเทคนิคอย่างมาก และการค้นหาข้อมูลที่คุณต้องการจำเป็นต้องอาศัยการค้นหาและการกรองด้วยตนเองที่น่าเบื่อ หรือทักษะการเขียนสคริปต์ PowerShell ขั้นสูง ในทำนองเดียวกัน การแจ้งเตือนและการรายงานสามารถทำได้ผ่านการผสมผสานระหว่างสคริปต์ PowerShell ที่ซับซ้อนและ Task Scheduler เท่านั้น บันทึกเหตุการณ์แต่ละรายการถูกจำกัดไว้ที่ 4GB ซึ่งอาจนำไปสู่การเขียนทับบันทึกอย่างรวดเร็วและการสูญเสียเหตุการณ์สำคัญ ในที่สุด เครื่องมือค้นหา PowerShell ก็ล้าสมัย ดังนั้นประสิทธิภาพจึงต่ำ ตัวอย่างเช่น ทุกครั้งที่คุณอ่านบันทึกที่กรองตามเวลา ระบบจะอ่านบันทึกเหตุการณ์ทั้งหมดตามลำดับ บันทึกต่อบันทึก จนกว่าจะพบบันทึกที่คุณร้องขอ สิ่งนี้บังคับให้บริษัทต่างๆ ต้องรวมโซลูชันการตรวจสอบ SIEM และ Active Directory เข้าด้วยกัน เพื่อลดความยุ่งยากในการจัดเก็บบันทึกและกระบวนการวิเคราะห์ โดยใช้จ่ายเงินกับสิ่งต่าง ๆ ที่อาจรวมอยู่ใน AD โดยการออกแบบ

ความท้าทาย #4 AD ขัดข้องทำให้เครือข่ายหยุดทำงาน

เมื่อโฆษณาของคุณออฟไลน์ คุณจะพบกับปัญหาต่อไปนี้:

• ผู้ใช้จะถูกตัดการเชื่อมต่อจากการแชร์ไฟล์ทันทีที่เซสชันการตรวจสอบสิทธิ์หมดอายุ ซึ่งโดยปกติจะใช้เวลาไม่กี่ชั่วโมง
• ซอฟต์แวร์หรือฮาร์ดแวร์ที่ใช้การรับรองความถูกต้องของ Active Directory (เช่น ไซต์ IIS และเซิร์ฟเวอร์ VPN) จะไม่อนุญาตให้ผู้อื่นเข้าสู่ระบบ ทั้งนี้ขึ้นอยู่กับการตั้งค่า จะปิดผู้ใช้ปัจจุบันทันทีหรือเก็บเซสชันที่มีอยู่ไว้จนกว่าจะออกจากระบบ
• ผู้ใช้จะสามารถเข้าสู่ระบบคอมพิวเตอร์ที่ใช้ล่าสุดได้ เนื่องจากจะมีรหัสผ่านที่แคชไว้หรือตั๋วการตรวจสอบสิทธิ์ อย่างไรก็ตาม ใครก็ตามที่ยังไม่เคยใช้พีซีเครื่องใดเครื่องหนึ่งมาก่อนหรือใช้งานครั้งสุดท้ายเมื่อนานมาแล้ว จะไม่สามารถเข้าสู่ระบบได้จนกว่าการเชื่อมต่อกับ DC จะได้รับการกู้คืน ในที่สุด จะไม่มีใครสามารถเข้าสู่ระบบด้วยบัญชีโดเมนได้ เนื่องจากการตรวจสอบสิทธิ์ที่แคชไว้จะหมดอายุภายในไม่กี่ชั่วโมง
• เซิร์ฟเวอร์ Active Directory มักมีบทบาทเป็นเซิร์ฟเวอร์ DNS และ DHCP ในกรณีดังกล่าว ในขณะที่ AD ออฟไลน์ คอมพิวเตอร์จะมีปัญหาในการเข้าถึงอินเทอร์เน็ตและแม้แต่เครือข่ายท้องถิ่นเอง

