เครือข่ายท้องถิ่นของบริษัทของคุณได้กลายเป็นหัวใจสำคัญของเกือบทุกสิ่งที่คุณทำการเข้าถึงแอปพลิเคชัน ไฟล์ที่แชร์ บริการคลาวด์ การสนทนาทางวิดีโอ เครื่องพิมพ์ อุปกรณ์ IoT กล้อง IP…และแน่นอนว่า Windows เป็นระบบปฏิบัติการหลักในคอมพิวเตอร์ ปัญหาคือเครือข่าย LAN นี้กลายเป็นเป้าหมายที่น่าดึงดูดใจสำหรับผู้โจมตีที่มีความรู้ความสามารถแม้เพียงเล็กน้อย
แค่ "ติดตั้งโปรแกรมป้องกันไวรัสก็จบแล้ว" นั้นไม่เพียงพอการปรับปรุงความปลอดภัยของบริษัทของคุณโดยใช้เครือข่าย LAN ของ Windows นั้นเกี่ยวข้องกับการผสมผสานแนวทางการออกแบบเครือข่ายที่ดี การควบคุมการเข้าถึง การป้องกันขอบเขต การกำหนดค่าบริการ Microsoft Entra (เดิมคือ Azure AD) อย่างถูกต้อง และสิ่งที่เรามักลืมไปคือวินัยในการทำงาน สำเนาสำรอง และการจัดการข้อมูลประจำตัว มาดูกันทีละขั้นตอนว่า จะรักษาความปลอดภัยให้กับเครือข่าย LAN ขององค์กรสมัยใหม่ได้อย่างแท้จริงโดยไม่ทำให้ตัวเองเครียดจนเกินไปได้อย่างไร
เครือข่าย LAN ในธุรกิจที่ใช้ Windows ในยุคปัจจุบันคืออะไร?
LAN (Local Area Network) คือเครือข่ายที่เชื่อมต่ออุปกรณ์ต่างๆ ในสำนักงานของคุณ หรือครอบคลุมหลายชั้น/อาคารใกล้เคียง ทำให้สามารถแชร์ข้อมูล แอปพลิเคชัน เครื่องพิมพ์ การเข้าถึงอินเทอร์เน็ต และบริการคลาวด์ได้ สภาพแวดล้อม Windows ทั่วไปประกอบด้วยพีซี เซิร์ฟเวอร์ เครื่องพิมพ์เครือข่าย โทรศัพท์ VoIP จุดเชื่อมต่อ Wi-Fi กล้อง IP และอุปกรณ์ IoT จำนวนมากขึ้นเรื่อยๆ
เครือข่าย LAN ระดับองค์กรส่วนใหญ่ในปัจจุบันใช้ Ethernet เป็นเทคโนโลยีหลักโดยทั่วไปแล้วจะใช้สายเคเบิลทองแดงหรือใยแก้วนำแสง และในหลายกรณีก็ใช้ Wi-Fi (WLAN) ด้วย เมื่ออุปกรณ์เชื่อมต่อกันแบบไร้สาย เรายังคงเรียกมันว่าเครือข่ายบริเวณท้องถิ่น แต่ภายใต้มาตรฐาน IEEE 802.11 ซึ่งมีความเสี่ยงเพิ่มเติมจากการเชื่อมต่อแบบไร้สาย
ในบริษัทขนาดกลางและขนาดใหญ่ เป็นเรื่องปกติที่เครือข่าย LAN จะไม่ใช่ "ระบบเครือข่ายแบบรวมศูนย์" เดียวกัน
มีการใช้งานซับเน็ตและ VLAN หลายชุดเพื่อแยกแผนก บริการที่สำคัญ (เซิร์ฟเวอร์ ตัวควบคุมโดเมน กล้องวงจรปิด โทรศัพท์ IP...) และโซนสำหรับแขก และใช้เราเตอร์และสวิตช์แบบจัดการได้เพื่อควบคุมการไหลของทราฟฟิกและบังคับใช้นโยบายความปลอดภัย
ส่วนประกอบสำคัญของเครือข่าย LAN และผลกระทบต่อความปลอดภัย
ความปลอดภัยของเครือข่าย LAN ใน Windows ขึ้นอยู่กับทั้งฮาร์ดแวร์และการตั้งค่านี่คือองค์ประกอบพื้นฐานที่คุณต้องควบคุมและกำหนดค่าให้ดี เพื่อหลีกเลี่ยงการเปิดช่องโหว่ให้ผู้โจมตีจากภายในหรือภายนอกเข้ามาได้
- สายเคเบิลและสื่อทางกายภาพสายเคเบิลแบบเก่า (Category 5/5e สำหรับระยะทางไกล) ไม่เพียงแต่จำกัดความเร็วเท่านั้น แต่ยังอาจทำให้เกิดข้อผิดพลาดในการส่งข้อมูลและการเชื่อมต่อหลุด ซึ่งอาจปกปิดปัญหาด้านความปลอดภัยหรือขัดขวางการตรวจสอบ การเปลี่ยนไปใช้ Cat6, Cat6A หรือสูงกว่า จะช่วยเพิ่มประสิทธิภาพและความเสถียร และลดปัญหาคอขวดในส่วนที่สำคัญ
- สวิตช์อุปกรณ์เหล่านี้เป็นอุปกรณ์ที่เชื่อมต่ออุปกรณ์ทั้งหมดในเครือข่าย LAN สวิตช์แบบจัดการได้ (Managed Switch) ที่ตั้งค่าอย่างดีจะช่วยให้คุณสร้าง VLAN, ใช้ QoS, จำกัดจำนวนพอร์ต, ตรวจจับลูป, เปิดใช้งานการตรวจสอบสิทธิ์ 802.1X และอื่นๆ อีกมากมาย สวิตช์ราคาถูกแบบไม่จัดการหมายถึงการควบคุมที่น้อยลงเกี่ยวกับสิ่งที่เชื่อมต่อและปริมาณการรับส่งข้อมูลที่ไหลผ่านสวิตช์นั้น
- เราเตอร์และไฟร์วอลล์เราเตอร์มักเป็นประตูสู่อินเทอร์เน็ตและมักมีฟังก์ชันไฟร์วอลล์รวมอยู่ด้วย สำหรับธุรกิจแล้ว วิธีแก้ปัญหาที่เหมาะสมที่สุดคือการมีไฟร์วอลล์เฉพาะ (แบบกายภาพหรือเสมือน) ที่แยกเครือข่าย LAN ภายในออกจากอินเทอร์เน็ตอย่างชัดเจน กำหนดพอร์ตที่เปิดเผย และใช้การตรวจสอบการรับส่งข้อมูลและการกรองเนื้อหา
- จุดเชื่อมต่อ Wi-Fi (WAP)พอร์ตเหล่านี้เป็นจุดเชื่อมต่อสำหรับโทรศัพท์มือถือ แล็ปท็อป และอุปกรณ์ IoT ควรตั้งค่าด้วยการเข้ารหัสที่แข็งแกร่ง (WPA2-Enterprise หรือ WPA3) การตรวจสอบสิทธิ์แบบรวมศูนย์ เครือข่ายสำหรับแขกแยกต่างหาก และหากเป็นไปได้ ควรผสานรวมกับนโยบายการเข้าถึงแบบมีเงื่อนไขของ Microsoft Entra ด้วย
