Giảm mặt tấn công của các tài khoản quản trị viên Chúng ta đã thấy được có một xu hướng mới đang đến với mạng công ty đó là các nhà quản trị mạng muốn hạn chế được những gì mà tài khoản “quản trị viên” có thể thực hiện trong môi trường mạng. Không chỉ các quản trị viên từ Active Directory mà cả quản trị viên trên các máy trạm và máy chủ trong toàn doanh nghiệp. Có khá nhiều cách cấu hình mà chúng ta có thể thực hiện để hạn chế được hay nói cách khác là kiểm soát được các tài khoản này. Tuy nhiên vấn đề quan trọng là cần phải làm gì, những cấu hình nào có ý nghĩa đối với bạn và những gì không nên thực hiện khi nói đến các tài khoản quản trị trong toàn tổ chức. Đây, chúng tôi sẽ trả lời tất cả các câu hỏi đó để bảo đảm rằng bạn có thể tạo được các cấu hình thích hợp cũng như biết những gì mà bạn có thể để mở. Các tài khoản quản trị nằm ở đâu? Trước khi bắt đầu hạn chế các tài khoản quản trị trên mạng, thì bạn cần phải hiểu được chúng nằm ở đâu và chúng có những đặc quyền gì. Đầu tiên chúng ta phải bắt đầu bằng việc quan sát trên các máy trạm và máy chủ trong tổ chức. Tất cả máy tính chạy Windows đều có một tài khoản quản trị được cấu hình ở phần cài đặt. Tài khoản này là tài khoản có mức cao nhất mà bạn có ở mỗi máy tính. Tài khoản này có tư cách hội viên trong nhóm quản trị, được ban cho quyền điều khiển cao nhất trên máy tính đó. Cũng có các tài khoản quản trị được cấu hình trong Active Directory. Miền đầu tiên được cấu hình trong Active Directory doanh nghiệp của bạn có một tài khoản quản trị đặc biệt. Lý do nó đặc biệt là do các nhóm mà nó có tư cách hội viên trong đó. Tài khoản quản trị ban đầu này có tư cách hội viên trong các nhóm bảo mật chính dưới đây:  Administrators  Domain Admins  Enterprise Admins  Schema Admins Miền ban đầu gồm cả các nhóm Enterprise Admins và Schema Admins. Mỗi miền thêm vào sẽ có một tài khoản quản trị với tư cách là hội viên trong nhóm Domain Admins và Administrator Các quản trị viên có thể thực hiện những gì Bây giờ chúng ta đã biết nơi các tài khoản quản trị cư trú, vậy chúng có thể thực hiện những gì? Các tài khoản quản trị viên cục bộ có đầy đủ quyền truy nhập trên chính máy tính mà nó đang tồn tại. Điều đó có nghĩa là chúng có thể thay đổi bất cứ tài nguyên nào trên máy tính như các dịch vụ, tài khoản, tài nguyên, ứng dụng và các file được lưu trong máy tính. Các tài khoản quản trị viên trong Active Directory có cùng một quyền ngang nhau. Khi các tài khoản đó có quyền điều khiển mức miền hoặc cao hơn, chúng không chỉ kiểm soát các dịch vụ, tài khoản, tài nguyên, ứng dụng và các file được lưu trong bộ điều khiển miền, mà còn với bất kỳ máy tính nào trong miền tương ứng. Quản trị viên nằm trong miền ban đầu của Active Directory cũng có quyền lực này trên mỗi máy tính riêng trong toàn bộ mạng tài khoản. Và quản trị doanh nghiệp có thể kiểm soát tất cả các khía cạnh của mạng tài khoản này. Kiểm soát các tài khoản quản trị viên Như bạn có thể thấy, các tài khoản quản trị viên có rất nhiều quyền lực. Chính vì vậy bạn cần phải bảo vệ tài khoản này. Có rất nhiều tùy chọn để giảm được rủi ro có liên quan đến việc bị tấn công hay bị thỏa hiệp tài khoản này. Các đề xuất này có thể dường như là công việc mở rộng, các phương pháp hoặc khái niện không hiệu quả có thể làm cho bạn giảm năng suất. Khi xem xét đến bất cứ khái niệm bảo mật nào bạn sẽ phải có kế hoạch nhất định. Bảo mật hoàn toàn không dễ dàng gì, nếu nó dễ thì chúng ta đã không phải quan tâm quá nhiều đến nó như vậy. Vậy bạn phải thực hiện những gì để bảo vệ các tài khoản quản trị viên trong môi trường của mình? Đầu tiên, không sử dụng các tài khoản quản trị viên. Các tài khoản này chỉ nên được sử dụng để thiết lập môi trường ban đầu, sau khi thiết lập bạn cần phải đưa “tài khoản người dùng thông thường” vào nhóm quản trị viên hoặc một trong những hội viên của nhóm quản trị khác