Quản lý quyền truy cập đặc quyền trong Windows Server

Nhiều tổ chức gặp khó khăn trong việc bảo mật hệ thống của mình vì Active Directory đã bị xâm phạm. AD thường bị xâm phạm bởi những người trong cuộc hoặc bị tấn công thành công vào họ. Vậy làm cách nào để bảo vệ môi trường ngay cả khi tài khoản của bạn có đặc quyền bị hack?

Microsoft Windows Server 2022 có nhiều tính năng tuyệt vời để trợ giúp.

Quyền của người sử dụng

Quyền của người dùng xác định những tác vụ mà tài khoản người dùng có thể hoàn thành. Các phương pháp hay nhất yêu cầu chỉ định quyền của người dùng theo nguyên tắc đặc quyền tối thiểu — mỗi người dùng phải có các quyền tối thiểu cần thiết để thực hiện nhiệm vụ được giao của mình. Điều này hạn chế thiệt hại mà chủ tài khoản có thể gây ra, dù cố ý hay vô tình, đồng thời giảm thiểu khả năng tiếp cận của kẻ tấn công giành quyền kiểm soát tài khoản. Cách tốt nhất là chỉ định người dùng ngay bằng cách thêm họ vào các nhóm đã được chỉ định quyền thích hợp. Bạn cũng có thể trực tiếp gán quyền cho tài khoản người dùng bằng cách gán quyền cho tài khoản trong Group Policy, nhưng điều này không được khuyến khích vì gây khó khăn cho việc theo dõi quyền và tuân thủ nguyên tắc ít đặc quyền nhất.

Thật không may, các tổ chức có xu hướng cấp cho tài khoản nhiều đặc quyền hơn mức họ cần vì việc này thuận tiện — ví dụ: việc thêm tài khoản vào nhóm Quản trị viên cục bộ trên máy tính sẽ dễ dàng hơn việc tìm ra các đặc quyền chính xác mà tài khoản cần và thêm người dùng vào các nhóm thích hợp. Thiếu thông tin liên lạc và các quy trình chuẩn cũng thường dẫn đến việc không thể thu hồi các đặc quyền mà người dùng không còn cần nữa khi họ thay đổi vai trò trong tổ chức. Kết quả là, các tổ chức này có nguy cơ mất dữ liệu, thời gian ngừng hoạt động và lỗi tuân thủ không cần thiết.

Trình hướng dẫn ủy quyền điều khiển

Các tổ chức thường muốn cho phép một số nhân viên nhất định thực hiện các nhiệm vụ quản trị cụ thể mà không cấp cho họ toàn quyền quản trị. Ví dụ: họ có thể muốn cho phép nhân viên vận hành CNTT đặt lại mật khẩu người dùng nhưng không tạo hoặc xóa tài khoản. Để trợ giúp, Microsoft Windows Server 2022 cung cấp trình hướng dẫn Ủy quyền Kiểm soát, cho phép bạn ủy quyền các đặc quyền sau:

Tạo, xóa và quản lý tài khoản người dùng
Đặt lại mật khẩu người dùng và buộc thay đổi mật khẩu ở lần đăng nhập tiếp theo
Đọc tất cả thông tin người dùng
Tạo, xóa và quản lý nhóm
Thay đổi thành viên nhóm
Quản lý liên kết Chính sách nhóm
Tạo bộ chính sách kết quả (Lập kế hoạch)
Tạo bộ chính sách kết quả (Ghi nhật ký)
Tạo, xóa và quản lý tài khoản inetOrgPerson
Đặt lại mật khẩu inetOrgPerson và buộc thay đổi mật khẩu ở lần đăng nhập tiếp theo
Đọc tất cả thông tin inetOrgPerson

Bạn có thể tìm hiểu thêm về khả năng này bằng cách đọc Thực tiễn tốt nhất về quyền được ủy quyền của Active Directory.