- สะพานและเครื่องทวนสัญญาณอุปกรณ์บริดจ์ ตัวขยายสัญญาณ Wi-Fi และตัวทวนสัญญาณช่วยขยายขอบเขตของเครือข่าย แต่หากตั้งค่าไม่ถูกต้อง อาจทำให้เกิด "ส่วนเครือข่ายเสมือน" ที่ควบคุมและตรวจสอบไม่ได้ จึงจำเป็นอย่างยิ่งที่อุปกรณ์เหล่านี้จะต้องเคารพการแบ่งส่วนเครือข่ายและใช้มาตรการรักษาความปลอดภัยเดียวกันกับส่วนที่เหลือของ LAN
- เซิร์ฟเวอร์ Windows และตัวควบคุมโดเมนเซิร์ฟเวอร์ไฟล์และโดยเฉพาะอย่างยิ่งตัวควบคุมโดเมน Active Directory เป็นที่เก็บข้อมูลประจำตัว นโยบายกลุ่ม และข้อมูลสำคัญ หากมีใครก็ตามเข้าถึงตัวควบคุมโดเมนผ่าน RDP ด้วยข้อมูลประจำตัวที่ไม่รัดกุม พวกเขาสามารถควบคุมองค์กรทั้งหมดได้เลยทีเดียว
- คอมพิวเตอร์ไคลเอ็นต์ที่ใช้ระบบปฏิบัติการ Windowsสิ่งเหล่านี้คือจุดเชื่อมต่อที่ปัจจัยทางเทคนิคและปัจจัยด้านมนุษย์ผสานกันมากที่สุด ระบบที่ล้าสมัยไดรเวอร์เก่า โปรแกรมป้องกันไวรัสที่ล้าสมัย หรือผู้ใช้ที่มีสิทธิ์ผู้ดูแลระบบในเครื่อง เป็นปัจจัยที่ทำให้มัลแวร์สามารถเปลี่ยนเหตุการณ์เล็กน้อยให้กลายเป็นหายนะได้
ประเภทของการโจมตีที่พบบ่อยต่อเครือข่าย LAN ขององค์กร
เครือข่าย LAN ขององค์กรที่ใช้ระบบปฏิบัติการ Windows อาจเผชิญกับภัยคุกคามได้หลากหลายรูปแบบ ตั้งแต่การโจมตีที่ส่งเสียงดังมาก ไปจนถึงการบุกรุกที่แนบเนียน ซึ่งอาจตรวจไม่พบเป็นเวลาหลายเดือน การทำความเข้าใจพาหะนำโรคที่พบบ่อยที่สุดเป็นกุญแจสำคัญในการออกแบบระบบป้องกันที่มีประสิทธิภาพ
- การโจมตีด้วยการสแกนและการสอดแนมผู้โจมตีจะตรวจสอบว่ามีอุปกรณ์ใดบ้างในเครือข่าย พอร์ตใดบ้างที่เปิดอยู่ และบริการใดบ้างที่เปิดเผย พวกเขาอาจใช้การสแกน TCP การกวาดพอร์ต และเทคนิคการแบ่งส่วนแพ็กเก็ตเพื่อพยายามหลีกเลี่ยงตัวกรองบางอย่าง แม้ว่าการโจมตีเหล่านี้จะดู "ไม่เป็นอันตราย" ในตอนแรก แต่ก็เป็นขั้นตอนเบื้องต้นก่อนการโจมตีที่แท้จริง
- การดักฟังและสอดแนมการจราจรด้วยอุปกรณ์ที่เชื่อมต่อกับพอร์ตสวิตช์ที่ตั้งค่าไม่ถูกต้อง หรือโดยการใช้ประโยชน์จากเครือข่าย Wi-Fi ที่เปิดอยู่หรือมีการรักษาความปลอดภัยไม่ดี ผู้โจมตีสามารถดักจับการรับส่งข้อมูล LAN สังเกตข้อมูลประจำตัวแบบข้อความธรรมดา (หากไม่ได้ใช้ TLS) เซสชัน ที่อยู่ภายใน และรูปแบบพฤติกรรมได้ ในโหมด "สอดแนม" พวกเขายังสามารถจัดการหรือดึงข้อมูลเพื่อนำไปใช้ประโยชน์ในภายหลังได้อีกด้วย
- มัลแวร์และการโจมตีเพื่อแก้ไขหรือสร้างความเสียหายมัลแวร์เรียกค่าไถ่ โทรจัน และเวิร์ม ใช้ประโยชน์จากระบบ Windows ที่ล้าสมัย บัญชีผู้ใช้ที่มีสิทธิ์มากเกินไป และการขาดการแบ่งส่วนระบบ เพื่อเข้ารหัสไฟล์ ขโมยข้อมูล หรือเปลี่ยนแปลงข้อมูลสำคัญ การโจมตี เช่น การแก้ไขดัดแปลงหรือการเปลี่ยนแปลงข้อมูล ช่วยให้ผู้โจมตีสามารถเปลี่ยนแปลงบันทึกบัญชี ฐานข้อมูล หรือเงินเดือนได้โดยไม่ถูกตรวจพบในทันที
- การขโมยรหัสผ่าน (การเจาะรหัสผ่าน)หากรหัสผ่านโดเมนอ่อนแอหรือถูกใช้ซ้ำในหลายระบบ การโจมตีแบบเดาแบบสุ่มหรือการโจมตีโดยใช้พจนานุกรมสามารถถอดรหัสได้อย่างรวดเร็ว ผู้โจมตียังค้นหาแฮชรหัสผ่านบนตัวควบคุมโดเมนหรือเวิร์กสเตชันที่ถูกบุกรุกเพื่อทำการโจมตีแบบส่งผ่านแฮช ควรใช้โปรแกรมจัดการรหัสผ่าน เช่น ผู้จัดการรหัสผ่าน เพื่อลดการใช้ซ้ำและอำนวยความสะดวกในการใช้ข้อมูลประจำตัวที่ไม่ซ้ำกันสำหรับแต่ละบริการ
- การปลอมแปลง DNS และการเปลี่ยนเส้นทางที่เป็นอันตรายการโจมตีระบบ DNS ภายในหรือภายนอกช่วยให้คุณสามารถเปลี่ยนเส้นทางผู้ใช้ไปยังเว็บไซต์ปลอมได้ แม้ว่าพวกเขาจะพิมพ์ URL ถูกต้องก็ตาม ซึ่งสามารถนำไปใช้ในการขโมยข้อมูลประจำตัว แพร่กระจายมัลแวร์ หรือปลอมตัวเป็นแอปพลิเคชันขององค์กรได้
แนวทางปฏิบัติพื้นฐานที่ดีที่สุดสำหรับการรักษาความปลอดภัยเครือข่าย LAN ของ Windows
จุดเริ่มต้นของการรักษาความปลอดภัยเครือข่าย LAN ของคุณคือการนำมาตรการสุขอนามัยดิจิทัลที่ชัดเจนมาใช้ ซึ่งส่งผลต่อรหัสผ่าน การอัปเดต การแบ่งส่วนเครือข่าย และการควบคุมการเข้าถึงอุปกรณ์ทั้งทางกายภาพและเชิงตรรกะ
- นโยบายรหัสผ่านที่เข้มงวดนโยบายนี้กำหนดให้ใช้รหัสผ่านที่ยาว (อย่างน้อย 12 ตัวอักษร) ประกอบด้วยตัวพิมพ์ใหญ่และตัวพิมพ์เล็ก ตัวเลข และสัญลักษณ์ หลีกเลี่ยงการใช้ข้อมูลส่วนบุคคลที่เห็นได้ชัด และกำหนดระยะเวลาหมดอายุที่เหมาะสม ในสภาพแวดล้อม Windows สามารถนำไปใช้ได้อย่างง่ายดายผ่าน Group Policy Objects (GPOs) บนโดเมน เสริมด้วยโปรแกรมจัดการรหัสผ่าน เช่น [ใส่ชื่อโปรแกรมจัดการรหัสผ่านที่นี่] KeepassXC.
