ค้นหาเว็บไซต์

การปกป้องข้อมูลรับรองใน Window Server 2016

ข้อมูลประจำตัวเป็นกุญแจสำคัญในบัญชี ด้วยการเก็บเกี่ยวข้อมูลรับรอง ผู้โจมตีสามารถเข้าสู่เครือข่ายของคุณ ย้ายไปด้านข้าง และเพิ่มสิทธิ์ในการขโมยข้อมูลของคุณได้ Windows Server 2022 มีคุณสมบัติหลายประการในการลดโอกาสที่ผู้โจมตีจะสามารถเก็บเกี่ยวข้อมูลประจำตัวได้

การใช้กลุ่มผู้ใช้ที่ได้รับการป้องกัน

การให้ผู้ใช้ โดยเฉพาะผู้ใช้ที่มีสิทธิพิเศษสูง อยู่ในกลุ่ม "ผู้ใช้ที่ได้รับการป้องกัน" จะช่วยให้คุณสามารถป้องกันการบุกรุกข้อมูลประจำตัวของพวกเขาได้ โดยการปิดใช้งานตัวเลือกการรับรองความถูกต้องที่มีความปลอดภัยน้อย ตัวอย่างเช่น Windows จะไม่แคชข้อมูลประจำตัวของสมาชิกของกลุ่มนี้ในเครื่อง ดังนั้นข้อมูลเหล่านี้จะไม่ถูกทิ้งไว้บนเวิร์กสเตชันเพื่อให้ผู้โจมตีสามารถเก็บเกี่ยวได้ นอกจากนี้ บัญชีผู้ใช้ที่เป็นสมาชิกของกลุ่มนี้ไม่สามารถ:

  • ใช้การมอบหมายข้อมูลรับรองเริ่มต้น
  • ใช้วินโดวส์ไดเจสต์
  • ใช้ NTLM
  • ใช้คีย์ระยะยาวของ Kerberos
  • ลงชื่อเข้าใช้แบบออฟไลน์
  • ใช้ NT LAN Manager (NTLM) สำหรับการตรวจสอบสิทธิ์
  • ใช้ DES สำหรับการตรวจสอบสิทธิ์ล่วงหน้าของ Kerberos
  • ใช้ชุดการเข้ารหัส RC4 สำหรับการตรวจสอบสิทธิ์ล่วงหน้าของ Kerberos
  • รับสิทธิ์การมอบหมายโดยใช้การมอบหมายแบบจำกัด
  • ได้รับการมอบหมายสิทธิ์โดยใช้การมอบหมายที่ไม่มีข้อจำกัด
  • ต่ออายุตั๋วการให้สิทธิ์ผู้ใช้ (TGT) หลังจากอายุการใช้งาน 240 นาทีแรก

การใช้การตั้งค่าบัญชี

  • บัญชีผู้ใช้

สำหรับบัญชีผู้ใช้ที่ต้องการการป้องกันที่เข้มงวดน้อยกว่า คุณสามารถใช้ตัวเลือกความปลอดภัยต่อไปนี้ ซึ่งใช้ได้กับบัญชี AD ใดๆ:

  • ชั่วโมงการเข้าสู่ระบบ — ช่วยให้คุณสามารถระบุเวลาที่ผู้ใช้สามารถใช้บัญชีได้
  • เวิร์กสเตชันสำหรับการเข้าสู่ระบบ — ช่วยให้คุณสามารถจำกัดคอมพิวเตอร์ที่บัญชีสามารถลงชื่อเข้าใช้ได้
  • รหัสผ่านไม่มีวันหมดอายุ — ยกเลิกบัญชีจากการตั้งค่านโยบาย "อายุรหัสผ่านสูงสุด" อย่ากำหนดค่าตัวเลือกนี้สำหรับบัญชีที่มีสิทธิ์
  • ต้องใช้สมาร์ทการ์ดสำหรับการเข้าสู่ระบบแบบโต้ตอบ — ต้องใช้สมาร์ทการ์ดเพื่อแสดงบัญชีจึงจะลงชื่อเข้าใช้ได้
  • บัญชีมีความละเอียดอ่อนและไม่สามารถมอบหมายได้ — ตรวจสอบให้แน่ใจว่าแอปพลิเคชันที่เชื่อถือได้ไม่สามารถส่งต่อข้อมูลประจำตัวของบัญชีไปยังบริการอื่นหรือคอมพิวเตอร์บนเครือข่าย
  • บัญชีนี้รองรับการเข้ารหัส Kerberos AES 128 บิต — อนุญาตการเข้ารหัส Kerberos AES 128 บิต
  • บัญชีนี้รองรับการเข้ารหัส Kerberos AES 256 บิต — อนุญาตการเข้ารหัส Kerberos AES 256 บิต ใช้ตัวเลือกนี้สำหรับบัญชีที่มีสิทธิ์
  • บัญชีหมดอายุ — ช่วยให้คุณสามารถระบุวันที่สิ้นสุดสำหรับบัญชีได้

