การรักษาความปลอดภัยการดูแลระบบ Active Directory ตอนที่ 1
เราเริ่มโพสต์ชุดเกี่ยวกับแง่มุมต่างๆ ของการรักษาความปลอดภัยการดูแลระบบ Active Directory ซึ่งสร้างโดย Brian Svidergol ชุดนี้จะแบ่งออกเป็นสามส่วน (ส่วนที่ 1, ส่วนที่ 2, ส่วนที่ 3) โดยแต่ละส่วนจะเน้นไปที่ปัญหาเฉพาะ เกี่ยวกับการรักษาความปลอดภัยการดูแลระบบ Active Directory และการให้แนวคิดบางประการสำหรับแต่ละด้าน:
- หลักการของสิทธิ์ขั้นต่ำ แม้ว่าผู้ดูแลระบบจำนวนมากเคยได้ยินคำนี้และเข้าใจแนวคิดพื้นฐาน แต่ก็ไม่ได้เกี่ยวข้องกับการกำหนดค่าสภาพแวดล้อมเสมอไป ประเด็นสำคัญวันนี้ - เหตุการณ์ด้านความปลอดภัยภายใน ตัวอย่างการเพิ่มสิทธิพิเศษ และลดปัญหา
- ข้อพิจารณาเกี่ยวกับโครงสร้างพื้นฐาน เรามาพูดถึงซับเน็ตสำหรับการดูแลระบบ เซิร์ฟเวอร์การดูแลระบบ และคอมพิวเตอร์ไคลเอนต์การดูแลระบบกันดีกว่า
- การตรวจสอบ/การตรวจสอบ/การแจ้งเตือน เหตุใดคุณจึงควรตรวจสอบความสำเร็จและความล้มเหลว การติดตามผลในการรักษาความปลอดภัยของการดูแลระบบ Active Directory อย่างไร เทคนิคในการลดการแจ้งเตือนเพื่อให้คุณดำเนินการเมื่อมีการแจ้งเตือนเข้ามา
การรักษาความปลอดภัยเป็นหัวข้อใหญ่ในทุกวันนี้ โดยเฉพาะอย่างยิ่งในแง่ของการโจมตี Target และผู้ค้าปลีกรายใหญ่อื่นๆ เมื่อเร็วๆ นี้ บ่อยครั้งที่จุดสนใจหลังการโจมตีครั้งใหญ่คือการรักษาความปลอดภัยให้กับระบบไอทีและเจาะลึกนโยบายความปลอดภัยขององค์กรเพื่อลดความเสี่ยงในอนาคต อย่างไรก็ตาม ในการเดินทางของฉัน ฉันพบว่ามีด้านหนึ่งที่บางครั้งไม่ได้รับความสนใจเท่าที่ควร นั่นก็คือการรักษาความปลอดภัยของการดูแลระบบไอที สำหรับบล็อกนี้ ฉันกำลังพูดถึงโดยเฉพาะเกี่ยวกับการดูแลระบบ Active Directory รวมถึงการดูแลโดเมน การดูแลออบเจ็กต์ และการดูแลระบบที่เกี่ยวข้องสำหรับเทคโนโลยีที่เกี่ยวข้องกับบริการไดเรกทอรี
วันนี้คุณสามารถเรียนรู้เกี่ยวกับวิธีการที่หลักการของสิทธิ์ขั้นต่ำนำไปใช้กับหัวข้อการดูแลระบบ Active Directory
Wikipedia มีคำแนะนำที่ดีเกี่ยวกับหลักการของสิทธิพิเศษน้อยที่สุด ในคำจำกัดความที่ง่ายที่สุด หลักการของสิทธิ์ขั้นต่ำหมายความว่าผู้ดูแลระบบ Active Directory มีสิทธิ์ที่จำเป็นขั้นต่ำในการดำเนินงานของตนเท่านั้น แน่นอนว่า หลักการของสิทธิพิเศษน้อยที่สุดนั้นครอบคลุมถึงฝ่ายไอทีทั้งหมดและอื่นๆ อีกมากมาย แต่ฉันครอบคลุมเรื่องนี้อย่างเคร่งครัดจากมุมมองผู้ดูแลระบบ Active Directory สำหรับโพสต์บนบล็อกนี้
