Sử dụng nhóm người dùng được bảo vệ để chống lại các mối đe dọa

Microsoft đã giới thiệu nhóm Người dùng được bảo vệ trong Windows Server 2012 R2 và Windows 8.1. Nhóm này được thiết kế để tăng cường an ninh cho các tài khoản là thành viên nhóm, đặc biệt là để bảo vệ chống lại các cuộc tấn công pass-the-hash bằng cách vô hiệu hóa việc sử dụng NT Trình quản lý mạng LAN (NTLM), một giao thức xác thực cũ vẫn có trong Windows để có khả năng tương thích ngược.

Các biện pháp bảo vệ bổ sung chỉ được cung cấp khi người dùng đăng nhập vào Windows Server 2012 R2 hoặc Windows 8.1 và danh sách bảo vệ đầy đủ yêu cầu cấp chức năng miền phải được đặt thành Windows Server 2012 R2 (hoặc cao hơn).

Người dùng được bảo vệ chủ yếu nhằm mục đích sử dụng với các tài khoản quản trị viên tên miền và doanh nghiệp, những tài khoản này đặc biệt dễ bị tấn công vì khi bị xâm phạm, chúng sẽ cung cấp quyền truy cập rộng rãi vào hệ thống. Điều đó không có nghĩa là các tài khoản người dùng khác, có thể được coi là mục tiêu, không thể được thêm vào Người dùng được bảo vệ. Nhưng do những hạn chế chặt chẽ được đặt ra đối với các thành viên của Người dùng được bảo vệ nên việc thực hiện kiểm tra kỹ lưỡng trước đó là điều cần thiết.

Không có giải pháp thay thế nào cho các hạn chế, vì vậy, điều khôn ngoan là đảm bảo rằng nếu bạn định thêm các tài khoản có đặc quyền cao, như quản trị viên tên miền và doanh nghiệp, thì ít nhất một tài khoản không được sử dụng cho các tác vụ quản trị thông thường sẽ bị loại khỏi nhóm.

Các biện pháp bảo vệ sau đây được bật cho các thành viên của nhóm Người dùng được bảo vệ khi đăng nhập từ thiết bị được hỗ trợ:

• Thông tin xác thực được lưu trong bộ nhớ đệm đã bị chặn. Bộ điều khiển miền phải có sẵn để xác thực người dùng
• Không thể sử dụng khóa Kerberos dài hạn để đăng nhập
• Mật khẩu văn bản gốc không được lưu vào bộ nhớ đệm để xác thực Windows Digest hoặc ủy quyền thông tin xác thực mặc định (CredSSP), ngay cả khi các chính sách liên quan được bật
• Chức năng một chiều NTLM (NTOWF) bị chặn

Nếu cấp chức năng miền được đặt thành Windows Server 2012 R2 trở lên, các biện pháp bảo vệ bổ sung sẽ được bật:

• Vé cấp vé Kerberos (TGT) không thể được gia hạn trong thời gian tồn tại lâu hơn 4 giờ (TTL)
• NTLM bị chặn
• Không thể sử dụng Tiêu chuẩn mã hóa dữ liệu (DES) và RC4 để xác thực trước Kerberos
• Ủy quyền bị ràng buộc và không bị ràng buộc bị chặn

Khi DES và RC4 bị chặn, tất cả bộ điều khiển miền (DC) phải chạy Windows Server 2008 (hoặc mới hơn) và trước khi thêm người dùng vào Người dùng được bảo vệ, mật khẩu của họ phải được thay đổi theo Windows Server 2008 DC để khóa AES được lưu trữ trong Active Directory.

Tôi không thể thấy Nhóm người dùng được bảo vệ trong miền của mình

Nếu không có nhóm Người dùng được bảo vệ trong miền của mình, bạn cần đảm bảo có ít nhất một Windows Server 2012 R2 DC và chuyển vai trò Trình mô phỏng Bộ điều khiển miền chính (PDC) Hoạt động chính đơn linh hoạt (FSMO) sang Windows Server 2012 R2 DC. Nếu cần, vai trò PDC có thể được chuyển trở lại vị trí ban đầu.

Để kiểm tra xem bạn có nhóm Người dùng được bảo vệ trong miền của mình hay không, hãy đăng nhập vào Windows Server 2012 R2 với tư cách quản trị viên miền:

• Mở Trình quản lý máy chủ từ màn hình Bắt đầu
• Chọn Người dùng và máy tính Active Directory từ Công cụ
• Trong ngăn bên trái, hãy mở rộng miền của bạn và nhấp vào Người dùng.

Nếu Người dùng được bảo vệ có trong miền, bạn sẽ thấy nó ở bên phải. Người dùng có thể được thêm vào Người dùng được bảo vệ, giống như bạn thêm họ vào bất kỳ nhóm AD nào. Ví dụ: sử dụng PowerShell để thêm tài khoản người dùng admin1:

Add-ADGroupMember -Danh tính 'Người dùng được bảo vệ' -Thành viên quản trị viên1

Để chuyển vai trò FSMO của trình mô phỏng PDC sang Windows Server 2012 R2 DC, hãy đăng nhập vào DC bằng tài khoản quản trị viên miền và mở lời nhắc PowerShell bằng biểu tượng trên thanh tác vụ trên màn hình. Bây giờ gõ lệnh bên dưới và nhấn ENTER, thay thế DC6 bằng tên của Windows Server 2012 R2 DC:

Move-AdDirectoryServerOperationMasterRole -Identity DC6 -OperationMasterRole pdcemulator

Nếu bạn muốn xác nhận vị trí mới hoặc vị trí ban đầu của vai trò FSMO trình mô phỏng PDC, hãy chạy lệnh bên dưới, thay thế ad.contoso.com bằng tên miền AD của bạn:

Nhận-Tên miền quảng cáo ad.contoso.com | Trình mô phỏng danh sách định dạng pdcemulator