การจัดการเซิร์ฟเวอร์ Windows
Active Directory: ไดเรกทอรีทุกครั้งที่เข้าสู่ระบบ Windows ขึ้นอยู่กับ
Active Directory เป็นแกนหลักประจำตัวของคุณสมบัติ Windows: ตัวควบคุมโดเมน, การตรวจสอบสิทธิ์ Kerberos, นโยบายกลุ่ม และ DNS เป็นบริการเดียว การสนทนาเรื่องความปลอดภัยของ Windows เกือบทุกเรื่องจะวนกลับมาที่การสนทนานั้น เพราะใครก็ตามที่ควบคุมไดเร็กทอรีจะควบคุมทรัพย์สิน และผู้โจมตีจะรู้ดี บทความเฉพาะนี้ครอบคลุมว่าแท้จริงแล้ว AD คืออะไร ระเบียบวินัยของผู้ดูแลระบบคืออะไร และตำแหน่งที่ผู้สืบทอดระบบคลาวด์ (Entra ID) ทับซ้อนกัน
ประเด็นสำคัญ
- โมเดลทางจิต: ตัวควบคุมโดเมนจัดเก็บและจำลองไดเร็กทอรี, Kerberos ออกตั๋วอายุสั้นสำหรับการตรวจสอบสิทธิ์ และนโยบายกลุ่มส่งการตั้งค่าไปยังเครื่องและผู้ใช้ ปฏิบัติต่อการเปลี่ยนแปลงสคีมาด้วยความระมัดระวัง เนื่องจากสคีมาไดเร็กทอรีนั้นยากต่อการย้อนกลับ
- นโยบายกลุ่มเป็นเครื่องมือสำหรับไดรเวอร์ฟลีท: การแมปไดรฟ์ พื้นฐานการรักษาความปลอดภัย (รหัสผ่านผู้ดูแลระบบภายในที่จัดการโดย LAPS ตัวป้องกันข้อมูลประจำตัว) การใช้งานซอฟต์แวร์ และการล็อกเอาต์สกรีนเซฟเวอร์ ลำดับความสำคัญของ GPO นั้นถูกกำหนดไว้แต่ซับซ้อน ดังนั้นการจัดทำเอกสารและการเชื่อมโยง GPO แบบเป็นขั้นจึงช่วยประหยัดเวลาได้มากกว่าค่าใช้จ่ายมาก
- มาตรการรักษาความปลอดภัยจะตัดสินความอยู่รอดของอสังหาริมทรัพย์: การจัดระดับสิทธิพิเศษ (บัญชีผู้ดูแลระบบแยกกันซึ่งไม่เคยแตะต้องอีเมลหรือเว็บ) กลุ่มที่มีการยกระดับแบบมีขอบเขตเวลา และการบล็อกโปรโตคอลแบบเดิม (NTLM หากเป็นไปได้ SMBv1 อย่างแน่นอน) จะลบเส้นทางการยกระดับสิทธิ์ที่แสวงหาประโยชน์จากสาธารณะมานานนับทศวรรษ
- DNS เป็นส่วนหนึ่งของการต่อรองราคา และเป็นบริการเพื่อปกป้อง: โซนที่รวม AD, วินัย TTL และสุขอนามัยของชื่อที่ซ้ำกัน; AD DNS ที่เสียหายทำให้เกิดอาการที่ดูเหมือนแอปพลิเคชันล้มเหลวในทุกที่
- ความเป็นจริงแบบไฮบริด: Entra ID (คลาวด์) และ AD ซิงค์กันผ่าน Entra Connect; การซิงค์แฮชรหัสผ่านกับการตรวจสอบสิทธิ์แบบพาสทรู นโยบายการเข้าถึงแบบมีเงื่อนไขบนฝั่งคลาวด์ และสถานะอุปกรณ์เข้าร่วมแบบไฮบริด กลไกทั้งเก่าและใหม่จำเป็นต้องมีรูปแบบการรักษาความปลอดภัยที่ชัดเจน ไม่ใช่ความน่าเชื่อถือเริ่มต้นในทุกที่
- ระเบียบวินัยในการดำเนินงาน: การซิงค์เวลา DC เป็นคุณสมบัติความถูกต้อง (Kerberos พังโดยเอียง >5 นาที) บทบาท FSMO ได้รับการบันทึกไว้ การสำรองข้อมูลที่ทดสอบเพื่อการกู้คืน (การกู้คืนที่เชื่อถือได้แตกต่างกัน) และการตรวจสอบความล้มเหลวในการจำลองและ ID เหตุการณ์ที่น่าสงสัย พร้อมด้วยการรวบรวมบันทึกเหตุการณ์บวกกับตะขอ SIEM ของ Sentinel หรือ Wazuh ที่ปิดลูป