Máy trạm truy cập đặc quyền (PAW)

Một phần không thể thiếu khác của việc bảo mật môi trường là đảm bảo rằng quản trị viên CNTT chỉ sử dụng máy chủ Windows bảo mật cho các tác vụ yêu cầu đặc quyền quản trị. Họ nên sử dụng các máy khác cho các công việc hàng ngày, chẳng hạn như duyệt Internet, trả lời email và mở các tệp do người khác tạo, vì những hành động đó làm tăng nguy cơ máy chủ bị xâm phạm.

Máy trạm truy cập đặc quyền (PAW) hay máy chủ quản trị an toàn là một máy tính đặc biệt mà bạn chỉ sử dụng để thực hiện các tác vụ đặc quyền. Để tạo PAW, bạn phải:

Đảm bảo rằng chỉ những người dùng được ủy quyền mới có thể đăng nhập vào máy chủ.
Sử dụng các chính sách Device Guard và AppLocker để hạn chế việc thực thi ứng dụng đối với các ứng dụng đáng tin cậy mà nhân viên trong tổ chức của bạn sử dụng để thực hiện các tác vụ quản trị.
Kích hoạt Windows Defender Credential Guard để giúp bảo vệ chống trộm thông tin xác thực.
Kích hoạt BitLocker để giúp bảo vệ môi trường khởi động và ổ đĩa cứng khỏi bị giả mạo.
Đảm bảo rằng PAW bị chặn truy cập tất cả các trang web bên ngoài bằng tường lửa mạng vành đai.
Chặn các kết nối Giao thức máy tính từ xa (RDP), Windows PowerShell và bảng điều khiển quản lý từ bất kỳ máy tính nào không phải là PAW.
Định cấu hình các hạn chế đăng nhập cho các tài khoản được sử dụng để thực hiện các hành động quản trị.

Chuyển máy chủ

Máy chủ nhảy là một máy chủ đặc biệt mà người dùng kết nối bằng Remote Desktop khi họ muốn thực hiện các tác vụ quản trị. Bạn nên định cấu hình máy chủ nhảy theo cách tương tự như Máy trạm truy cập đặc quyền. Sự khác biệt là thay vì đăng nhập cục bộ, một thành viên của nhóm vận hành CNTT tạo kết nối Remote Desktop với máy chủ nhảy và sau đó đăng nhập vào máy chủ nhảy bằng tài khoản có quyền quản trị cần thiết. Hạn chế của máy chủ nhảy là máy tính tạo kết nối đến máy chủ nhảy có thể bị phần mềm độc hại xâm phạm vì bạn sử dụng nó để duyệt Internet, đọc email, mở tệp, v.v. Trong môi trường có độ bảo mật cao, bạn có thể sử dụng máy chủ nhảy kết hợp với Máy trạm truy cập đặc quyền.

Quản trị vừa đủ (JEA)

Quản trị vừa đủ là công nghệ quản trị mới cho phép bạn áp dụng các nguyên tắc kiểm soát truy cập dựa trên vai trò (RBAC) thông qua các phiên từ xa của Windows PowerShell. Thay vì chỉ định cho người dùng các vai trò chung nhằm cấp cho họ nhiều quyền hơn mức họ cần để thực hiện công việc, bạn có thể sử dụng JEA để định cấu hình các điểm cuối Windows PowerShell đặc biệt nhằm cung cấp chức năng cần thiết để thực hiện một tác vụ cụ thể: Người dùng được ủy quyền có thể kết nối với điểm cuối và sử dụng một tập hợp các lệnh ghép ngắn, tham số và giá trị tham số của Windows PowerShell. Các tác vụ được thực hiện bởi một tài khoản ảo có đặc quyền chứ không phải tài khoản của người dùng.