- การตรวจสอบสิทธิ์และการยืนยันตัวตนที่เข้มงวดระบบนี้ผสานรวมชื่อผู้ใช้และรหัสผ่านเข้ากับปัจจัยการตรวจสอบสิทธิ์หลายวิธี (MFA) และในกรณีที่เหมาะสม อาจใช้ไบโอเมตริก (ลายนิ้วมือ การจดจำใบหน้า) ที่รวมอยู่ใน Windows Hello for Business ยิ่งการปลอมตัวเป็นผู้ใช้ทำได้ยากขึ้นเท่าใด โอกาสที่ผู้โจมตีจะขโมยข้อมูลการเข้าสู่ระบบก็จะยิ่งน้อยลงเท่านั้น
- ระบบที่ได้รับการอัปเดตการอัปเดตระบบปฏิบัติการ Windows, ไดรเวอร์เครือข่าย, เฟิร์มแวร์สำหรับสวิตช์, เราเตอร์ และจุดเชื่อมต่อ รวมถึงซอฟต์แวร์เซิร์ฟเวอร์ให้ทันสมัยอยู่เสมอเป็นสิ่งสำคัญ การโจมตีหลายครั้งยังคงใช้ประโยชน์จากช่องโหว่เก่าๆ ที่มีการปล่อยแพทช์ออกมาแล้วเป็นเวลาหลายเดือนหรือหลายปี จึงควรใช้บริการจากผู้ให้บริการที่เสนอแพทช์และการตรวจสอบอย่างสม่ำเสมอ
- การแบ่งส่วน LANการให้ทั้งบริษัทอยู่บนซับเน็ตเดียวกันนั้นไม่ใช่ความคิดที่ดี ควรใช้ VLAN เพื่อแยกผู้ใช้ เซิร์ฟเวอร์ VoIP กล้อง อุปกรณ์ IoT แขก และสภาพแวดล้อมการทดสอบ วิธีนี้จะทำให้ผู้โจมตีที่เจาะระบบเครื่องใดเครื่องหนึ่งได้แล้ว ยากที่จะแพร่กระจายไปยังเครื่องอื่นได้
- การเข้ารหัสข้อมูลที่มีความละเอียดอ่อนระบบนี้บังคับใช้ TLS ในแอปพลิเคชันภายในและภายนอก (HTTPS, SMTPS, LDAPS ฯลฯ) ปกป้องการเชื่อมต่อระยะไกลด้วย VPN ที่แข็งแกร่ง และใช้โปรโตคอลที่ปลอดภัยสำหรับการจัดการอุปกรณ์ (เช่น SSH แทน Telnet) ซึ่งจะป้องกันไม่ให้โปรแกรมดักฟังบนเครือข่าย LAN "เห็น" ข้อมูลประจำตัวหรือข้อมูลข้อความธรรมดา
ระบบรักษาความปลอดภัยแบบ Zero Trust: ปกป้องการเข้าถึงเครือข่ายด้วย Microsoft Entra และ Global Secure Access
ปรัชญา Zero Trust นั้นตั้งอยู่บนแนวคิดที่เรียบง่ายมากอย่าไว้ใจอุปกรณ์ ผู้ใช้ หรือสถานที่ใดๆ โดยอัตโนมัติ แม้ว่าจะอยู่ "ภายใน" เครือข่าย LAN ก็ตาม ไมโครซอฟต์ได้นำแนวทางนี้มาใช้ในโครงการ Secure Future Initiative โดยเฉพาะในส่วน "เครือข่ายที่ปลอดภัย"
สำหรับธุรกิจที่ใช้ Windows และบริการของ Microsoft นั้น Entra (เดิมชื่อ Azure AD) เป็นตัวเลือกที่เหมาะสมนั่นหมายถึงการเพิ่มชั้นการป้องกันเครือข่ายและการเข้าถึงหลายชั้น ได้แก่ การตรวจสอบเซสชันอย่างต่อเนื่อง การควบคุมว่าผู้ใช้เชื่อมต่อจากที่ใด ใช้เส้นทางเครือข่ายใด และประเภทของการรับส่งข้อมูลที่พวกเขาสร้างขึ้น นี่คือจุดที่ฟีเจอร์ต่างๆ เช่น Global Secure Access, Microsoft Login Private Access และนโยบายการเข้าถึงแบบมีเงื่อนไข เข้ามามีบทบาท
กำหนดค่าตำแหน่งที่ตั้งตามชื่อใน Microsoft Login ID ฟังก์ชันนี้ช่วยให้คุณระบุได้ว่าเครือข่ายองค์กร สาขา และภูมิภาคใดถูกต้องตามกฎหมายและน่าเชื่อถือ หากไม่มีการกำหนดค่าเหล่านี้ การตรวจจับความเสี่ยงตามสถานที่ตั้งจะทำงานได้แย่ลงอย่างมากและเพิ่มโอกาสเกิดผลลัพธ์ที่ผิดพลาด ทำให้ยากที่จะแยกแยะการเข้าสู่ระบบสำนักงานปกติออกจากความพยายามที่น่าสงสัยซึ่งมาจาก VPN ที่ไม่ระบุตัวตน หรือประเทศที่บริษัทของคุณไม่ได้ดำเนินงานอยู่
ข้อจำกัดสำหรับผู้เช่า ฉบับที่ 2 (TRv2) พวกมันเป็นเสาหลักสำคัญอีกประการหนึ่ง: พวกมันป้องกันผู้ใช้ที่ไม่ได้รับอนุญาตบนเครือข่าย LAN และอุปกรณ์ขององค์กรจากการตรวจสอบสิทธิ์เพื่อเข้าถึง Microsoft Entra tenant ภายนอก หากไม่มีพวกมัน ผู้ที่มีข้อมูลประจำตัวที่ถูกขโมยอาจเชื่อมต่อกับ tenant ที่อยู่ภายใต้การควบคุมของตนและรั่วไหลข้อมูลผ่าน OneDrive, SharePoint หรือ Teams ภายนอกโดยที่เครื่องมือ DLP แบบดั้งเดิมของคุณตรวจจับไม่ได้
การประเมินการเข้าถึงอย่างต่อเนื่องแบบสากลและการควบคุมเซสชันแบบละเอียด
ในสภาพแวดล้อม Windows ที่ผสานรวมกับ Microsoft Entra การควบคุมอายุการใช้งานของโทเค็นการเข้าถึงเป็นสิ่งสำคัญอย่างยิ่งด้วยระบบประเมินผลอย่างต่อเนื่องสำหรับการเข้าถึงแบบสากล (Universal CAE) การเชื่อมต่อเครือข่ายทุกจุดที่ได้รับการปกป้องโดย Global Secure Access จะได้รับการตรวจสอบความถูกต้องอีกครั้งแบบไดนามิกตามเหตุการณ์สำคัญ