เพื่อหลีกเลี่ยงปัญหาเหล่านี้ แนวทางปฏิบัติที่ดีที่สุดแนะนำให้มี Active Directory DC อย่างน้อยสองตัวที่มีการเฟลโอเวอร์อยู่ ด้วยวิธีนี้ หากมีใครเสีย คุณก็สามารถติดตั้ง Windows Server ใหม่อีกครั้ง ตั้งค่าเป็น DC ใหม่ในโดเมนที่มีอยู่ และทำซ้ำทุกอย่างกลับคืนมาโดยที่ไม่มีการหยุดทำงานเลย อย่างไรก็ตาม จะต้องเสียค่าใช้จ่ายเพิ่มเติมสำหรับทั้งฮาร์ดแวร์และใบอนุญาต AD

ความท้าทาย #5 AD มีแนวโน้มที่จะถูกแฮ็ก

เนื่องจาก Active Directory เป็นบริการไดเร็กทอรีที่ได้รับความนิยมมากที่สุด จึงมีเทคนิคและกลยุทธ์มากมายในการแฮ็ก เนื่องจากไม่สามารถตั้งอยู่ใน DMZ ได้ เซิร์ฟเวอร์ AD จึงมีการเชื่อมต่ออินเทอร์เน็ต ซึ่งทำให้ผู้โจมตีมีโอกาสเข้าถึงกุญแจสู่อาณาจักรของคุณจากระยะไกล จุดอ่อนประการหนึ่งคือ Active Directory ใช้โปรโตคอลการตรวจสอบสิทธิ์ Kerberos พร้อมสถาปัตยกรรมการเข้ารหัสแบบสมมาตร Microsoft ได้แก้ไขช่องโหว่จำนวนมากแล้ว แต่ช่องโหว่ใหม่ๆ ยังคงถูกค้นพบและใช้ประโยชน์อยู่

ความท้าทาย #6 AD ไม่มีความสามารถในการจัดการ GUI

Microsoft รวมยูทิลิตี้หลายอย่างเข้ากับ AD เช่น Active Directory Users and Computers (ADUC) และ Group Policy Management Console (GPMC) เพื่อช่วยองค์กรจัดการข้อมูลและนโยบายภายในไดเร็กทอรี แต่เครื่องมือเหล่านี้ค่อนข้างจำกัด ตัวอย่างเช่น การแทรกพารามิเตอร์ออบเจ็กต์จำนวนมากจำเป็นต้องมีการเขียนสคริปต์ PowerShell ไม่มีการเตือน; และการรายงานจะจำกัดให้ส่งออกเป็นไฟล์ .txt เท่านั้น ความสามารถในการมอบหมาย AD ยังมีจำกัด ดังนั้นองค์กรต่างๆ มักจะหันไปใช้การแบ่งโดเมนเพื่อสร้างขอบเขตสำหรับการเข้าถึงระดับผู้ดูแลระบบ ซึ่งสร้างโครงสร้างพื้นฐานไดเรกทอรีที่ยุ่งยากในการจัดการ เพื่อแก้ไขปัญหาเหล่านี้ องค์กรต่างๆ มักจะใช้โซลูชันของบริษัทอื่นที่ช่วยให้พวกเขาสามารถจัดการ AD จำนวนมากและควบคุมว่าใครสามารถจัดการสิ่งที่มีรายละเอียดมากกว่าเครื่องมือ AD ดั้งเดิม สิ่งนี้ทำให้พวกเขาสามารถควบคุมการจัดการการเข้าถึงข้อมูลประจำตัวและออบเจ็กต์และการจัดการบัญชีได้ดีขึ้น เครื่องมือการจัดการ AD ของบริษัทอื่นสามารถดำเนินการอัตโนมัติเกี่ยวกับการสร้าง การลบ การแก้ไขบัญชี กลุ่ม และนโยบายกลุ่ม รวมทั้งช่วยในการตรวจสอบการล็อคบัญชี

