3 วิธีในการปกป้องข้อมูลรับรองผู้ดูแลระบบโดเมน

มีรายงานว่ารัฐบาลสหรัฐฯ มีหลักฐานว่าการแฮ็กข้อมูลของ Sony ในเดือนพฤศจิกายน 2014 ดำเนินการโดยใช้ข้อมูลประจำตัวผู้ดูแลระบบโดเมนที่ถูกขโมย และในขณะที่เขียนนี้ ยังไม่มีการยืนยันอย่างเป็นทางการ แต่ก็เป็นไปได้ว่าอาจเป็นกรณีนี้ ข้อมูลประจำตัวของผู้ดูแลระบบโดเมน Windows อาจอนุญาตให้ผู้โจมตีสามารถเข้าถึงเซิร์ฟเวอร์ทั้งหมดในโดเมนได้ และถึงแม้ว่าจะต้องระมัดระวังในการปกป้องบัญชีผู้ดูแลระบบภายในเซิร์ฟเวอร์ด้วย แต่ก็มีองค์ประกอบของข้อจำกัดความเสียหายโดยการจำกัดการเข้าถึงเซิร์ฟเวอร์แต่ละเครื่อง

ไม่ว่าข้อมูลประจำตัวของผู้ดูแลระบบที่ถูกบุกรุกจะกลายเป็นวิธีที่แฮกเกอร์เข้าถึงระบบของ Sony หรือไม่ การใช้บัญชีผู้ดูแลระบบในทางที่ผิดและการแพร่กระจายทั่วทั้งระบบไอทีขององค์กรส่วนใหญ่ถือเป็นความเสี่ยงที่สามารถลดลงได้อย่างมากโดยการปฏิบัติตามแนวทางปฏิบัติที่ดีที่สุดง่ายๆ เพียงไม่กี่ข้อ

1. แยกตัวควบคุมโดเมน

เซิร์ฟเวอร์ที่ใช้ Windows Active Directory เรียกว่าตัวควบคุมโดเมน (DC) และจำเป็นอย่างยิ่งที่จะต้องมีการรักษาความปลอดภัยอย่างเหมาะสมทั้งทางกายภาพและทางตรรกะ ขั้นตอนแรกสู่เป้าหมายนั้นคือต้องแน่ใจว่าตัวควบคุมโดเมนไม่ได้โฮสต์ปริมาณงานอื่นนอกเหนือจาก Active Directory ตัวอย่างเช่น ตัวควบคุมโดเมนไม่ควรเพิ่มเป็นสองเท่าเป็นไฟล์หรือเซิร์ฟเวอร์ฐานข้อมูล SQL สำหรับแอปพลิเคชันสายงานธุรกิจ นอกจากนี้ยังควรกล่าวถึงด้วยว่าตัวควบคุมโดเมนควรมีการรักษาความปลอดภัยทางกายภาพ

เริ่มตั้งแต่ Windows Server 2012 การสนับสนุนการจำลองเสมือนทำให้ง่ายขึ้นเพื่อให้แน่ใจว่าตัวควบคุมโดเมนไม่จำเป็นต้องโฮสต์ปริมาณงานอื่นๆ การแยกตัวควบคุมโดเมนยังทำให้สามารถแยกหน้าที่การดูแลระบบได้ เช่น การบำรุงรักษาเซิร์ฟเวอร์ที่ไม่โฮสต์ Active Directory เป็นประจำไม่ควรต้องใช้สิทธิ์ของผู้ดูแลระบบโดเมน และนอกเหนือจากการมอบหมายการควบคุมแล้ว การแยก DC ยังช่วยให้คุณจัดการการเปลี่ยนแปลงบนระบบของคุณได้

<แข็งแกร่ง>2. การมอบหมายการควบคุม

บัญชีที่มีสิทธิ์ไม่ควรใช้เพื่อเข้าสู่ระบบเวิร์กสเตชันของผู้ใช้ และอนุญาตให้ใช้เฉพาะบนอุปกรณ์ที่ออกแบบมาเพื่อการจัดการระบบที่ละเอียดอ่อนเท่านั้น เจ้าหน้าที่ไอทีไม่จำเป็นต้องมีบัญชีผู้ดูแลระบบโดเมนเพื่อทำงานปกติหากคุณมอบสิทธิ์ เริ่มต้นด้วยการกำหนดค่า Active Directory เพื่อให้กลุ่มอื่นที่ไม่ใช่ ผู้ดูแลระบบโดเมน สามารถเข้าร่วมคอมพิวเตอร์กับโดเมนได้ และตามด้วยการกำหนดกลยุทธ์เพื่อกำหนดการเข้าถึงเดสก์ท็อประยะไกลให้กับกลุ่มที่กำหนด

ใช้ การมอบหมายตัวช่วยสร้างการควบคุม ใน Windows Server เพื่อเริ่มต้นการมอบหมายการเข้าถึง Active Directory ให้กับเจ้าหน้าที่ไอที เพื่อให้สามารถดำเนินงานการดูแลระบบรายวัน เช่น การจัดการผู้ใช้และกลุ่ม และแม้ว่าจะเป็นไปไม่ได้ที่จะลบความจำเป็นในการใช้ข้อมูลประจำตัวของผู้ดูแลระบบโดเมนออกไปโดยสิ้นเชิง แต่คุณสามารถกำหนดกลุ่มผู้ใช้ที่ถูกจำกัดสิทธิ์ในการรีบูตตัวควบคุมโดเมน ตั้งค่าการส่งต่อบันทึกเหตุการณ์ และกำหนดค่า Windows Update เพื่อลดความถี่ในการใช้ข้อมูลรับรองการดูแลโดเมน จำเป็น

<แข็งแกร่ง>3. ผู้ใช้ที่ได้รับการป้องกันและไซโลการรับรองความถูกต้อง

กลุ่ม ผู้ใช้ที่ได้รับการป้องกัน ใน Windows Server 2012 และใหม่กว่า จะใช้ข้อจำกัดกับบัญชีผู้ใช้ที่ได้รับการออกแบบมาเพื่อลดโอกาสในการประนีประนอม รวมถึงการบล็อกโปรโตคอลการตรวจสอบสิทธิ์ NTLM แบบดั้งเดิม การเข้ารหัสที่อ่อนแอในการตรวจสอบสิทธิ์ล่วงหน้าของ Kerberos กระบวนการและการมอบหมาย Kerberos

นอกจากนี้ Windows Server 2012 R2 ยังแนะนำนโยบายการตรวจสอบสิทธิ์และไซโล ซึ่งสามารถใช้เพื่อจำกัดอุปกรณ์ที่ผู้ใช้สามารถตรวจสอบสิทธิ์ได้ ตัวอย่างเช่น คุณสามารถสร้างนโยบายและไซโลที่ป้องกันไม่ให้ผู้ดูแลระบบโดเมนตรวจสอบสิทธิ์จากสิ่งอื่นใดยกเว้นตัวควบคุมโดเมน