  • บัญชีคอมพิวเตอร์

นอกเหนือจากการควบคุมบัญชีผู้ใช้แล้ว คุณยังต้องเข้าใจและจัดการการเข้าถึงของคอมพิวเตอร์และบัญชีบริการอีกด้วย เมื่อคุณรวมคอมพิวเตอร์เข้ากับโดเมนเป็นครั้งแรก Windows จะสร้างบัญชีคอมพิวเตอร์ใน Active Directory ในคอนเทนเนอร์ "คอมพิวเตอร์" และกำหนดรหัสผ่านให้โดยอัตโนมัติ AD จัดการรหัสผ่านเหล่านี้และอัปเดตโดยอัตโนมัติทุก 30 วัน

ในการจัดการสิทธิ์ของบัญชีคอมพิวเตอร์และควบคุมนโยบายกลุ่มที่จะนำไปใช้กับบัญชีเหล่านี้ คุณสามารถเพิ่มลงในกลุ่มและย้ายไปยัง OU อื่นได้ คุณยังสามารถปิดใช้งานและรีเซ็ตบัญชีคอมพิวเตอร์ได้:

  • การปิดใช้งานบัญชีคอมพิวเตอร์หมายความว่าคอมพิวเตอร์ไม่สามารถเชื่อมต่อกับโดเมนได้อีกต่อไป หากคุณลบบัญชีคอมพิวเตอร์และคอมพิวเตอร์ยังทำงานอยู่ คุณจะต้องเข้าร่วมคอมพิวเตอร์กับโดเมนอีกครั้งหากต้องการให้ได้รับความเป็นสมาชิกโดเมนอีกครั้ง
  • การรีเซ็ตบัญชีคอมพิวเตอร์จะลบการเชื่อมต่อระหว่างคอมพิวเตอร์และโดเมน

  • บัญชีบริการ

บัญชีบริการเป็นบัญชีประเภทพิเศษที่บริการ Windows ใช้เพื่อโต้ตอบกับระบบปฏิบัติการและทรัพยากรบนเครือข่าย (คุณสามารถสร้างบัญชีผู้ใช้และกำหนดค่าให้ทำงานเป็นบัญชีบริการได้ แต่ไม่สะดวก)

บัญชีบริการที่มีอยู่แล้วภายในมีสามประเภท:

  • ระบบภายใน — บัญชี NT AUTHORITYSYSTEM มีสิทธิ์เทียบเท่ากับกลุ่มผู้ดูแลระบบภายในเครื่องคอมพิวเตอร์
  • บริการท้องถิ่น — บัญชี NT AUTHORITYLocalService มีสิทธิ์เทียบเท่ากับกลุ่มผู้ใช้ภายในเครื่องคอมพิวเตอร์
  • บริการเครือข่าย — บัญชี NT AUTHORITYNetworkService มีสิทธิ์เทียบเท่ากับกลุ่มผู้ใช้ภายในเครื่องคอมพิวเตอร์

เพื่อปกป้องบัญชีเหล่านี้ ตรวจสอบให้แน่ใจว่าผู้ดูแลระบบอัปเดตรหัสผ่านเป็นประจำ นี่เป็นกระบวนการที่ต้องดำเนินการด้วยตนเองหากคุณใช้เครื่องมือดั้งเดิม

  • บัญชีบริการที่มีการจัดการกลุ่มและบัญชีเสมือน

บัญชีบริการที่มีการจัดการกลุ่มเป็นบัญชีบริการประเภทพิเศษ AD จะอัปเดตรหัสผ่านของบัญชีเหล่านี้โดยอัตโนมัติ บัญชีเสมือนเทียบเท่ากับบัญชีบริการที่มีการจัดการแบบกลุ่มในคอมพิวเตอร์เฉพาะเครื่อง

การใช้ Windows Defender Credential Guard

Windows Defender Credential Guard เป็นเทคโนโลยีใหม่ใน Windows 10 และ Windows Server 2022 ที่ช่วยปกป้องข้อมูลประจำตัวจากผู้โจมตีที่พยายามเก็บเกี่ยวโดยใช้มัลแวร์ Windows Defender Credential Guard ใช้การรักษาความปลอดภัยแบบเวอร์ช่วลไลเซชั่นที่ช่วยให้คุณสามารถแยกความลับได้ เช่น ข้อมูลประจำตัวที่แคชไว้ เพื่อให้มีเพียงซอฟต์แวร์ที่มีสิทธิ์เท่านั้นที่สามารถเข้าถึงได้