หากไม่ได้เปิดใช้งาน Universal CAEโทเค็นที่ถูกขโมยอาจยังคงใช้งานได้นาน 60 ถึง 90 นาที แม้ว่าผู้ใช้จะเปลี่ยนรหัสผ่าน บัญชีถูกปิดใช้งาน หรือตรวจพบความเสี่ยงสูงแล้วก็ตาม ซึ่งทำให้ผู้โจมตีมีเวลาในการเคลื่อนที่ไปทั่วเครือข่าย เชื่อมต่อกับแอปพลิเคชันภายใน และขโมยข้อมูลออกไป
เปิดใช้งาน Universal CAE ในโหมดบังคับใช้อย่างเข้มงวดการยกเลิกเซสชัน สัญญาณความเสี่ยงสูง หรือการเปลี่ยนแปลงสถานะผู้ใช้ใดๆ จะบังคับให้ทำการยืนยันตัวตนใหม่แทบจะทันที นอกจากนี้ การพยายามใช้โทเค็นซ้ำจาก IP ที่แตกต่างกันจะถูกบล็อกได้อย่างมีประสิทธิภาพมากขึ้น ซึ่งช่วยกำจัดช่องทางการโจมตีทั่วไปในเครือข่าย LAN ของ Windows
สิ่งสำคัญคือต้องตรวจสอบนโยบายการเข้าถึงแบบมีเงื่อนไขทั้งหมด เพื่อให้แน่ใจว่าพวกเขาไม่ได้ปิดใช้งาน CAE ในบางเวิร์กโหลด บริษัทบางแห่งสร้างข้อยกเว้นด้วยเหตุผลด้านความเข้ากันได้ ซึ่งต่อมากลายเป็นช่องโหว่ถาวร
ไคลเอนต์การเข้าถึงที่ปลอดภัยทั่วโลก: มอบความปลอดภัยให้กับเครือข่าย LAN สำหรับคอมพิวเตอร์ Windows ทุกเครื่อง
เพื่อให้การปกป้องเครือข่ายแบบ Zero Trust มีประสิทธิภาพ อุปกรณ์ที่ได้รับการจัดการทั้งหมดจะต้องใช้ไคลเอ็นต์ Global Secure Accessหากเครื่องพีซี Windows ขององค์กรไม่ได้ติดตั้งโปรแกรมไคลเอ็นต์นี้ การรับส่งข้อมูลของเครื่องพีซีดังกล่าวจะสามารถเข้าถึงอินเทอร์เน็ตหรือทรัพยากรภายในได้โดยตรงโดยไม่ต้องผ่านการควบคุมขอบเขตหรือการตรวจสอบการปฏิบัติตามข้อกำหนด
หากไม่มีการติดตั้งไคลเอ็นต์บนเอนด์พอยต์ที่ได้รับการจัดการทั้งหมด ผู้โจมตีสามารถใช้ประโยชน์จากอุปกรณ์ "ที่ไม่ได้เชื่อมต่อ" เหล่านี้เพื่อเข้าถึงระบบในเบื้องต้น เคลื่อนย้ายไปยังส่วนอื่น ๆ ของเครือข่าย LAN หรือดึงข้อมูลออกมาได้ ยิ่งไปกว่านั้น อุปกรณ์เหล่านี้จะไม่ได้รับประโยชน์จากการตรวจสอบเครือข่ายในนโยบายการเข้าถึงแบบมีเงื่อนไข การกู้คืนที่อยู่ IP ต้นทาง หรือข้อจำกัดของผู้เช่า
เมื่อเปิดใช้งานไคลเอ็นต์แล้ว อุปกรณ์ Windows จะสามารถเชื่อมต่อได้อย่างปลอดภัย การเข้าถึงทั้งแอปพลิเคชัน SaaS และทรัพยากรภายในองค์กรนั้นทำได้ผ่าน Microsoft Entra Private Access โดยใช้ข้อมูลประจำตัวและนโยบายเครือข่ายเดียวกันเสมอ แดชบอร์ด Global Secure Access ช่วยให้คุณสามารถตรวจสอบสถานะของไคลเอ็นต์ ตรวจสอบการเชื่อมต่อ และดำเนินการแก้ไขหากตรวจพบปัญหา
อีกประเด็นสำคัญคือใบอนุญาตการเข้าถึงที่ปลอดภัยทั่วโลก (Global Secure Access licenses)ในการใช้งาน Microsoft Entra Internet Access และ Microsoft Entra Private Access จำเป็นต้องมี Microsoft Entra ID P1 หากเทนเนนต์ของคุณไม่มีใบอนุญาตที่เหมาะสม หรือยังไม่ได้กำหนดใบอนุญาตให้กับผู้ใช้ การรับส่งข้อมูลของพวกเขาจะไม่ถูกส่งผ่าน Global Secure Access และจะยังคงไม่ได้รับการปกป้อง ขอแนะนำให้ใช้การออกใบอนุญาตแบบกลุ่มและตรวจสอบวันหมดอายุเพื่อหลีกเลี่ยงการสูญเสียความคุ้มครองโดยไม่ตั้งใจ
โปรไฟล์การส่งต่อทราฟฟิกและการควบคุมสิ่งที่เข้าและออกจากเครือข่าย LAN ของคุณ
การส่งต่อทราฟฟิกเป็นกลไกที่ช่วยให้มั่นใจได้ว่าทราฟฟิกในเครือข่าย LAN จะผ่านชั้นความปลอดภัยต่างๆ จากระบบการเข้าถึงที่ปลอดภัยทั่วโลก และไม่ได้ "หลุดออกไป" โดยตรงผ่านทางอินเทอร์เน็ต
ไมโครซอฟต์กำหนดโปรไฟล์การส่งต่อไว้ 3 ประเภท: หนึ่งสำหรับทราฟฟิกของ Microsoft (M365, Microsoft Entra ID, Graph, SharePoint, Exchange…) อีกหนึ่งสำหรับ Private Access (ทรัพยากรภายใน) และอีกหนึ่งสำหรับ General Internet Access (เว็บสาธารณะ, SaaS ที่ไม่ใช่ของ Microsoft เป็นต้น)
หากไม่ได้เปิดใช้งานโปรไฟล์เหล่านี้นโยบายความปลอดภัย การกรองเนื้อหา การป้องกันภัยคุกคาม และ CAE ไม่สามารถนำมาใช้ได้ อาชญากรไซเบอร์ใดๆ ที่มีข้อมูลประจำตัวที่ถูกต้องสามารถเชื่อมต่อกับทรัพยากรของคุณจากเครือข่ายใดก็ได้ โดยไม่ต้องผ่านระบบรักษาความปลอดภัยที่ทันสมัยของคุณ
สิ่งสำคัญอีกประการหนึ่งคือการกำหนดขอบเขตของแต่ละโปรไฟล์ให้ชัดเจนหากคุณกำหนดการส่งต่ออีเมลให้กับ "ผู้ใช้ทั้งหมด" โดยไม่ได้ทดสอบกับกลุ่มนำร่องก่อน ข้อผิดพลาดในการกำหนดค่าอาจทำให้ทั้งบริษัทไม่สามารถใช้งานได้ ในทางกลับกัน หากคุณกำหนดขอบเขตแคบเกินไป คุณอาจมีผู้ใช้ที่ใช้งานนอกเหนือการป้องกันโดยที่ไม่มีใครสังเกตเห็น
