3 วิธีในการรักษาความปลอดภัยบัญชีบริการใน Active Directory

หากคุณกำลังมองหาจุดอ่อนด้านความปลอดภัยในองค์กรของคุณ การตรวจสอบบัญชีบริการไม่ใช่จุดเริ่มต้นที่ไม่ดี การตรวจสอบ Active Directory ควรรวมถึงการกำหนดสิทธิ์ที่กำหนดให้กับแต่ละบัญชี ความยากของรหัสผ่าน ครั้งสุดท้ายที่ถูกรีเซ็ต และไม่ว่าจะเป็นบัญชีโดเมน บัญชีในเครื่อง บัญชีบริการที่มีการจัดการ (MSA) หรือบัญชีบริการที่มีการจัดการกลุ่ม (gMSA) .

บริการต่างๆ สามารถกำหนดค่าให้ทำงานโดยใช้บัญชี Local Service, Network Service หรือ Local System ได้ แต่บริการเหล่านี้จะถูกแชร์กับกระบวนการและแอปพลิเคชันอื่นๆ และไม่สามารถจัดการจากส่วนกลางได้ แม้ว่า Local System จะสามารถเข้าถึง Windows ได้หลากหลาย แต่ Local Service และ Network Service ก็เป็นผู้ใช้มาตรฐานที่มีสิทธิ์ Logon as a service NT บริการเครือข่ายสามารถเชื่อมต่อกับอุปกรณ์อื่น ๆ บนเครือข่ายเพิ่มเติมได้โดยใช้บัญชีคอมพิวเตอร์ของอุปกรณ์

เมื่อใช้บัญชีผู้ใช้โดเมนเป็นบัญชีบริการ บัญชีเหล่านั้นจะให้การแยกและการจัดการในระดับที่มากขึ้น แต่รหัสผ่านจำเป็นต้องได้รับการจัดการด้วยตนเองหรือใช้โซลูชันที่กำหนดเอง หรือตามปกติแล้ว รหัสผ่านจะไม่ค่อยได้รับการรีเซ็ต (หากเคย)

ขั้นตอนที่ 1. บัญชีบริการที่มีการจัดการแบบกลุ่ม

มีบัญชีพิเศษสองประเภทที่สามารถใช้บริการได้: MSA และ gMSA หากคุณจำย้อนกลับไปถึง Windows Server 2008 R2 นั้น Microsoft ได้เปิดตัว MSA แต่ก็มีคำเตือนมากมายที่ทำให้กรณีการใช้งานที่เป็นไปได้นั้นมีจำกัด หลักการพื้นฐานของ MSA คือการจัดการและการแยกบัญชีผู้ใช้โดเมน แต่มีการจัดการรหัสผ่านอัตโนมัติ MSA ยังให้การจัดการชื่อหลักบริการ (SPN) ที่เรียบง่ายอีกด้วย

Microsoft ปรับปรุง MSA ใน Windows 2012 ด้วย gMSA ต่างจาก MSA ตรงที่ gMSA สามารถใช้บนอุปกรณ์มากกว่าหนึ่งเครื่อง รันงานที่กำหนดเวลาไว้ และทำงานกับแอปพลิเคชัน เช่น IIS และ Exchange Key Distribution Service (KDS) บนตัวควบคุมโดเมน Windows Server 2012 จัดการรหัสผ่าน 120 อักขระที่กำหนดให้กับแต่ละ gMSA ก่อนที่คุณจะสามารถใช้ gMSA ได้ คุณต้องมีตัวควบคุม Windows Server 2012 (หรือโดเมนที่สูงกว่า) อย่างน้อยหนึ่งตัวในโดเมนของคุณ รวมถึงอุปกรณ์ที่เข้าร่วมโดเมนที่ใช้ Windows Server 2012 หรือ Windows 8 (และใหม่กว่า) PowerShell ใช้เพื่อกำหนดค่า gMSA

ขั้นตอนที่ 2. รหัสผ่านยาว

แอปพลิเคชันบางประเภทอาจไม่สามารถทำงานร่วมกับ gMSA ได้ ดังนั้นบางครั้งบัญชีผู้ใช้โดเมนจึงเป็นตัวเลือกที่ดีที่สุด Microsoft แนะนำรหัสผ่านที่มีความยาวอย่างน้อย 25 ตัวอักษรสำหรับบัญชีบริการ และควรใช้กระบวนการเปลี่ยนรหัสผ่านบัญชีบริการด้วย นอกจากนี้ ให้วางบัญชีบริการไว้ในหน่วยองค์กรเฉพาะ (OU) ใน AD เพื่อให้สามารถจัดการแยกต่างหากจากบัญชีอื่นๆ และตรวจสอบให้แน่ใจว่ามีการใช้นโยบายรหัสผ่านที่รัดกุมกับบัญชีเหล่านั้น

ขั้นตอนที่ #3 หลักการสิทธิพิเศษน้อยที่สุด

ในกรณีที่บัญชีบริการถูกบุกรุก ยิ่งกำหนดสิทธิ์ให้กับบัญชีได้น้อยเท่าไรก็ยิ่งดีเท่านั้น แม้ว่าจะเป็นเรื่องง่ายที่จะมอบหมายสิทธิ์ของผู้ดูแลระบบเพื่อความเข้ากันได้สูงสุด แต่การเข้าถึงที่กว้างขวางเช่นนี้ก็แทบจะไม่จำเป็นเลย ค้นหาสิทธิ์ที่บัญชีบริการต้องการ และมอบหมายเฉพาะสิทธิ์เหล่านั้นเพื่อจำกัดจำนวนความเสียหายที่สามารถทำได้