Ưu điểm của phương pháp này bao gồm:

Thông tin đăng nhập của người dùng không được lưu trữ trên hệ thống từ xa.
Tài khoản người dùng được sử dụng để kết nối với điểm cuối không cần phải có đặc quyền.
Tài khoản ảo được giới hạn trong hệ thống mà nó được lưu trữ trên đó.
Tài khoản ảo có đặc quyền của quản trị viên cục bộ nhưng bị giới hạn chỉ thực hiện các hoạt động do JEA xác định.

Bảo mật bộ điều khiển miền

Bộ điều khiển miền là một trong những mục tiêu có giá trị nhất trên mạng; kẻ tấn công xâm phạm DC có quyền kiểm soát tất cả danh tính miền. Để bảo mật DC của bạn, hãy cân nhắc thực hiện các bước sau:

Đảm bảo rằng tất cả các bộ điều khiển miền đều chạy phiên bản mới nhất của hệ điều hành Windows Server và có các bản cập nhật bảo mật mới nhất.
Triển khai bộ điều khiển miền bằng tùy chọn cài đặt “Server Core” thay vì tùy chọn “Server with a Desktop”.
Giữ các bộ điều khiển miền được triển khai vật lý trong các giá đỡ an toàn chuyên dụng, tách biệt với các máy chủ khác.
Triển khai bộ điều khiển miền trên phần cứng bao gồm chip Mô-đun nền tảng đáng tin cậy (TPM) và định cấu hình tất cả các ổ đĩa bằng Mã hóa ổ đĩa BitLocker.
Chạy bộ điều khiển miền ảo hóa trên các máy chủ ảo hóa riêng biệt hoặc dưới dạng máy ảo được bảo vệ trên cơ cấu được bảo vệ.
Sử dụng Trình quản lý tuân thủ bảo mật để áp dụng các đường cơ sở cấu hình cho bộ điều khiển miền.
Sử dụng AppLocker và Device Guard để kiểm soát việc thực thi các tệp thực thi và tập lệnh trên bộ điều khiển miền của bạn.
Sử dụng Chính sách nhóm được gán cho OU Bộ điều khiển miền để đảm bảo rằng các kết nối RDP chỉ có thể được thực hiện từ các máy chủ nhảy và Máy trạm truy cập đặc quyền.
Định cấu hình tường lửa ngoại vi để chặn các kết nối gửi đi từ bộ điều khiển miền tới internet.

Rừng môi trường quản trị bảo mật nâng cao (ESAE)

Rừng Môi trường quản trị bảo mật nâng cao (ESAE), còn được gọi là “rừng đỏ”, là một rừng Active Directory đặc biệt lưu trữ các tài khoản đặc quyền. Việc đưa các tài khoản đặc quyền vào khu rừng ESAE giúp việc áp dụng các chính sách hạn chế hơn để bảo vệ chúng trở nên dễ dàng hơn. Rừng ESAE được đặt cấu hình bằng mối quan hệ tin cậy một chiều với rừng sản xuất — các tài khoản từ rừng ESAE có thể được sử dụng trong rừng sản xuất nhưng các tài khoản trong rừng sản xuất không thể được sử dụng trong rừng ESAE. Nhóm sản xuất được đặt cấu hình sao cho các tác vụ quản trị chỉ có thể được thực hiện ở đó bởi các tài khoản được lưu trữ trong nhóm ESAE.

Rừng ESAE có những lợi ích sau:

Tài khoản bị khóa. Tài khoản người dùng chuẩn trong nhóm ESAE có thể được định cấu hình ở mức đặc quyền cao trong nhóm sản xuất.
Xác thực có chọn lọc. Các tài khoản trong nhóm ESAE chỉ có thể đăng nhập vào các máy chủ cụ thể trong nhóm sản xuất.
Cách đơn giản để cải thiện bảo mật. Vì các tài khoản quản trị đặc quyền được lưu trữ trong một nhóm riêng nên dễ dàng áp dụng các yêu cầu bảo mật nghiêm ngặt hơn (chẳng hạn như yêu cầu xác thực đa yếu tố) cho chúng so với tài khoản người dùng chuẩn trong rừng sản xuất.