สุดท้ายนี้ ตรวจสอบให้แน่ใจว่าการรับส่งข้อมูลของ Microsoft 365 ไหลผ่าน Global Secure Access อย่างถูกต้องหากปริมาณการรับส่งข้อมูลบางส่วนหายไป (เนื่องจากไคลเอนต์เก่า การกำหนดค่าด้วยตนเอง หรืออุปกรณ์ที่ไม่มีไคลเอนต์) คุณจะสูญเสียความสามารถในการมองเห็นปริมาณงานที่สำคัญที่สุดต่อประสิทธิภาพการทำงานและการทำงานร่วมกัน และจะทำให้การเชื่อมโยง IP จริงกับการเข้าสู่ระบบและการแจ้งเตือนทำได้ยากขึ้น
เกตเวย์เว็บที่ปลอดภัย การกรองเนื้อหา และ TLS ในสภาพแวดล้อม Windows
การสร้างเครือข่าย LAN ที่ปลอดภัยสำหรับองค์กรที่ใช้ระบบปฏิบัติการ Windows ไม่ได้หมายความถึงแค่การบล็อกพอร์ตในไฟร์วอลล์เท่านั้นการตรวจสอบทราฟฟิก HTTP/HTTPS ขาออกก็มีความสำคัญอย่างยิ่งเช่นกัน เนื่องจากภัยคุกคามสมัยใหม่ส่วนใหญ่ส่งผ่านทางการเข้ารหัส
โปรไฟล์การส่งต่อการเข้าถึงอินเทอร์เน็ต โปรไฟล์นี้บังคับให้คำขอเว็บของผู้ใช้ของคุณต้องผ่าน Secure Web Gateway (SWG) ของ Global Secure Access หากไม่ได้เปิดใช้งานโปรไฟล์นี้ ผู้ใช้สามารถเรียกดูเว็บไซต์โดยตรงและดาวน์โหลดมัลแวร์ เชื่อมต่อกับโดเมนควบคุม หรือขโมยข้อมูลโดยไม่มีการกรองจากส่วนกลาง
คำสั่งการกรองเนื้อหาบนเว็บเป็นพื้นฐานของการควบคุมนี้หากไม่มีการตั้งค่าเหล่านี้ การเข้าถึงเว็บไซต์ทุกประเภท (เช่น เว็บไซต์ที่เป็นอันตราย เว็บไซต์หลอกลวง ซอฟต์แวร์ละเมิดลิขสิทธิ์ เนื้อหาที่ไม่เหมาะสม ฯลฯ) ก็เป็นไปได้ง่าย วิธีที่มีประสิทธิภาพที่สุดคือการใช้กฎตามหมวดหมู่ (เช่น มัลแวร์ การฉ้อโกง การละเมิดลิขสิทธิ์ กิจกรรมทางอาชญากรรม ฯลฯ) แทนที่จะพึ่งพารายการ URL เฉพาะเจาะจงเพียงอย่างเดียว ซึ่งจะล้าสมัยอย่างรวดเร็ว
คำสั่งเหล่านี้ต้องเชื่อมโยงกับโปรไฟล์ความปลอดภัยหากฟีเจอร์เหล่านี้ถูกสร้างขึ้นแต่ไม่ได้เชื่อมโยงกับโปรไฟล์ใดๆ หรือโปรไฟล์อ้างอิง ฟีเจอร์เหล่านั้นจะไม่ถูกนำไปใช้เลย และจะทำให้เกิดความรู้สึกปลอดภัยที่ผิดพลาด นอกจากนี้ การผสานรวมกับการเข้าถึงแบบมีเงื่อนไขจะช่วยให้สามารถกรองข้อมูลได้อย่างเข้มงวดมากขึ้นเมื่อตรวจพบความเสี่ยงที่สูงขึ้น (ตัวอย่างเช่น หากอุปกรณ์ไม่เป็นไปตามข้อกำหนด หรือผู้ใช้เข้าสู่ระบบจากสถานที่ที่ไม่ปกติ)
องค์ประกอบที่สำคัญอย่างหนึ่งคือการตรวจสอบ TLSเนื่องจากทราฟฟิกบนเว็บเกือบทั้งหมดถูกเข้ารหัส หากเซสชัน HTTPS ไม่ได้รับการถอดรหัส ณ จุดควบคุม คุณสมบัติการกรอง การป้องกันการรั่วไหลของข้อมูล (DLP) และการตรวจจับภัยคุกคามหลายอย่างจะหยุดทำงาน วิธีนี้ทำได้โดยใช้ใบรับรอง CA ระดับกลางที่สร้างใบรับรองสำหรับเว็บไซต์ที่คอมพิวเตอร์ Windows ของคุณเชื่อมต่อแบบไดนามิก
โปรดระมัดระวังเกี่ยวกับการยกเว้น TLS และการจัดการใบรับรอง
การตรวจสอบ TLS ไม่ใช่เรื่อง "ตั้งค่าครั้งเดียวแล้วไม่ต้องดูแลอีกต่อไป"มีประเด็นสำคัญสองประเด็นที่ต้องพิจารณาอย่างรอบคอบ ได้แก่ กฎเกี่ยวกับการเลี่ยงเส้นทาง และการหมดอายุของใบรับรองการตรวจสอบ
กฎการข้าม TLS ฟังก์ชันเหล่านี้อนุญาตให้คุณยกเว้นโดเมนหรือแอปพลิเคชันบางอย่างที่ไม่รองรับการตรวจสอบ (ตัวอย่างเช่น บริการที่มีการตรึงใบรับรองหรือ TLS แบบร่วมกัน) ปัญหาเกิดขึ้นเมื่อข้อยกเว้นเหล่านี้สะสมมากขึ้นเรื่อย ๆ เมื่อเวลาผ่านไป การตรวจสอบหยุดลง และกลายเป็นจุดบอดที่ผู้โจมตีจงใจค้นหาเพื่อใช้เป็นช่องทางในการสื่อสารคำสั่งและการควบคุมของพวกเขา
ควรตรวจสอบกฎการเลี่ยงถนนเป็นระยะๆ และลบปลายทางที่ซ้ำซ้อนหรือซ้ำกับปลายทางที่อยู่ในรายการข้ามของระบบออกไป Global Secure Access จำกัดจำนวนกฎและปลายทางต่อผู้เช่าแต่ละราย ดังนั้นการรักษาการกำหนดค่าให้สะอาดและปลอดภัยจะทำให้การบริหารจัดการง่ายขึ้น
เกี่ยวกับใบรับรองการตรวจสอบ TLSเมื่อใบรับรองหมดอายุ การยุติการเชื่อมต่อ TLS จะหยุดทำงานทันที คุณจะสูญเสียการกรอง URL การตรวจจับภัยคุกคาม และการควบคุมใดๆ ต่อการรับส่งข้อมูล HTTPS ไม่ใช่เรื่องแปลกที่ผู้โจมตีจะพยายามกำหนดเวลาการโจมตีให้ตรงกับช่วงเวลาที่องค์กรบางแห่งผ่อนคลายมาตรการควบคุมระหว่างการต่ออายุใบรับรอง