เหตุการณ์ด้านความปลอดภัยภายใน ลองมองไปรอบๆ บนอินเทอร์เน็ตแล้วคุณจะพบกับเรื่องราวที่แตกต่างกันอย่างไม่น่าเชื่อเกี่ยวกับความรุนแรงภายใน (หรือไม่) ของความเสี่ยงด้านความปลอดภัยด้านไอที ฉันได้เห็นรายงานที่มีการละเมิดความปลอดภัยเพียง 15% เท่านั้นที่เกิดขึ้นจากเครือข่ายภายใน ฉันเคยเห็นรายงานอื่น ๆ ที่แสดงการละเมิดความปลอดภัยมากกว่า 50% เกิดขึ้นจากเครือข่ายภายใน การรักษาความปลอดภัยการดูแลระบบ Active Directory ไม่ได้เกี่ยวกับแหล่งที่มาของเหตุการณ์หรือว่าบุคคลที่เป็นอันตรายนั้นเป็นคนภายในหรือภายนอก ในหลายกรณี มีความเป็นไปได้สูงที่ Active Directory จะเป็นเป้าหมายหลัก เนื่องจากเมื่อบุคคลที่ประสงค์ร้ายเป็นเจ้าของ Active Directory บุคคลนั้นจะสามารถเริ่มเป็นเจ้าของระบบอื่นๆ มากมายได้โดยใช้การเพิ่มระดับสิทธิ์ ตัวอย่างบางส่วน รวมถึงการยกระดับสิทธิ์ ได้แก่:
- ไมโครซอฟต์เอ็กซ์เชนจ์ แม้ว่าบางครั้งการดูแลระบบ Exchange จะดำเนินการโดยทีมที่แตกต่างจากการดูแลระบบ Active Directory โดยสิ้นเชิง แต่สิทธิ์จะถูกกำจัดออกไปโดยใช้กลุ่ม Active Directory หากคุณควบคุม Active Directory คุณสามารถเพิ่มตัวเองในกลุ่มที่เหมาะสมและควบคุมสภาพแวดล้อมอีเมลทั้งหมดได้อย่างสมบูรณ์ นั่นหมายถึงการเข้าถึงกล่องจดหมายของ CEO ความสามารถในการคัดลอกข้อมูลกล่องจดหมายที่เป็นความลับจำนวนมหาศาล ความสามารถในการระบุตัวตนของผู้ใช้ไอทีที่มีสิทธิพิเศษสูง (เช่น DBA ที่สามารถเข้าถึงข้อมูลที่ละเอียดอ่อน) เพียงแค่ส่งอีเมลเป็น DBA เพื่อเข้าถึงเพิ่มเติม
- ไมโครซอฟต์ ลินก์ สถานการณ์เดียวกับการแลกเปลี่ยน การเข้าถึงตามบทบาทที่สร้างขึ้นจากกลุ่มความปลอดภัย Active Directory เพิ่มตัวคุณเองในกลุ่มที่เหมาะสมและคุณสามารถส่งข้อความโต้ตอบแบบทันทีในฐานะใครก็ได้ในทั้งองค์กร คุณสามารถจี้การประชุม Lync เปลี่ยนเส้นทางสายโทรศัพท์ และบันทึกการสนทนาได้
- การแชร์ไฟล์ การแชร์ไฟล์ส่วนใหญ่ได้รับการรักษาความปลอดภัยโดยใช้กลุ่มความปลอดภัยของ Active Directory ไม่ใช่เรื่องแปลกที่ข้อมูลที่เป็นความลับและละเอียดอ่อนที่สุดจะถูกจัดเก็บไว้ในการแชร์ไฟล์ เช่น ข้อมูลทรัพยากรบุคคล ข้อมูลเงินเดือน ข้อมูลการดำเนินคดีในองค์กร และอื่นๆ ผู้ใช้ที่เป็นอันตรายซึ่งเป็นเจ้าของ AD สามารถใช้ PowerShell เพื่อให้สิทธิ์ตัวเองในการเข้าถึงทุกไฟล์ที่แชร์บนเครือข่ายได้อย่างรวดเร็ว
คุณจะเห็นได้ว่าสิ่งต่างๆ ลุกลามจนควบคุมไม่ได้อย่างรวดเร็วได้อย่างไร หากผู้ประสงค์ร้ายเป็นเจ้าของ Active Directory ของคุณ! เคล็ดลับบางประการต่อไปนี้จะช่วยลดปัญหาและใช้หลักการของสิทธิ์ขั้นต่ำในสภาพแวดล้อม AD ของคุณ ดูการมอบหมาย Active Directory ทั้งหมดที่มีอยู่ในปัจจุบัน ฉันพบว่าปัญหาต่อไปนี้เป็นปัญหาทั่วไปเกี่ยวกับการมอบสิทธิ์:
- เจ้าหน้าที่ฝ่ายช่วยเหลือสามารถรีเซ็ตรหัสผ่าน สำหรับออบเจ็กต์ผู้ใช้ Active Directory ส่วนใหญ่หรือทั้งหมด ตัวอย่างเช่น หากเจ้าหน้าที่ฝ่ายช่วยเหลือสามารถรีเซ็ตรหัสผ่านของ DBA ได้ เขาก็สามารถเข้าถึงทุกสิ่งที่ DBA สามารถทำได้อย่างมีประสิทธิภาพ หากต้องการ แม้ว่าโปรแกรมช่วยเหลือของคุณจะไม่ใช่คนที่เป็นอันตราย แต่ผู้โจมตีภายนอกมักจะมองหาวิธีที่ง่ายที่สุดเสมอ พวกเขาไม่ได้มุ่งเป้าไปที่บัญชีผู้ดูแลระบบโดเมนเสมอไป การโจมตีแบบฟิชชิ่งต่อเจ้าหน้าที่ฝ่ายช่วยเหลือเพียงไม่กี่คนอาจเป็นสิ่งเดียวที่พวกเขาต้องการ คำแนะนำ: ตรวจสอบให้แน่ใจว่าบุคลากรที่สามารถรีเซ็ตรหัสผ่านที่เหมาะสมได้เท่านั้น (ซึ่งจะแตกต่างกันไปตามสภาพแวดล้อม) ในบางองค์กร ซึ่งหมายความว่าฝ่ายช่วยเหลือไม่สามารถรีเซ็ตรหัสผ่านด้านไอทีหรือรหัสผ่านผู้บริหารได้ และรหัสผ่านเหล่านั้นจะต้องได้รับการจัดการโดยทีมอื่นหรือวิธีการบริการตนเองที่ปลอดภัย
- การมอบหมายให้กับวัตถุผู้ใช้คนเดียว ในกรณีนี้ ผู้ดูแลระบบไอทีมีออบเจ็กต์ผู้ใช้เพียงรายการเดียวเท่านั้น ออบเจ็กต์ผู้ใช้ใช้สำหรับการดูแลระบบไอที ท่องอินเทอร์เน็ต และอ่านอีเมล โชคดีที่ปัญหานี้ได้รับการส่งเสริมอย่างกว้างขวาง และบางบริษัทกำลังดำเนินการแยกบัญชีผู้ดูแลระบบสำหรับบัญชีการใช้งานทั่วไปขององค์กร หากคุณยังไม่ได้ไปตามถนนสายนี้ ถือเป็นชัยชนะครั้งใหญ่ที่ได้ทำ การโจมตีแบบฟิชชิ่ง การโจมตีผ่านเบราว์เซอร์ และการโจมตีอื่นๆ ที่มักใช้เพื่อเจาะเข้าสู่เครือข่าย มีประสิทธิภาพน้อยลงมาก (และมักเป็นเพียงการก่อความรำคาญ)
- บัญชีบริการในกลุ่มผู้ดูแลระบบโดเมน อันนี้ทำให้ฉันบ้าจริงๆ ฉันแน่ใจว่าพวกคุณหลายคนรู้สึกแบบเดียวกัน และเช่นเดียวกับฉัน คุณอาจพบสถานการณ์ที่ผู้ดูแลระบบเครือข่าย/DBA/แอปพลิเคชันร้องขอบัญชีบริการใหม่ และบอกว่าผู้จำหน่ายกล่าวว่าบัญชีบริการจะต้องเป็นสมาชิกของกลุ่มผู้ดูแลระบบโดเมน ขั้นตอนแรกในสถานการณ์เหล่านี้คือการขอเอกสารประกอบของผู้จำหน่ายอย่างเป็นทางการ หวังว่าคุณจะสามารถได้รับสิ่งที่จำเป็นและมอบหมายอย่างเหมาะสมโดยใช้หลักการของสิทธิพิเศษน้อยที่สุด บ่อยครั้งที่ผู้ขายไม่ทราบแน่ชัดว่าอะไรคือสิ่งที่จำเป็น และพวกเขาเลือกเส้นทางที่เกียจคร้าน - ผู้ดูแลระบบโดเมน ซึ่งทำให้ผู้ดูแลระบบไอทีรู้สึกไม่สบายใจในการเลือกบัญชีบริการในกลุ่มผู้ดูแลระบบโดเมนหรือใช้เวลาทำงาน 50 ชั่วโมงเพื่อพยายามตรวจสอบระดับสิทธิ์ขั้นต่ำที่จำเป็น ไม่ว่าในกรณีใด บางครั้งการใช้ฟอรัมไอทีก็ช่วยได้ เพราะผู้ดูแลระบบคนอื่นๆ อาจพบวิธีแก้ปัญหาแล้ว!
ในโพสต์ถัดไป คุณจะสามารถเรียนรู้เพิ่มเติมเกี่ยวกับข้อควรพิจารณาด้านโครงสร้างพื้นฐาน