บันทึกจากหน้างาน
เหตุการณ์ AD ที่หล่อหลอมแนวทางปฏิบัติของเรา: บัญชีผู้ดูแลระบบหนึ่งบัญชีที่ตรวจสอบอีเมลทุกวัน ฟิชชิ่ง และคลิกเพียงครั้งเดียวให้ผู้ดูแลระบบโดเมนของผู้โจมตี การแบ่งระดับบัญชีผู้ดูแลระบบและ Windows LAPS หลังจากนั้นใช้เวลาหนึ่งเดือนในการทำงานอย่างอดทน ตั้งแต่นั้นมามันก็ช่วยแก้ตัวให้ถูกต้องได้สองครั้งด้วยการพยายามเคลื่อนไหวด้านข้างซึ่งไม่มีที่ไหนเลย
คำถามที่พบบ่อย
AD ยังคงเกี่ยวข้องกับทุกสิ่งที่ย้ายไปยัง Entra ID หรือไม่
สำหรับโครงสร้างพื้นฐานภายในองค์กร แอพรุ่นเก่า (ไฟล์เซิร์ฟเวอร์ เครื่องพิมพ์ แอพรุ่นเก่าที่มี Kerberos) และคุณสมบัติไฮบริด Entra เป็นช่องทางการเข้าถึงสำหรับบริการคลาวด์ ไม่ใช่การโยกย้ายพิมพ์เขียวสำหรับความไว้วางใจในองค์กร วางแผนเพื่อการอยู่ร่วมกันมากกว่าการทดแทนเชิงเส้น
เหตุใดการแบ่งระดับบัญชีผู้ดูแลระบบจึงมีความสำคัญมาก
เนื่องจากเวิร์กสเตชันถูกบุกรุกเป็นประจำ และข้อมูลประจำตัวของผู้ดูแลระบบที่แตะกล่องที่ถูกบุกรุกจะสืบทอดการประนีประนอมของกล่องนั้น การจัดระดับจะจำกัดการเปิดเผยข้อมูลรับรองต่อขอบเขตความน่าเชื่อถือ และเป็นสิ่งที่ใกล้เคียงที่สุดกับตารางการฉีดวัคซีนที่ไดเร็กทอรีมี
LAPS คืออะไร และเหตุใดจึงมีความสำคัญ
Windows LAPS จัดการรหัสผ่านของผู้ดูแลระบบภายในเครื่องที่ไม่ซ้ำกันต่อเครื่อง หมุนเวียนและจัดเก็บไว้ใน AD หรือ Entra ขจัดฝันร้ายของรหัสผ่านที่ใช้ร่วมกัน รหัสผ่านผู้ดูแลระบบท้องถิ่นที่ใช้ร่วมกันเก่าหนึ่งรายการคือเส้นทางการเคลื่อนไหวด้านข้างแบบคลาสสิก
พื้นฐานของการติดตาม AD คืออะไร?
ความสมบูรณ์ของการจำลอง บันทึกเหตุการณ์ด้านความปลอดภัย (ตั๋วคลาส 4624/4625, 4768/4769) การเปลี่ยนแปลงสมาชิกกลุ่มที่ได้รับสิทธิพิเศษ และการซิงค์เวลา กำหนดค่าตัวรวบรวมคลาส SIEM หรือ Wazuh ก่อนกำหนด (บทความ wazuh ของเราครอบคลุมตัวเลือกโอเพ่นซอร์ส)
Kinetikatech ช่วยเรื่อง การจัดการเซิร์ฟเวอร์ windows ได้อย่างไร
ข้อเสนอง่าย ๆ แบบนี้: เร็วๆ นี้: การตรวจสอบ แพตช์ และการป้องกันแบบ brute-force สำหรับ Windows Server, ระเบียบวินัยเดียวกันตลอด 24 ชั่วโมงทุกวัน, เครื่องมือแบบเนทีฟ ส่งให้บริการ การเฝ้าระวัง Windows Serverและการจัดการเซิร์ฟเวอร์ ของเราดูแล มีการประเมินอย่างเหมาะสม ลงมือแบบสะอาด และมีคนเฝ้าตลอด 24 ชั่วโมง