โดยทั่วไป ควรเว้นระยะเวลาอย่างน้อย 90 วันก่อนวันหมดอายุใช้ใบรับรองที่มีอายุการใช้งานอย่างน้อยหกเดือนและวางแผนการต่ออายุโดยใช้โครงสร้างพื้นฐาน PKI ของคุณ (ADCS, OpenSSL เป็นต้น) นอกจากนี้ ให้ตรวจสอบอัตราข้อผิดพลาดในการตรวจสอบ TLS และรักษาให้ต่ำกว่า 1% เนื่องจากอัตราที่สูงกว่ามักบ่งชี้ถึงปัญหาความน่าเชื่อถือของระบบ ความไม่เข้ากัน หรือแม้แต่ความพยายามโดยเจตนาที่จะทำให้เกิดความล้มเหลวในการตรวจสอบ
ระบบข่าวกรองภัยคุกคาม ไฟร์วอลล์บนคลาวด์ และการปกป้องสำนักงานสาขา
นอกเหนือจากการกรองตามหมวดหมู่แล้ว การใช้ข้อมูลข่าวกรองภัยคุกคามยังมีความสำคัญอีกด้วย รายการโดเมนและ URL ที่เป็นอันตรายที่รู้จักแบบไดนามิกมีความสำคัญอย่างยิ่งต่อการบล็อกการเชื่อมต่อกับโครงสร้างพื้นฐานการโจมตีที่กำลังทำงานอยู่ หากคุณไม่เปิดใช้งานการกรองนี้ใน Global Secure Access อุปกรณ์ต่างๆ อาจยังคงสื่อสารกับเซิร์ฟเวอร์ควบคุมและสั่งการได้แม้ว่าจะถูกตรวจพบในระดับอื่นๆ แล้วก็ตาม
โปรไฟล์ความปลอดภัยพื้นฐาน Global Secure Access ระบบนี้ให้การป้องกันทั่วไปสำหรับผู้เช่าทั้งหมด แต่ควรสร้างโปรไฟล์ที่กำหนดเองซึ่งเชื่อมโยงกับนโยบายการเข้าถึงแบบมีเงื่อนไข เพื่อพิจารณาบริบทต่างๆ (เช่น ผู้ใช้เป็นใคร เชื่อมต่อจากอุปกรณ์ใด เชื่อมต่อจากที่ใด เป็นต้น)
สำหรับสาขาที่เชื่อมต่อผ่านอุโมงค์ IPsecไฟร์วอลล์บนคลาวด์ของ Global Secure Access มีหน้าที่ควบคุมการรับส่งข้อมูลขาออกไปยังอินเทอร์เน็ต หากคุณไม่ได้กำหนดค่านโยบายไฟร์วอลล์สำหรับเครือข่ายระยะไกลเหล่านี้ การรับส่งข้อมูลขาออกทั้งหมดจะผ่านไปโดยไม่มีการกรองในระดับเครือข่าย ทำให้ผู้โจมตีที่เจาะระบบเวิร์กสเตชันในสำนักงานสาขาสามารถเชื่อมต่อกับปลายทางภายนอกใด ๆ ได้โดยไม่มีข้อจำกัด
การกำหนดท่าที "ปฏิเสธโดยค่าเริ่มต้น" และการเปิดเฉพาะการรับส่งข้อมูลที่จำเป็นจากสาขาต่างๆ จะช่วยลดโอกาสการรั่วไหลและการเคลื่อนย้ายไปยังสภาพแวดล้อมอื่นๆ เช่น ระบบคลาวด์ได้อย่างมาก
การป้องกันการสูญหายของข้อมูล การถ่ายโอนไฟล์ และการป้องกันด้วย AI ที่สร้างขึ้นเอง
หนึ่งในวิธีที่ง่ายที่สุดในการดึงข้อมูลจากเครือข่าย LAN ซึ่งเกี่ยวข้องกับการใช้บริการถ่ายโอนไฟล์ที่ถูกต้องตามกฎหมาย พื้นที่จัดเก็บข้อมูลบนคลาวด์ หรือแม้แต่แอปพลิเคชันปัญญาประดิษฐ์ (AI) เพื่ออัปโหลดเอกสารสำคัญ
นโยบายการกรองเนื้อหาเครือข่ายใน Global Secure Access อนุญาตให้มีการตรวจสอบและควบคุม การถ่ายโอนไฟล์ ผ่านทางเบราว์เซอร์ แอปพลิเคชัน และ API หากไม่มีนโยบายเหล่านี้ ผู้ใช้ที่เป็นอันตรายหรือบัญชีที่ถูกบุกรุกอาจอัปโหลดเอกสารลับ ข้อมูลประจำตัว หรือทรัพย์สินทางปัญญาไปยังบริการภายนอกโดยแทบไม่มีร่องรอยใด ๆ บนระบบปลายทางของคุณ
ในด้านปัญญาประดิษฐ์ (AI) นั้น AI Gateway และระบบป้องกัน Prompt Shield ของมันนั้นโดดเด่น พวกเขาสร้างชั้นการป้องกันเพิ่มเติมอีกชั้นหนึ่ง: พวกเขาป้องกันแอปพลิเคชัน AI ระดับองค์กรจากการถูกโจมตีด้วยการแทรกคำสั่ง (เช่น การเจาะระบบ การซ่อนคำสั่งที่เป็นอันตรายในเนื้อหาภายนอก เป็นต้น) ซึ่งอาจทำให้โมเดลเพิกเฉยต่อนโยบายภายใน เปิดเผยข้อมูลภายใน หรือสร้างเนื้อหาฟิชชิ่งได้
ควรนำการควบคุมเหล่านี้ไปใช้ในระดับเครือข่ายแทนที่จะใช้ทีละแอป วิธีนี้ช่วยให้เกิดความสม่ำเสมอ: คุณไม่ต้องพึ่งพาแต่ละทีมพัฒนาในการดำเนินการมาตรการรักษาความปลอดภัยเพื่อป้องกันการโจมตีแบบฉับพลันและการสูญเสียข้อมูลในโซลูชัน AI ของตนเองโดยอิสระ
การเข้าถึงแบบมีเงื่อนไขและการส่งสัญญาณตามเครือข่าย Global Secure Access
นโยบายการเข้าถึงแบบมีเงื่อนไขของ Microsoft พวกมันคือตัวเชื่อมระหว่างตัวตนและเครือข่าย สำหรับบริษัทที่ต้องการใช้ประโยชน์สูงสุดจากเครือข่าย LAN ของ Windows การกำหนดให้ผู้ใช้ตรวจสอบสิทธิ์การเข้าถึงทรัพยากรขององค์กรเฉพาะเมื่อการรับส่งข้อมูลของพวกเขาผ่าน Global Secure Access นั้นเป็นสิ่งสำคัญ
การควบคุม “เครือข่ายที่เข้ากันได้” ในการเข้าถึงแบบมีเงื่อนไข ระบบเหล่านี้ช่วยให้มั่นใจได้ว่าการตรวจสอบสิทธิ์นั้นมาจากบริการรักษาความปลอดภัยของ Microsoft ไม่ใช่จากที่อยู่ IP ใดๆ บนอินเทอร์เน็ต หากไม่มีการควบคุมเหล่านี้ ผู้โจมตีที่ขโมยข้อมูลประจำตัวสามารถเชื่อมต่อจากที่ใดก็ได้ โดยหลีกเลี่ยงตัวกรองเนื้อหา ระบบข่าวกรองภัยคุกคาม หรือ CAE ของคุณได้
