ผู้ใช้ที่มีสิทธิ์: ภัยคุกคามที่คุณควรรู้

แม้ว่าการโจมตีของมัลแวร์ — โดยเฉพาะแรนซัมแวร์ — ดูเหมือนจะเป็นข่าวพาดหัวข่าวเกือบทุกวัน แต่ก็มีภัยคุกคามร้ายแรงอีกอย่างหนึ่งที่คนส่วนใหญ่มักมองข้าม นั่นก็คือ บัญชีผู้ใช้ที่ได้รับสิทธิพิเศษ บัญชีที่มีประสิทธิภาพเหล่านี้อาจถูกเจ้าของนำไปใช้ในทางที่ผิดหรือถูกยึดครองและใช้งานโดยผู้โจมตี ซึ่งส่วนใหญ่มักจะขโมยข้อมูลอันมีค่าขององค์กร ภัยคุกคามนี้มีอยู่จริงมาก โดยเห็นได้จากการโจมตีที่มีการเผยแพร่อย่างกว้างขวางต่อบริษัทยักษ์ใหญ่ เช่น Deloitte, Home Depot, Morgan Stanley และ Anthem ตาม รายงานการสืบสวนการละเมิดข้อมูลของ Verizon ปี 2017 พบว่า 25% ของการละเมิดเกี่ยวข้องกับผู้มีบทบาทภายใน และ 14% เกี่ยวข้องกับการใช้สิทธิ์ในทางที่ผิด แต่นั่นไม่ใช่เรื่องราวทั้งหมด แม้ว่าผู้โจมตีมักจะตั้งหลักได้ด้วยวิธีอื่น เช่น ฟิชชิ่งหรือรหัสผ่านผู้ใช้ที่ถูกขโมย การสร้างหรือเข้าครอบครองบัญชีที่ได้รับสิทธิพิเศษมักเป็นขั้นตอนสำคัญในการบรรลุภารกิจของพวกเขา

ในโพสต์นี้ เราจะตรวจสอบว่าบัญชีที่ได้รับสิทธิพิเศษคืออะไร และเหตุใดจึงเป็นอันตราย และกล่าวถึงสิ่งสำคัญสี่ประการที่คุณสามารถทำได้เพื่อบรรเทาภัยคุกคามที่เกิดขึ้น

บัญชีผู้ใช้ที่ได้รับสิทธิพิเศษคืออะไร?

บัญชีผู้ใช้ที่ได้รับสิทธิพิเศษคือบัญชีที่มีสิทธิ์ไม่จำกัดสำหรับระบบ (เช่น บริการคลาวด์หรือระบบควบคุมอุตสาหกรรม) อุปกรณ์ปลายทางของผู้ใช้ (เช่น พีซีและอุปกรณ์มือถือ) หรือข้อมูล (เช่น ไฟล์ข่าวกรองขององค์กรที่ไม่มีโครงสร้างหรือข้อมูลลูกค้าที่จัดเก็บไว้ในฐานข้อมูล) .

บุคคลที่ใช้บัญชีที่มีสิทธิ์อาจสามารถเปลี่ยนการตั้งค่าระบบ อ่านและแก้ไขข้อมูลที่ละเอียดอ่อน หรือให้สิทธิ์การเข้าถึงเนื้อหาที่สำคัญแก่ผู้ใช้รายอื่นได้< /ช่วง>

ตัวอย่างเช่น บุคคลที่ใช้บัญชีที่มีสิทธิ์อาจสามารถเปลี่ยนการตั้งค่าระบบ อ่านและแก้ไขข้อมูลที่ละเอียดอ่อน หรือให้สิทธิ์การเข้าถึงเนื้อหาที่สำคัญแก่ผู้ใช้รายอื่นได้

แม้ว่าคำว่า “บัญชีผู้ใช้ที่ได้รับสิทธิ์” อาจดูเหมือนอธิบายในตัวเองได้ แต่หลายองค์กรล้มเหลวในการจดจำบัญชีที่ได้รับสิทธิพิเศษทุกประเภทที่ตนมีอยู่จริง โดยเฉพาะอย่างยิ่งเมื่อบัญชีไม่มีอำนาจเท่ากัน ต่อไปนี้คือประเภทของบัญชีสิทธิพิเศษที่องค์กรใช้บ่อยที่สุด:

• บัญชีผู้ดูแลระบบโดเมน — บัญชีเหล่านี้สามารถเข้าถึงเวิร์กสเตชันและเซิร์ฟเวอร์ทั้งหมดทั่วทั้งโดเมนที่ระบุ และสามารถควบคุมการกำหนดค่าระบบ บัญชีผู้ดูแลระบบ และการเป็นสมาชิกกลุ่มโดเมน นี่คือระดับสูงสุดของการควบคุมระบบ
• บัญชีผู้ดูแลระบบภายใน — บัญชีเหล่านี้สามารถควบคุมเซิร์ฟเวอร์หรือเวิร์กสเตชันเฉพาะและทุกสิ่งที่เก็บไว้ที่นั่น แผนกไอทีหลายแห่งสร้างบัญชีผู้ดูแลระบบภายในแยกต่างหากสำหรับแต่ละเซิร์ฟเวอร์ เพื่อใช้สำหรับงานบำรุงรักษา
• บัญชีผู้ดูแลระบบแอปพลิเคชัน — บัญชีเหล่านี้มีสิทธิ์เข้าถึงแอปพลิเคชันเฉพาะและข้อมูลที่เก็บไว้ในแอปพลิเคชันโดยสมบูรณ์ ตัวอย่างเช่น ผู้ดูแลระบบฐานข้อมูลอาจจำเป็นต้องเข้าถึง จัดการ และกำหนดค่าฐานข้อมูลเฉพาะ
• บัญชีผู้ใช้ที่มีสิทธิ์ระดับธุรกิจ — เป็นบัญชีส่วนบุคคลที่มีสิทธิ์ระดับสูงที่ได้รับมอบหมายตามความรับผิดชอบงาน บัญชีเหล่านี้มักถูกสร้างขึ้นสำหรับผู้จัดการหรือผู้ดำเนินการฐานข้อมูลที่ทำงานกับข้อมูลที่ละเอียดอ่อน เช่น ข้อมูลทางการเงินหรือทรัพยากรบุคคล
• บัญชีบริการ — บัญชีเหล่านี้ถูกสร้างขึ้นเพื่อให้แอปพลิเคชันสามารถโต้ตอบกับระบบปฏิบัติการได้อย่างปลอดภัยยิ่งขึ้น โดยทั่วไป บัญชีบริการจะมีสิทธิ์เข้าถึงโดเมนเฉพาะในกรณีที่แอปพลิเคชันใช้งานจำเป็นเท่านั้น
• บัญชีฉุกเฉิน — ในกรณีที่เกิดภัยพิบัติหรือการหยุดชะงักในความพร้อมใช้งานของแอปพลิเคชัน บัญชีฉุกเฉินจะทำให้ผู้ใช้ที่ไม่มีสิทธิ์สามารถเข้าถึงระบบที่ปลอดภัยของผู้ดูแลระบบ หรือแก้ไขปัญหาโดยเร็วที่สุด

อะไรคือความท้าทายในการจัดการบัญชีอย่างเหมาะสม?

ใครบ้างที่จะได้รับบัญชีผู้ใช้ที่ได้รับสิทธิพิเศษประเภทนี้ ผู้ดูแลระบบเครือข่าย ผู้ดูแลระบบฐานข้อมูล นักพัฒนาแอปพลิเคชัน และผู้บริหารระดับ C มักได้รับสิทธิพิเศษระดับสูง เนื่องจากจำเป็นต้องทำงานโดยตรงกับข้อมูลและโครงสร้างพื้นฐานที่สำคัญ

แม้ว่าโดยทั่วไปแล้วบัญชีผู้ใช้ที่มีสิทธิ์การใช้งานทางธุรกิจจะได้รับการกำหนดให้กับบุคคลทั่วไป แต่บัญชีที่มีสิทธิ์การใช้งานประเภทอื่นๆ จำนวนมากมักจะถูกแชร์โดยผู้ดูแลระบบหลายคน กลยุทธ์ทั่วไปนี้นำไปสู่ความท้าทายหลายประการ:

1. อาจเป็นเรื่องยากที่จะให้แต่ละคนรับผิดชอบต่อการกระทำที่พวกเขาทำ โดยใช้บัญชีที่ได้รับสิทธิพิเศษ ซึ่งเพิ่มโอกาสที่ผู้ดูแลระบบจะระมัดระวังน้อยกว่าที่ควรเมื่อปฏิบัติหน้าที่ของตน หรือแม้แต่เสี่ยงต่อการดำเนินการที่ไม่ได้รับอนุญาต
2. การจัดการรหัสผ่านมักจะหละหลวม ตัวอย่างเช่น บัญชีผู้ดูแลระบบท้องถิ่นมักจะมีรหัสผ่านเดียวกันทั่วทั้งแพลตฟอร์มหรือทั่วทั้งองค์กร รหัสผ่านของบัญชีบริการไม่ค่อยมีการเปลี่ยนแปลง เนื่องจากต้องทำการเปลี่ยนแปลงพร้อมกันในระบบที่ขึ้นต่อกัน ซึ่งไม่ใช่เรื่องง่าย ความล้มเหลวในการบังคับใช้การจัดการรหัสผ่านที่รัดกุมดังกล่าวจะเพิ่มความเสี่ยงที่ผู้โจมตีจะสามารถควบคุมบัญชีที่มีประสิทธิภาพได้
3. การยกเลิกการจัดสรรบัญชีอย่างเหมาะสมสามารถมองข้ามได้ ตัวอย่างเช่น เมื่อบัญชีผู้ดูแลระบบภายในถูกสร้างขึ้นเพื่อการบำรุงรักษา ผู้ดูแลระบบมักจะลืมลบบัญชีเหล่านั้น ซึ่งจะทำให้บัญชีที่ได้รับสิทธิ์พร้อมให้ผู้โจมตีเข้ามาใช้ประโยชน์

เหตุใดบัญชีผู้ใช้ที่ได้รับสิทธิพิเศษจึงอันตรายมาก

บัญชีผู้ใช้ที่มีสิทธิ์นั้นเป็นอันตรายเนื่องจากมีประสิทธิภาพมาก และอำนาจดังกล่าวสามารถนำไปใช้ในทางที่ผิดได้หลายวิธี:

• ไม่ได้ตั้งใจ — เนื่องจากผู้ใช้ที่มีบัญชีที่มีสิทธิ์เข้าถึงระบบและข้อมูลที่สำคัญ ข้อผิดพลาดใดๆ ที่พวกเขาทำอาจส่งผลร้ายแรง ตัวอย่างเช่น ผู้ใช้ที่มีสิทธิ์อาจทำการแก้ไขข้อมูลสำคัญโดยไม่ได้รับอนุญาตโดยไม่ต้องคำนึงถึงผลที่ตามมา หรือให้สิทธิ์ผู้ใช้เข้าถึงการแชร์ไฟล์ที่จัดเก็บข้อมูลละเอียดอ่อนโดยไม่ต้องตรวจสอบว่ามีความต้องการทางธุรกิจที่ถูกต้องตามกฎหมายหรือไม่ ส่งผลให้ข้อมูลนั้นตกอยู่ในความเสี่ยง
• ประสงค์ร้าย — เนื่องจากบัญชีที่ได้รับสิทธิพิเศษมีสิทธิ์การเข้าถึงที่ถูกต้อง การกระทำที่เป็นอันตรายจึงเป็นเรื่องยากที่จะตรวจพบ หากองค์กรพยายามทำเช่นนั้นด้วยซ้ำ บ่อยครั้งที่ผู้ใช้เหล่านี้ได้รับความไว้วางใจในระดับสูงจากองค์กร ซึ่งอาจนำไปสู่ความคิดที่ว่าพวกเขา “อยู่เหนือกฎหมาย” และไม่อยู่ภายใต้ข้อจำกัดด้านความปลอดภัยที่บังคับใช้กับพนักงานคนอื่นๆ ส่งผลให้ไม่สามารถติดตามการกระทำของพวกเขาอย่างใกล้ชิดด้วยซ้ำ นอกจากนี้ ผู้ใช้เหล่านี้มักจะมีความเชี่ยวชาญในการเอาชนะการควบคุมและสร้างความเสียหายสูงสุดในขณะที่ซ่อนเส้นทางของพวกเขา และตามที่ระบุไว้ก่อนหน้านี้ รหัสผ่านที่แชร์และนำมาใช้ซ้ำสามารถทำให้บุคคลต้องรับผิดชอบต่อการกระทำของตนได้ยากมาก
• โดยผู้โจมตี — บัญชีที่ได้รับสิทธิพิเศษยังเป็นเป้าหมายอันดับต้นๆ สำหรับอาชญากรไซเบอร์ ซึ่งจะพยายามรับข้อมูลรับรองอันทรงพลังโดยใช้เทคนิคที่หลากหลาย ตั้งแต่ฟิชชิ่งไปจนถึงการใช้กำลังดุร้ายไปจนถึงการบังคับขู่เข็ญ เจ้าของหรือผู้ใช้บัญชีที่ถูกต้องตามกฎหมายอาจไม่รู้ตัวด้วยซ้ำว่าบัญชีถูกไฮแจ็กจนกว่าจะสายเกินไป การโจมตีมักเกิดขึ้นในลักษณะนี้: แฮ็กเกอร์เจาะขอบเขต เข้าควบคุมพีซีของผู้ใช้ ขโมยข้อมูลรับรองสิทธิพิเศษใดๆ ที่เก็บไว้ที่นั่นอย่างเงียบๆ จากนั้นจึงย้ายจากเครื่องหนึ่งไปยังอีกเครื่องหนึ่งเพื่อค้นหาผู้ใช้ที่ได้รับสิทธิพิเศษเพิ่มเติมเพื่อแย่งชิง ในความเป็นจริง แฮ็กเกอร์มักจะอยู่ในเครือข่ายโดยตรวจไม่พบเป็นเวลาหลายเดือน โดยยกระดับสิทธิพิเศษอย่างต่อเนื่องจนกว่าพวกเขาจะมีพลังมากพอที่จะขโมยข่าวกรองขององค์กรได้