Trình quản lý danh tính Microsoft (MIM)

Dịch vụ miền Active Directory (AD DS) cho phép bạn tạo, sửa đổi và xóa tài khoản người dùng nhưng cung cấp rất ít công cụ để tự động hóa việc quản lý vòng đời của những tài khoản đó. MIM là một giải pháp quản lý quyền truy cập và nhận dạng tại chỗ nhằm lấp đầy khoảng trống đó. Ví dụ: với MIM, bạn có thể cho phép người dùng sử dụng cổng tự phục vụ để đặt lại mật khẩu của riêng họ và cho phép đồng bộ hóa danh tính giữa các kho lưu trữ danh tính tại chỗ của bạn và các kho lưu trữ danh tính trong ứng dụng đám mây.

Bạn có thể sử dụng MIM để quản lý:

Người dùng
Thông tin xác thực
Chính sách
Truy cập
Chứng chỉ
Danh tính đặc quyền

MIM cung cấp các chức năng sau:

Đặt lại mật khẩu tự phục vụ. Người dùng có thể đặt lại mật khẩu đã quên của mình sau khi trả lời các câu hỏi để xác minh danh tính của mình.
Khắc phục tình trạng khóa tài khoản tự phục vụ. Người dùng có thể mở khóa tài khoản của mình bằng cách trả lời các câu hỏi để xác minh danh tính của họ.
Quản lý thuộc tính người dùng tự phục vụ. Người dùng có thể cập nhật một số thuộc tính Active Directory của riêng họ, chẳng hạn như số điện thoại của họ.
Quản lý vòng đời của người dùng và nhóm Active Directory. MIM cung cấp các công cụ để quản lý nhóm và người dùng vượt xa chức năng tạo, sửa đổi và xóa của AD DS.
Quản lý vòng đời của thẻ thông minh và chứng chỉ. MIM cung cấp các công cụ để quản lý thẻ thông minh và chứng chỉ, bao gồm cả việc cấp phép và gia hạn chứng chỉ.
Quản lý và phân công vai trò. MIM giúp bạn quản lý chức năng RBAC.
Đồng bộ hóa mật khẩu giữa các thư mục. Bạn có thể đồng bộ hóa mật khẩu với các thư mục khác, bao gồm Azure Active Directory (Azure AD).
Quản lý tài khoản đặc quyền (PAM). Quản trị viên có thể được chỉ định đặc quyền trên cơ sở tạm thời thay vì vĩnh viễn.
Báo cáo phân tích và tuân thủ. Bạn có thể phân tích và báo cáo về tất cả hoạt động trong MIM 2022.

Quản trị đúng lúc (JIT)

Quản trị JIT là ý tưởng cấp đặc quyền cho người dùng khi họ cần họ thực hiện một nhiệm vụ cụ thể và chỉ trong một khoảng thời gian giới hạn chứ không phải vĩnh viễn. Điều này hạn chế tính hữu ích của tài khoản đối với kẻ tấn công xâm phạm chúng, đồng thời giảm thiểu khả năng chủ sở hữu tài khoản vô tình hoặc cố ý lạm dụng các đặc quyền nâng cao. JIT được triển khai bằng cách cấp cho người dùng quyền thành viên tạm thời trong nhóm bảo mật có các đặc quyền cần thiết.

Khi được triển khai đúng cách, phương pháp này có thể mang lại những cải tiến về bảo mật sau:

Tất cả các tài khoản mà nhóm Vận hành CNTT sử dụng đều là tài khoản người dùng chuẩn.
Tất cả các yêu cầu đặc quyền đều được ghi lại.
Đặc quyền chỉ là tạm thời.
Sau khi cấp đặc quyền, người dùng phải thiết lập phiên mới (bằng cách mở phiên Windows PowerShell mới hoặc bằng cách đăng xuất và đăng nhập lại) để tận dụng tư cách thành viên nhóm tạm thời mới và các quyền liên quan.