ป้ายแสดงการเข้าถึงที่ปลอดภัยทั่วโลกสำหรับการเข้าถึงแบบมีเงื่อนไข วิธีนี้ช่วยแก้ปัญหาอีกอย่างหนึ่งคือ เมื่อทราฟฟิกผ่านพร็อกซี ที่อยู่ IP ต้นทางที่ Microsoft Entra ID เห็นมักจะเป็นที่อยู่ IP ของพร็อกซี ไม่ใช่ที่อยู่ IP จริงของผู้ใช้ การเปิดใช้งานการส่งสัญญาณนี้ช่วยให้สามารถแทรกข้อมูลเพิ่มเติมลงในคำขอได้ เพื่อให้การตรวจสอบตามตำแหน่งที่ตั้งและการตรวจจับความเสี่ยง (เส้นทางที่เป็นไปไม่ได้ ที่อยู่ IP ที่ไม่ระบุตัวตน คุณสมบัติการเข้าสู่ระบบที่ไม่รู้จัก) ยังคงทำงานได้อย่างถูกต้อง
หากสัญญาณนี้ไม่ถูกเปิดใช้งานบันทึกการเข้าสู่ระบบจะแสดงเฉพาะ IP ของพร็อกซีขาออกเท่านั้น ซึ่งจะทำให้การตรวจสอบทางนิติวิทยาศาสตร์หรือการตอบสนองต่อเหตุการณ์เป็นไปได้ยาก และลดความแม่นยำของการตรวจจับความเสี่ยงอัตโนมัติ
Microsoft Private Access: เข้าสู่: Zero Trust สำหรับทรัพยากรภายใน
หลายบริษัทยังคงใช้ VPN แบบดั้งเดิมในการเข้าถึงทรัพยากรภายในองค์กร (เซิร์ฟเวอร์ไฟล์, ERP, แอปพลิเคชันภายใน) ระบบการเข้าถึงแบบส่วนตัว Entra ของ Microsoft พยายามที่จะแทนที่โมเดลนั้นด้วยโมเดล Zero Trust ซึ่งแต่ละคำขอจะได้รับการตรวจสอบและอนุญาตอย่างละเอียดถี่ถ้วน
ตัวเชื่อมต่อเครือข่ายส่วนตัว (PLAN) ทำหน้าที่เป็น "ตัวกลาง" ในการเชื่อมต่อ LAN ของคุณเข้ากับ Global Secure Accessหากระบบเหล่านั้นไม่ทำงานหรือล้าสมัย ผู้ใช้อาจหันไปใช้วิธีการเข้าถึงทางเลือกอื่นที่มีความปลอดภัยน้อยกว่า หรือคุณอาจถูกบังคับให้เปิดเผยบริการสู่โลกอินเทอร์เน็ตโดยตรง
โดยทั่วไปแล้ว กลุ่มตัวเชื่อมต่อแต่ละกลุ่มควรมีอินสแตนซ์ที่ใช้งานอยู่และอัปเดตข้อมูลอย่างน้อยสองรายการเพื่อหลีกเลี่ยงจุดอ่อนที่อาจทำให้ระบบล้มเหลวได้ การมีตัวเชื่อมต่อเพียงตัวเดียวในกลุ่มหมายความว่า ปัญหาซอฟต์แวร์ การอัปเดตที่ผิดพลาด หรือแม้แต่การกระทำที่เป็นอันตรายในระดับท้องถิ่น อาจทำให้แอปพลิเคชันส่วนตัวทั้งหมดที่ขึ้นอยู่กับกลุ่มนั้นไม่สามารถเข้าถึงได้
การแบ่งส่วนแอปพลิเคชันในการเข้าถึงแบบส่วนตัว นี่เป็นอีกประเด็นสำคัญ หากคุณกำหนดกลุ่มที่กว้างเกินไป (ช่วง IP ที่กว้างมาก พอร์ตที่ไม่ได้กรองหลายพอร์ต การใช้ Quick Access อย่างไม่เลือกปฏิบัติ) คุณกำลังทำซ้ำรูปแบบการอนุญาตแบบเดิมของ VPN แบบดั้งเดิม วิธีที่แนะนำคือการแบ่งกลุ่มตามแอปพลิเคชัน โดยใช้ FQDN หรือ IP และพอร์ตเฉพาะ และเชื่อมโยงแต่ละกลุ่มกับนโยบายการเข้าถึงแบบมีเงื่อนไขตามความเสี่ยงและประเภทของทรัพยากร
DNS ส่วนตัว, การรับส่งข้อมูลภายใน และประสิทธิภาพในการเข้าถึงระยะไกล
การแก้ไขชื่อภายในมีความสำคัญอย่างยิ่งต่อการทำงานของ Private Access อย่างถูกต้องหากคุณไม่ได้กำหนดค่า DNS ส่วนตัวอย่างถูกต้อง ผู้ใช้ระยะไกลจะไม่สามารถแก้ไขชื่อโดเมนแบบเต็ม (FQDN) ภายในผ่านอุโมงค์ที่ปลอดภัยได้ และเครื่อง Windows ของพวกเขาจะเปลี่ยนไปใช้เซิร์ฟเวอร์ DNS สาธารณะ ซึ่งชื่อเหล่านั้นไม่มีอยู่จริง
เมื่อเปิดใช้งานโปรไฟล์การเข้าถึงส่วนตัว แต่ไม่ได้เผยแพร่พอร์ต DNS (53 UDP/TCP) บนเซ็กเมนต์ที่เหมาะสม หรือหากไม่ได้กำหนดคำต่อท้าย DNS ส่วนตัว ไคลเอ็นต์ Global Secure Access จะไม่สามารถกำหนดเส้นทางการสอบถาม DNS ภายในได้ ซึ่งทำให้เซ็กเมนต์แบบ FQDN ไม่สามารถใช้งานได้ และผู้ใช้จะเชื่อมต่อโดยตรง ซึ่งอยู่นอกเหนือขอบเขตของนโยบายเครือข่าย
เพื่อปรับปรุงประสิทธิภาพโดยไม่ลดทอนความปลอดภัยคุณสมบัติต่างๆ เช่น Intelligent Local Access (ILA) ช่วยให้การรับส่งข้อมูลส่วนตัวสามารถกำหนดเส้นทางไปยังเครือข่ายภายในได้เมื่อผู้ใช้เชื่อมต่ออยู่กับเครือข่ายขององค์กร หลีกเลี่ยงการส่งข้อมูลไปยังคลาวด์โดยไม่จำเป็น ในขณะเดียวกันก็ยังคงรักษาการควบคุมการเข้าถึงแบบมีเงื่อนไขไว้ได้
ส่วนการเข้าถึงด่วนนั้น จะต้องเชื่อมโยงกับกลุ่มตัวเชื่อมต่อที่ใช้งานอยู่ให้ถูกต้อง นโยบายการเข้าถึงแบบมีเงื่อนไขได้ถูกนำมาใช้แล้ว มิเช่นนั้น ผู้ใช้จะไม่สามารถเข้าถึงทรัพยากรภายในได้เมื่อต้องการ หรือที่แย่กว่านั้นคือ พวกเขาอาจสามารถเข้าถึงได้โดยไม่ต้องมีการตรวจสอบ MFA เพิ่มเติม การปฏิบัติตามข้อกำหนดของอุปกรณ์ หรือการตรวจสอบตำแหน่งที่ตั้ง