ความท้าทาย #7 AD ไม่มีพอร์ทัลบริการตนเองสำหรับผู้ใช้ปลายทาง

บ่อยครั้งการอนุญาตให้ผู้ใช้ดำเนินการบางอย่างด้วยตนเอง เช่น แก้ไขโปรไฟล์ของตนเอง และรีเซ็ตรหัสผ่านหากลืม อย่างไรก็ตาม Active Directory จำเป็นต้องมีการเข้าถึงระดับผู้ดูแลระบบสำหรับการดำเนินการเหล่านี้ ดังนั้นพนักงานจึงถูกบังคับให้โทรติดต่อฝ่ายช่วยเหลือด้านไอทีเพื่อแก้ไขปัญหาเล็กๆ น้อยๆ ซึ่งทำให้ขั้นตอนการทำงานทางธุรกิจล่าช้าและเพิ่มต้นทุนของโปรแกรมช่วยเหลือ ปัญหาทั้งหมดเหล่านี้สามารถแก้ไขได้ด้วยเครื่องมือการจัดการแบบบริการตนเองเพิ่มเติม แต่นี่เป็นอีกรายการหนึ่งในงบประมาณ นอกเหนือจากสิ่งที่คุณได้ชำระเงินสำหรับ AD แล้ว

Active Directory เป็นเครื่องมือที่ยอดเยี่ยม และยังคงมีการพัฒนาอยู่ แม้ว่าจะช้าก็ตาม หากคุณต้องการรวม Active Directory เข้ากับสภาพแวดล้อมของคุณ โปรดทราบว่าคุณจะต้องใช้งบประมาณก้อนใหญ่กับระบบดังกล่าว และยิ่งกว่านั้นอีกหากคุณต้องการฟังก์ชันการจัดการโฆษณาและการรายงานที่ดีขึ้น แน่นอนว่าผู้ดูแลระบบสามารถเขียนสคริปต์หรือโปรแกรมแบบกำหนดเองเพื่อแก้ไขข้อบกพร่องของเครื่องมือเนทิฟ และทำให้การจัดการ AD เป็นอัตโนมัติและปรับปรุงโดยใช้อินเทอร์เฟซและเฟรมเวิร์กการเขียนสคริปต์ที่ Microsoft หรือฝ่ายอื่น ๆ มอบให้ อย่างไรก็ตาม การเขียน บำรุงรักษา และเรียกใช้สคริปต์ต้องใช้ทักษะขั้นสูงและใช้เวลาพอสมควร และทำงานผ่านผลลัพธ์เพื่อให้ได้ข้อมูลอัจฉริยะที่สามารถนำไปปฏิบัติได้ ซึ่งอาจนำไปสู่การตอบสนองต่อปัญหาด้านความปลอดภัยที่ร้ายแรงล่าช้าได้ และแน่นอนว่าคุณยังคงอยู่ภายใต้ข้อจำกัด AD พื้นฐาน เช่น การเขียนทับไฟล์บันทึกและขาดการมอบหมาย มูลค่าการซื้อขาย

ด้วยเหตุนี้ องค์กรจำนวนมากจึงหันมาใช้โซลูชันของบุคคลที่สามที่ปรับปรุงและทำให้การตรวจสอบ การจัดการ และการรายงาน AD เป็นอัตโนมัติ มองหาโซลูชันที่ให้การมองเห็นทั่วทั้งโครงสร้างพื้นฐานทั้งหมดของคุณ ซึ่งรวมถึงไม่ใช่แค่ AD แต่ Exchange, ไฟล์เซิร์ฟเวอร์ และ SharePoint และยังทำงานร่วมกับ SIEMs ระบบ Unix และ Linux อีกด้วย ตรวจสอบให้แน่ใจว่าช่วยให้คุณสามารถควบคุมได้ว่าใครสามารถจัดการสิ่งใดในลักษณะที่ละเอียดกว่าเครื่องมือ AD ดั้งเดิม และดำเนินการอัตโนมัติเกี่ยวกับการสร้าง การลบ การแก้ไขบัญชี กลุ่ม และนโยบายกลุ่ม เพิ่มคะแนนโบนัสหากโซลูชันมีความสามารถในการบริการตนเอง และแน่นอนว่าต้องแน่ใจว่าสามารถรวบรวมและจัดเก็บเส้นทางการตรวจสอบที่สมบูรณ์เป็นเวลาหลายปีเพื่อสนับสนุนการตรวจสอบความปลอดภัยและปฏิบัติตามข้อกำหนดด้านกฎระเบียบ