การใช้กลุ่มผู้ใช้ที่ได้รับการป้องกันจากภัยคุกคาม

Microsoft เปิดตัวกลุ่ม Protected Users ใน Windows Server 2012 R2 และ Windows 8.1 และได้รับการออกแบบมาเพื่อเพิ่มความแข็งแกร่งให้กับบัญชีที่เป็นสมาชิกกลุ่ม โดยเฉพาะอย่างยิ่งเพื่อป้องกันการโจมตีแบบพาสเดอะแฮชโดยการปิดการใช้งาน NT LAN Manager (NTLM) ซึ่งเป็นโปรโตคอลการตรวจสอบสิทธิ์แบบเดิมที่ยังคงมีอยู่ใน Windows เพื่อความเข้ากันได้แบบย้อนหลัง

การป้องกันเพิ่มเติมจะมีให้เฉพาะเมื่อผู้ใช้เข้าสู่ระบบ Windows Server 2012 R2 หรือ Windows 8.1 และรายการการป้องกันทั้งหมดกำหนดให้ตั้งค่าระดับการทำงานของโดเมนเป็น Windows Server 2012 R2 (หรือสูงกว่า)

ผู้ใช้ที่ได้รับการป้องกันมีวัตถุประสงค์หลักเพื่อใช้กับโดเมนและบัญชีผู้ดูแลระบบขององค์กร ซึ่งเสี่ยงต่อการถูกโจมตีเป็นพิเศษ เนื่องจากเมื่อถูกบุกรุก ผู้ใช้จะสามารถเข้าถึงระบบได้อย่างเปิดกว้าง ไม่ได้หมายความว่าบัญชีผู้ใช้อื่นที่อาจถือเป็นเป้าหมายไม่สามารถเพิ่มไปยังผู้ใช้ที่ได้รับการคุ้มครองได้ แต่เนื่องจากสมาชิกที่ได้รับการคุ้มครองมีข้อจำกัดที่เข้มงวด จึงจำเป็นต้องทำการทดสอบอย่างละเอียดล่วงหน้า

ข้อจำกัดนี้ไม่มีวิธีแก้ปัญหาเฉพาะหน้า ดังนั้นจึงควรตรวจสอบให้แน่ใจว่าหากคุณตั้งใจที่จะเพิ่มบัญชีที่มีสิทธิ์สูง เช่น ผู้ดูแลระบบโดเมนและองค์กร อย่างน้อยหนึ่งบัญชีที่ไม่ได้ใช้สำหรับงานการดูแลระบบปกติจะถูกปล่อยไว้นอกกลุ่ม

การป้องกันต่อไปนี้เปิดใช้งานสำหรับสมาชิกของกลุ่มผู้ใช้ที่ได้รับการป้องกันเมื่อเข้าสู่ระบบจากอุปกรณ์ที่รองรับ:

• ข้อมูลรับรองแคชถูกบล็อก ตัวควบคุมโดเมนต้องพร้อมใช้งานเพื่อตรวจสอบสิทธิ์ผู้ใช้
• ไม่สามารถใช้คีย์ Kerberos ระยะยาวเพื่อเข้าสู่ระบบได้
• รหัสผ่านข้อความธรรมดาจะไม่แคชสำหรับการรับรองความถูกต้องของ Windows Digest หรือการมอบหมายข้อมูลประจำตัวเริ่มต้น (CredSSP) แม้ว่านโยบายที่เกี่ยวข้องจะถูกเปิดใช้งาน
• ฟังก์ชันทางเดียวของ NTLM (NTOWF) ถูกบล็อก

หากระดับการทำงานของโดเมนถูกตั้งค่าเป็น Windows Server 2012 R2 หรือสูงกว่า การป้องกันเพิ่มเติมจะถูกเปิดใช้งาน:

• ตั๋วการอนุญาตตั๋ว Kerberos (TGT) ไม่สามารถต่ออายุได้นานกว่าระยะเวลา time-to-live (TTL) 4 ชั่วโมง
• NTLM ถูกบล็อก
• Data Encryption Standard (DES) และ RC4 ไม่สามารถใช้กับการตรวจสอบสิทธิ์ล่วงหน้าของ Kerberos ได้
• การมอบหมายที่มีข้อจำกัดและไม่มีข้อจำกัดถูกบล็อก

เมื่อ DES และ RC4 ถูกบล็อก ตัวควบคุมโดเมนทั้งหมด (DC) ต้องใช้ Windows Server 2008 (หรือใหม่กว่า) และก่อนที่จะเพิ่มผู้ใช้ไปยังผู้ใช้ที่ได้รับการป้องกัน ควรเปลี่ยนรหัสผ่านกับ Windows Server 2008 DC เพื่อให้คีย์ AES ถูกจัดเก็บ ใน Active Directory

ฉันไม่เห็นกลุ่มผู้ใช้ที่ได้รับการป้องกันในโดเมนของฉัน

หากคุณไม่มีกลุ่มผู้ใช้ที่ได้รับการป้องกันในโดเมนของคุณ คุณจะต้องตรวจสอบให้แน่ใจว่ามี Windows Server 2012 R2 DC อย่างน้อยหนึ่งรายการ และถ่ายโอนบทบาท Primary Domain Controller (PDC) Emulator Flexible Single Master Operation (FSMO) ไปที่ Windows Server 2012 R2 DC หากจำเป็น บทบาท PDC สามารถโอนกลับไปยังตำแหน่งเดิมได้

หากต้องการตรวจสอบว่าคุณมีกลุ่มผู้ใช้ที่ได้รับการป้องกันในโดเมนของคุณหรือไม่ ให้เข้าสู่ระบบ Windows Server 2012 R2 ในฐานะผู้ดูแลระบบโดเมน:

• เปิดตัวจัดการเซิร์ฟเวอร์จากหน้าจอ เริ่ม
• เลือก ผู้ใช้ Active Directory และคอมพิวเตอร์ จาก เครื่องมือ
• ในบานหน้าต่างด้านซ้าย ให้ขยายโดเมนของคุณแล้วคลิก ผู้ใช้

หากมีผู้ใช้ที่ได้รับการคุ้มครองในโดเมน คุณจะเห็นทางด้านขวา คุณสามารถเพิ่มผู้ใช้ไปยังผู้ใช้ที่ได้รับการป้องกันได้ เช่นเดียวกับที่คุณจะเพิ่มพวกเขาลงในกลุ่มโฆษณาใดๆ ตัวอย่างเช่น การใช้ PowerShell ในการเพิ่มบัญชีผู้ใช้ admin1:

Add-ADGroupMember - ตัวตน 'ผู้ใช้ที่ได้รับการคุ้มครอง' - ผู้ดูแลระบบสมาชิก 1

หากต้องการถ่ายโอนบทบาท PDC emulator FSMO ไปยัง Windows Server 2012 R2 DC ให้เข้าสู่ระบบ DC โดยใช้บัญชีผู้ดูแลระบบโดเมน และเปิดพรอมต์ PowerShell โดยใช้ไอคอนบนแถบงานบนเดสก์ท็อป ตอนนี้พิมพ์คำสั่งด้านล่างแล้วกด ENTER โดยแทนที่ DC6 ด้วยชื่อของ Windows Server 2012 R2 DC:

ย้าย-AdDirectoryServerOperationMasterRole -Identity DC6 -OperationMasterRole pdcemulator

หากคุณต้องการยืนยันตำแหน่งใหม่หรือตำแหน่งเดิมของบทบาท FSMO ของโปรแกรมจำลอง PDC ให้เรียกใช้คำสั่งด้านล่าง โดยแทนที่ ad.contoso.com ด้วยชื่อโดเมน AD ของคุณ:

รับ-AdDomain ad.contoso.com | pdcemulator รายการรูปแบบ