ในการรักษาความปลอดภัยบนพื้นฐานการจำลองเสมือน กระบวนการเฉพาะที่ใช้ข้อมูลประจำตัวหรือข้อมูล และหน่วยความจำที่เกี่ยวข้องกับกระบวนการเหล่านั้น ทำงานในระบบปฏิบัติการที่แยกจากกันขนานกับระบบปฏิบัติการโฮสต์ แต่ไม่ขึ้นอยู่กับระบบปฏิบัติการโฮสต์ ระบบปฏิบัติการเสมือนนี้ปกป้องกระบวนการจากการพยายามของซอฟต์แวร์ภายนอกในการอ่านข้อมูลที่กระบวนการเหล่านั้นจัดเก็บและใช้งาน Windows Defender Credential Guard ใช้ประโยชน์จากการรักษาความปลอดภัยของฮาร์ดแวร์ รวมถึงการบูตอย่างปลอดภัยและการจำลองเสมือน

คุณสามารถจัดการ Windows Defender Credential Guard ได้โดยใช้ Group Policy, Windows Management Instrumentation (WMI) หรือ Windows PowerShell

Windows Defender Credential Guard ไม่อนุญาตให้ใช้:

  • การมอบหมาย Kerberos ที่ไม่จำกัด
  • NT LAN Manager เวอร์ชัน 1 (NTLMv1)
  • โปรโตคอลการรับรองความถูกต้องของ Microsoft Challenge Handshake (MS-CHAPv2)
  • ย่อยอาหาร
  • ผู้ให้บริการสนับสนุนความปลอดภัยข้อมูลรับรอง (CredSSP)
  • การเข้ารหัส Kerberos DES

การใช้โซลูชันรหัสผ่านผู้ดูแลระบบภายใน

โซลูชันรหัสผ่านผู้ดูแลระบบภายในเครื่อง (LAPS) ของ Microsoft มอบพื้นที่เก็บข้อมูลกลางที่ปลอดภัยสำหรับรหัสผ่านบัญชีผู้ดูแลระบบภายในภายในทั้งหมด และจัดการรหัสผ่านเหล่านั้นอย่างเหมาะสมโดยอัตโนมัติ โดยเฉพาะอย่างยิ่ง LAPS:

  • ตรวจสอบให้แน่ใจว่ารหัสผ่านของผู้ดูแลระบบภายในไม่ซ้ำกันในคอมพิวเตอร์แต่ละเครื่อง
  • เปลี่ยนรหัสผ่านผู้ดูแลระบบท้องถิ่นทั้งหมดโดยอัตโนมัติทุกๆ 30 วัน
  • ให้สิทธิ์ที่กำหนดค่าได้เพื่อควบคุมการเข้าถึงรหัสผ่าน
  • ส่งรหัสผ่านไปยังไคลเอนต์ในลักษณะที่ปลอดภัยและเข้ารหัส

การใช้ศูนย์การจัดการ Active Directory

ศูนย์การจัดการ Active Directory ช่วยให้คุณสามารถค้นหา Active Directory ของคุณเพื่อหาบัญชีที่พร้อมจะเข้าครอบครองโดยผู้โจมตี โดยเฉพาะอย่างยิ่ง คุณควรมองหาบัญชีประเภทต่อไปนี้เป็นประจำ:

  • บัญชีผู้ใช้ที่รหัสผ่านไม่มีวันหมดอายุ — คุณควรหลีกเลี่ยงการกำหนดค่าบัญชีด้วยรหัสผ่านที่ตายตัว เนื่องจากมีความปลอดภัยน้อยกว่าบัญชีที่มีรหัสผ่านที่ผู้ใช้ต้องอัปเดตเป็นระยะ
  • บัญชีผู้ใช้ที่ไม่ได้ใช้งาน — บัญชีผู้ใช้ที่ไม่ได้ใช้งานมักจะเป็นของบุคคลที่ออกจากองค์กรไปแล้ว คอนโซลศูนย์การจัดการ Active Directory ช่วยให้คุณสามารถค้นหาบัญชีที่ไม่ได้ลงชื่อเข้าใช้ตามจำนวนวันที่ระบุ

การลบหรือปิดใช้งานบัญชีผู้ใช้เหล่านี้จะช่วยป้องกันไม่ให้ผู้โจมตีภายนอกหรือบุคคลภายในที่เป็นอันตรายนำไปใช้ในทางที่ผิด

สรุป

อย่างที่คุณเห็น Windows Server 2022 มีประโยชน์มากมายที่จะช่วยคุณปกป้องข้อมูลรับรองในสภาพแวดล้อมของคุณ คุณสามารถใช้บางส่วนหรือทั้งหมดก็ได้ โดยเฉพาะอย่างยิ่ง การใช้ประโยชน์จากบัญชีบริการที่มีการจัดการแบบกลุ่ม, Windows Defender Credential Guard และ LAPS นั้นฉลาด เนื่องจากสามารถปรับปรุงความปลอดภัยด้านไอทีได้อย่างมากโดยใช้ความพยายามเพียงเล็กน้อย

บทความที่เกี่ยวข้อง