การรักษาความปลอดภัยการดูแลระบบ Active Directory - ส่วนที่ 2
เรายังคงโพสต์ชุดเกี่ยวกับแง่มุมต่างๆ ของการรักษาความปลอดภัยการดูแลระบบ Active Directory ซึ่งสร้างโดย Brian Svidergol ชุดข้อมูลนี้มีสามส่วน แต่ละส่วนเกี่ยวข้องกับปัญหาเฉพาะเกี่ยวกับการรักษาความปลอดภัยการดูแลระบบ Active Directory ส่วนแรกซึ่งเน้นไปที่หลักการของสิทธิพิเศษน้อยที่สุดสามารถพบได้ที่นี่ วันนี้คุณสามารถเรียนรู้เกี่ยวกับข้อควรพิจารณาเกี่ยวกับโครงสร้างพื้นฐาน เช่น ซับเน็ตสำหรับการดูแลระบบ เซิร์ฟเวอร์การดูแลระบบ และคอมพิวเตอร์ไคลเอนต์สำหรับการดูแลระบบ
บางครั้ง แนวคิดง่ายๆ ก็ค่อนข้างมีประสิทธิผลในกลยุทธ์ด้านความปลอดภัย พิจารณาคำแนะนำด้านธนาคารออนไลน์ทั่วไป - เฉพาะธนาคารออนไลน์จากอุปกรณ์คอมพิวเตอร์เครื่องเดียวเท่านั้น บางคนอาจมองว่าเป็นเรื่องน่ารำคาญเมื่อคิดถึงเรื่องนี้เป็นครั้งแรก แต่เมื่อคิดนานขึ้นอีกหน่อย คนส่วนใหญ่ก็ตระหนักว่าคำแนะนำนั้นถูกต้อง ธนาคารต่างๆ ได้สร้างการตรวจสอบความปลอดภัยเพื่อเฝ้าดูการเข้าสู่ระบบธนาคารออนไลน์จากอุปกรณ์คอมพิวเตอร์ที่ไม่รู้จัก (นอกเหนือจากภาษาที่ไม่รู้จักและเกณฑ์อื่นๆ) โดยทั่วไปธนาคารจะแจ้งให้ระบุปัจจัยการตรวจสอบสิทธิ์เพิ่มเติมเมื่อเข้าสู่ระบบจากอุปกรณ์หรือตำแหน่งที่ไม่รู้จัก แต่หากเป็นไปตามเกณฑ์การตรวจสอบ เช่น การเข้าสู่ระบบจากสองประเทศที่แตกต่างกันภายในหนึ่งชั่วโมง งานอัตโนมัติจะเริ่มทำงานเพื่อลดความเสี่ยง ฉันต้องการพูดคุยเกี่ยวกับโครงสร้างพื้นฐาน 3 ด้านที่ควรพิจารณาเมื่อรักษาความปลอดภัยการดูแลระบบ Active Directory
- ซับเน็ตสำหรับการดูแลระบบ เช่นเดียวกับธนาคารออนไลน์ องค์กรต่างๆ สามารถเก็บเกี่ยวผลประโยชน์จากการรวมศูนย์การบริหารระบบไปยังเครือข่ายย่อยที่เฉพาะเจาะจง ดังนั้นเมื่อมีการพยายามเชื่อมต่อผู้ดูแลระบบภายนอกเครือข่ายย่อยที่ระบุ การแจ้งเตือนจะถูกส่งไปยังผู้ดูแลระบบ แม้ว่าแนวคิดจะเรียบง่าย แต่การดำเนินการก็ยาก ปัญหาสำคัญประการหนึ่งคืออินเทอร์เฟซการดูแลระบบบนเว็บซึ่งทำงานบนพอร์ต TCP 443 การบล็อกการรับส่งข้อมูลนี้จากซับเน็ตเฉพาะไปยังซับเน็ตเฉพาะอื่น ๆ ต้องใช้เวลาทำงานมาก มีประโยชน์ทันทีเมื่อใช้เครือข่ายย่อยของผู้ดูแลระบบ ประโยชน์ประการหนึ่งคือการเตือน หากพยายามเชื่อมต่อ RDP กับตัวควบคุมโดเมนจากซับเน็ตที่ไม่ใช่ผู้ดูแลระบบ (ซับเน็ตผู้ใช้ ซับเน็ตไร้สาย) จะเป็นสัญญาณอันตรายทันทีและเป็นสิ่งที่ต้องติดตามผล สำหรับหลายองค์กร การเชื่อมต่อ RDP กับตัวควบคุมโดเมนสามารถทำได้จากทุกที่บนเครือข่าย ที่แย่กว่านั้นคือในการเดินทางของฉัน ฉันเคยเห็นองค์กรที่อนุญาตการเชื่อมต่อ RDP ไปยังตัวควบคุมโดเมนของตนจากอินเทอร์เน็ต! ข้อดีอีกประการหนึ่งของเครือข่ายย่อยการดูแลระบบก็คือสามารถล็อคระบบได้โดยใช้เครือข่ายย่อยที่ปลอดภัย (ความปลอดภัยของพอร์ต) การรับรองความถูกต้องด้วยสองปัจจัย และเทคนิคอื่นๆ การล็อคดาวน์อาจเกิดขึ้นได้โดยไม่มีการประโคมข่าวมากเกินไป เปรียบเทียบกับการล็อคเครือข่ายย่อยของผู้ใช้ซึ่งผู้ใช้จะอยู่ในอ้อมแขน! ในส่วนถัดไปของบล็อกนี้ ฉันจะพูดถึงการตรวจสอบและการแจ้งเตือนว่าเครือข่ายใดเชื่อมโยงกับเครือข่ายย่อยของผู้ดูแลระบบ