ตัวควบคุมโดเมน, RDP และเซ็นเซอร์ความปลอดภัยในสภาพแวดล้อม Windows
ในเครือข่าย LAN ที่ใช้ระบบปฏิบัติการ Windows เป้าหมายสูงสุดคือตัวควบคุมโดเมนใครก็ตามที่ควบคุมโดเมน ก็จะควบคุมบัญชี นโยบาย กลุ่ม และในทางปฏิบัติก็คือเครือข่ายทั้งหมด
เมื่อผู้ดูแลระบบเข้าถึงตัวควบคุมโดเมนผ่าน RDP หากใช้ Microsoft Private Sign-In พวกเขาจะต้องใช้การตรวจสอบสิทธิ์ที่ป้องกันการโจมตีแบบฟิชชิ่ง เช่น คีย์ความปลอดภัย FIDO2 Windows Hello สำหรับธุรกิจ โดยมีหลักฐานสนับสนุนที่แข็งแกร่ง หรือวิธีการที่เทียบเท่าซึ่งต้องอาศัยการพิสูจน์ความเป็นเจ้าของด้วยวิธีการเข้ารหัสลับ
หากปราศจากวิธีการต้านทานเหล่านี้ผู้โจมตีที่สามารถขโมยข้อมูลประจำตัวหรือยึดโทเค็นเซสชันได้ อาจใช้โทเค็นเหล่านั้นเพื่อสร้างเซสชัน RDP ไปยังตัวควบคุมโดเมน ดำเนินการโจมตี DCSync เพื่อดึงแฮชของบัญชีทั้งหมด สร้างตั๋วทองคำ Kerberos และรักษาการเข้าถึงในระยะยาว หรือแก้ไข GPO เพื่อติดตั้งมัลแวร์จำนวนมาก
เซ็นเซอร์การเข้าถึงส่วนตัวที่ติดตั้งบนตัวควบคุมโดเมน อุปกรณ์เหล่านี้อนุญาตให้ใช้มาตรการที่เข้มงวดกับคำขอ Kerberos ที่มาจากเครือข่ายภายใน (LAN) หากไม่มีเซ็นเซอร์เหล่านี้ อุปกรณ์ใดๆ ที่เข้าถึง LAN ได้ก็สามารถขอตั๋วบริการสำหรับทรัพยากรที่มีสิทธิ์พิเศษได้โดยไม่ต้องมีการควบคุม MFA การปฏิบัติตามข้อกำหนด หรือบริบทใดๆ ซึ่งเป็นการสืบทอดรูปแบบความไว้วางใจโดยปริยายที่อาศัยเพียงแค่การ "อยู่ภายใน" เครือข่ายเท่านั้น
การสำรองข้อมูล LAN การบำรุงรักษา และการจัดการการดำเนินงาน
การรักษาความปลอดภัยของเครือข่าย LAN ไม่ได้จำกัดอยู่แค่การป้องกันการเข้าถึงโดยไม่ได้รับอนุญาตเท่านั้นนอกจากนี้ยังหมายถึงความสามารถในการกู้คืนหากเกิดปัญหาขึ้น ไฟไหม้ในศูนย์ข้อมูล มัลแวร์เรียกค่าไถ่ที่เข้ารหัสเซิร์ฟเวอร์ไฟล์ หรือความล้มเหลวของฮาร์ดแวร์ อาจทำให้บริษัทเป็นอัมพาตได้หากไม่มีระบบสำรองข้อมูลที่ออกแบบมาอย่างดี
แนะนำให้จัดเก็บข้อมูลทางธุรกิจไว้ที่เซิร์ฟเวอร์ไฟล์ส่วนกลาง หรือจัดเก็บข้อมูลบนบริการจัดเก็บข้อมูลที่ปลอดภัยพร้อมนโยบายการสำรองข้อมูลที่ชัดเจน รวมถึงการสำรองข้อมูลนอกสถานที่ (นอกสำนักงานหรือในภูมิภาคอื่น) สำหรับสถานการณ์ภัยพิบัติร้ายแรง ปรึกษาผู้เชี่ยวชาญ การเปรียบเทียบวิธีการสำรองข้อมูล เพื่อเลือกกลยุทธ์ที่ดีที่สุด
โดเมน Windows ที่ได้รับการจัดการอย่างดี ระบบนี้ช่วยลดความซับซ้อนในการกำหนดสิทธิ์ การบังคับใช้นโยบายรหัสผ่าน การติดตั้งซอฟต์แวร์ และการจัดการการอัปเดต นอกจากนี้ยังช่วยให้มั่นใจได้ว่าคอมพิวเตอร์ทุกเครื่องในเครือข่ายใช้ Windows เวอร์ชันมืออาชีพที่สามารถผสานรวมเข้ากับ Active Directory หรือ Microsoft Entra ได้อย่างถูกต้อง
นอกเหนือจากการอัปเดตซอฟต์แวร์ป้องกันไวรัสในพีซีและเซิร์ฟเวอร์ทุกเครื่องแล้วควรมีการกำหนดการบำรุงรักษาเป็นประจำ เช่น การตรวจสอบบันทึก การตรวจสอบสถานะการสำรองข้อมูล การติดตั้งแพทช์ที่สำคัญ การตรวจสอบสิทธิ์การใช้งาน และการติดตามเหตุการณ์ การมอบหมายความรับผิดชอบนี้ให้กับบุคคลภายในหรือผู้ให้บริการภายนอกจะช่วยป้องกันปัญหาที่ถูกมองข้ามไปได้
สุดท้ายนี้ อย่าประมาทปัจจัยด้านมนุษย์เด็ดขาดการกรองที่อยู่ MAC การปิดใช้งานพอร์ตอีเธอร์เน็ตที่ไม่ได้ใช้งาน การจำกัดการติดตั้งซอฟต์แวร์ และการแบ่งส่วนตาม VLAN จะช่วยลดความเสียหายที่อาจเกิดขึ้นจากทั้งความผิดพลาดของพนักงานและการกระทำโดยเจตนาของบุคคลที่ไม่พอใจภายในองค์กร
เครือข่าย LAN ที่ได้รับการออกแบบและจัดการอย่างดีในสภาพแวดล้อม Windows เสริมด้วยความสามารถของ Microsoft Entra, การเข้าถึงที่ปลอดภัยทั่วโลก (Global Secure Access), การแบ่งส่วนเครือข่าย, การกรองเว็บ และระบบข่าวกรองภัยคุกคามมันมีความแข็งแกร่งมากกว่าแค่ชุดสายเคเบิลและสวิตช์ธรรมดาๆ: มันกลายเป็นแพลตฟอร์มที่ปลอดภัยซึ่งบริษัทของคุณสามารถเติบโตต่อไปได้ โดยผสานรวม IoT บริการคลาวด์ และแม้แต่ AI เชิงสร้างสรรค์ โดยไม่ต้องเสี่ยงต่อการโจมตีทางไซเบอร์ที่เกิดขึ้นบ่อยครั้งในปัจจุบัน