คุณจะลดความเสี่ยงของการละเมิดบัญชีสิทธิพิเศษได้อย่างไร?

โดยเฉพาะอย่างยิ่ง เพื่อรับมือกับภัยคุกคามของผู้ใช้ที่ได้รับสิทธิพิเศษตามแนวทางปฏิบัติที่ดีที่สุดในอุตสาหกรรม คุณต้องมีสิ่งต่อไปนี้:

• การจัดการบัญชีสิทธิพิเศษที่มีประสิทธิภาพ — ตรวจสอบให้แน่ใจว่าผู้ใช้ที่ได้รับสิทธิพิเศษในสภาพแวดล้อมด้านไอทีของคุณมีสิทธิ์การเข้าถึงที่จำเป็นในการทำงานเท่านั้น
• ควบคุมการเข้าถึงบัญชีผู้ใช้ที่ได้รับสิทธิพิเศษ — ปกป้องบัญชีที่ได้รับสิทธิพิเศษของคุณจากการใช้งานโดยไม่ได้รับอนุญาตด้วยการจัดการรหัสผ่านที่รัดกุมและเทคนิคต่างๆ เช่น การตรวจสอบสิทธิ์แบบหลายปัจจัย
• การตรวจสอบผู้ใช้ที่มีสิทธิ์พิเศษ — มองเห็นการกระทำของผู้ใช้ที่มีสิทธิ์เพื่อตรวจจับการละเมิดสิทธิ์หรือการโจมตีจากภายนอกได้อย่างรวดเร็ว และจำกัดความเสียหาย เพียงแจ้งให้ผู้ใช้ทราบว่ามีการตรวจสอบกิจกรรมของผู้ใช้ ก็สามารถช่วยป้องกันพฤติกรรมที่ไม่เหมาะสมและป้องกันการใช้งานในทางที่ผิดโดยไม่ตั้งใจได้อย่างมาก เนื่องจากผู้ใช้มีแนวโน้มที่จะระมัดระวังการกระทำของตนมากขึ้น
• การวิเคราะห์พฤติกรรมผู้ใช้ — ระบุผู้ใช้ที่ได้รับสิทธิ์ซึ่งมีพฤติกรรมที่น่าสงสัยที่สุด เพื่อให้คุณสามารถตอบสนองได้ทันท่วงทีด้วยการค้นพบและตรวจสอบความผิดปกติในรูปแบบพฤติกรรมของผู้ใช้

การรวมแนวทางปฏิบัติที่ดีที่สุดเหล่านี้เข้ากับกลยุทธ์การรักษาความปลอดภัยหลักของคุณจะช่วยให้คุณต่อสู้กับการใช้บัญชีพิเศษในทางที่ผิดโดยเจ้าของและผู้โจมตี และทำให้มาตรการรักษาความปลอดภัยโดยรวมของคุณแข็งแกร่งขึ้น คอยติดตามข้อมูลเพิ่มเติมเกี่ยวกับวิธีการตรวจจับและลดความเสี่ยงของการละเมิดสิทธิ์ในอีกไม่กี่สัปดาห์ข้างหน้า