- เซิร์ฟเวอร์การดูแลระบบ แม้ว่าคุณจะไม่สามารถใช้เครือข่ายย่อยเฉพาะสำหรับการดูแลระบบได้ แต่การใช้เซิร์ฟเวอร์การดูแลระบบเฉพาะก็เป็นสิ่งที่ดีที่สุดรองลงมา สำหรับองค์กรที่สามารถใช้เซิร์ฟเวอร์การดูแลระบบเฉพาะและซับเน็ตการดูแลระบบร่วมกันได้ จะดียิ่งขึ้น! เซิร์ฟเวอร์การดูแลระบบให้ประโยชน์อะไรแก่คุณบ้าง? เช่นเดียวกับซับเน็ตการดูแลระบบ คุณสามารถปรับใช้การรักษาความปลอดภัยเพิ่มเติมภายในและรอบๆ เซิร์ฟเวอร์ได้ ฉันกำลังพูดถึงการตรวจสอบสิทธิ์แบบสองปัจจัยหรือการตรวจสอบใบรับรอง GPO ที่มีความปลอดภัยสูง บัญชีผู้ใช้มาตรฐานสำหรับการตรวจสอบเซิร์ฟเวอร์การดูแลระบบ และการตรวจสอบและการแจ้งเตือนเฉพาะทาง ซึ่งฉันจะพูดถึงในส่วนถัดไปของบล็อก เซิร์ฟเวอร์การดูแลระบบยังมีเครื่องมือทั้งหมดที่ผู้ดูแลระบบต้องการซึ่งสามารถช่วยกำหนดมาตรฐานของผู้ดูแลระบบทั้งหมดโดยใช้ชุดเครื่องมือเดียวกันและเครื่องมือเวอร์ชันเดียวกัน
คอมพิวเตอร์ไคลเอ็นต์ของผู้ดูแลระบบ ฉันได้พูดคุยกับผู้คนมากมายเกี่ยวกับวิธีการที่พวกเขาและคนอื่นๆ ในองค์กรดำเนินการดูแลระบบ Active Directory บ่อยครั้ง การตอบสนองทั้งหมดจะเหมือนกัน - การดูแลระบบจะดำเนินการจากคอมพิวเตอร์ไคลเอนต์ที่ได้รับมอบหมาย คอมพิวเตอร์ไคลเอนต์ที่ได้รับมอบหมายนั้นใช้เพื่อทำงานกับอีเมล ท่องอินเทอร์เน็ต และปฏิบัติหน้าที่ด้านการบริหาร ค่อนข้างสะดวกอย่างไม่ต้องสงสัย สะดวกยิ่งขึ้นถ้าคุณมีบัญชีผู้ใช้ AD เดียวที่คุณใช้สำหรับทุกสิ่ง! แต่เราไม่ได้พูดถึงความสะดวกสบายในวันนี้! เรากำลังพูดถึงเรื่องความปลอดภัย และสองสิ่งนี้มักจะไม่เข้ากัน! ด้วยคอมพิวเตอร์ไคลเอนต์เครื่องเดียวและบัญชีผู้ใช้เดียว ผู้ดูแลระบบและคอมพิวเตอร์ของเขากลายเป็นเป้าหมายหลักสำหรับการโจมตีหลายประเภท รวมถึงการโจมตีแบบฟิชชิ่ง หากคอมพิวเตอร์ของผู้ดูแลระบบเป็นเจ้าของ ผู้โจมตีจะมีสิทธิ์การเข้าถึงระดับผู้ดูแลระบบในทุกสิ่งที่ผู้ดูแลระบบทำ และยิ่งกว่านั้น เขามีเครื่องมือทั้งหมดที่ติดตั้งบนคอมพิวเตอร์ แคชของเครื่องมือการดูแลระบบ (ข้อมูลการเชื่อมต่อ RDP ข้อมูล FTP ฯลฯ ) เป็นที่ชัดเจนในทันทีว่าการทำงานบนคอมพิวเตอร์ไคลเอนต์เครื่องเดียวด้วยบัญชีผู้ใช้ AD เดียวนั้นมีความเสี่ยงเพียงใด การแก้ไข? ใช้บัญชีผู้ใช้รองสำหรับการดูแลระบบ ใช้คอมพิวเตอร์ไคลเอ็นต์การดูแลระบบ (อาจเป็น VM ในสภาพแวดล้อม VDI) สำหรับการดูแลระบบ ในโลกที่สมบูรณ์แบบ มีบัญชีผู้ใช้ที่สองและคอมพิวเตอร์ไคลเอนต์สำหรับผู้ดูแลระบบ เช่นเดียวกับเซิร์ฟเวอร์ผู้ดูแลระบบ คอมพิวเตอร์ไคลเอ็นต์สำหรับผู้ดูแลระบบสามารถล็อคได้ มีการตรวจสอบสิทธิ์แบบสองปัจจัย และเป็นส่วนหนึ่งของโครงสร้างพื้นฐานการตรวจสอบและการแจ้งเตือนที่ได้รับการปรับปรุง แม้ว่าฉันจะเห็นบัญชีผู้ดูแลระบบแยกต่างหากที่แนะนำกันอย่างกว้างขวางในด้านไอที แต่ฉันไม่เห็นว่ามีการนำคอมพิวเตอร์ไคลเอนต์สำหรับผู้ดูแลระบบมาใช้อย่างแพร่หลาย