nhau. Điều này sẽ đạt được các kết quả giống nhau và không cần sử dụng “tài khoản quản trị viên thực sự”. Thứ hai, không sử dụng “tài khoản người dùng bình thường” được đặt trong Administrator hoặc một trong các nhóm quản trị khác theo định kỳ và nhiệm vụ người dùng chuẩn. Kiểm tra email, viết các bản ghi nhớ, dẫn chứng tư liệu,… nên được thực hiện với tài khoản người dùng chuẩn mà không cần cho tài khoản quản trị. Điều này yêu cầu cần phải có tài khoản song song cho các quản trị viên. Một giải pháp luân phiên để thực hiện điều đó là sử dụng Vista với UAC được kích hoạt. Ở Vista, UAC là một công nghệ lý tưởng cho việc giải quyết vấn đề này. Thứ ba, vô hiệu hóa tài khoản quản trị viên – Administrator. Bạn chỉ có thể thực hiện việc này với Windows XP và Server 2003, được thể hiện bằng một thiết lập trong Group Policy Object, xem hình 1. Hình 1: Với Group Policy Object, bạn có thể vô hiệu hóa bất kỳ tài khoản quản trị viên nào Tôi sẽ phải đưa ra một số cảnh báo trước khi bạn vô hiệu hóa tài khoản này. Đầu tiên, bạn cần bảo đảm tạo một tài khoản quản trị khác trước khi vô hiệu hóa tài khoản này. Nếu không thực hiện điều này thì bạn sẽ khóa chính bản thân bạn ở bên ngoài hệ thống khi tạo một tài khoản kiểu quản trị viên khác. Kế đến, bạn cần xem xét những gì sẽ phải thực hiện đối với các kế hoạch khôi phục khi xảy ra tình huống xấu. Không có tài khoản quản trị viên, bạn có thể sẽ không có quyền truy cập vào một số file, dịch vụ và các công cụ khôi phục thảm họa nào đó. Thứ tư, thiết lập Active Directory và thành phần được ủy thác Group Policy thay vì chỉ ném các tài khoản người dùng vào nhóm quản trị miền. Trong hầu hết các trường hợp, bạn có thể sử dụng công cụ ủy thác và các kỹ thuật để cho quản trị viên quyền điều khiển trên Active Directory và Group Policy. Hình 2 và hình 3 thể hiện cho bạn giao diện cho các vùng điều khiển ủy thác. Hình 2: Ủy thác Active Directory Hình 3: Ủy thác Group Policy Thứ năm, bạn nên kích hoạt việc thẩm định đối với các tài nguyên, nơi mà các quản trị viên không có quyền truy cập, và không nên chấp nhận sự tự truy cập của bản thân họ. Những gì sẽ phải thực hiện ở đó là giúp bảo vệ được tài nguyên ở những nơi mà các quản trị viên không nên có quyền truy cập trực tiếp. Điều này có thể là một giải pháp thông minh cho các file có liên quan đến HR, tài chính, quản trị, cổ phần của công ty,… Hãy nhớ những gì chúng ta đã thảo luận trong phần trước đối với các tài khoản quản trị viên khác và sự truy cập của họ. Một quản trị việc không được liệt kê trong danh sách trên một tài nguyên không có nghĩa rằng họ không thể thự bổ sung thêm bản thân họ. Bạn có thể kích hoạt việc thẩm định trên bất kỳ máy tính nào bằng Group Policy như những gì thể hiện trên hình 4. Hình 4: Thẩm định để kiểm tra sự truy cập của các quản trị viên Thứ sáu, các tài khoản quản trị viên và tất cả tài khoản người dùng đã cấu hình với quyền quản trị viên cần phải có mật khẩu bảo vệ tốt. Các mật khẩu đó cũng cần được thay đổi thường xuyên. Không đưa ra thời hạn hết hạn của mật khẩu sẽ không tốt cho việc bảo mật ở đây. Cuối cùng, một mẹo cần phải chỉ ra cho các bạn không thực sự là một sự cấu hình hay thiết lập, mà đơn giản chỉ cần bảo vệ công ty và các tài nguyên của công ty với tất cả chi phí có thể. Nếu có một cảm giác không tốt về một quản trị viên hoặc một ai đó có quyền quản trị viên thì bạn phải có các biện pháp đối với họ, có thể mạnh đến mức đào thải. Đó thực sự là một điều khó khăn nhưng nếu ai đó không thể tin tưởng thì họ phải bị thay thế ra khỏi môi trường của bạn để đảm bảo an toàn cho toàn công ty. Kết luận Các tài khoản quản trị viên và nhóm quản trị có liên quan rất mạnh mẽ trong môi trường Windows. Các tài khoản này có nhiều quyền năng hơn những gì bạn vẫn thường nghĩ về nó. Bạn có thể bảo vệ môi trường của mình có nghĩa là phải kiểm soát chặt chẽ được các tài khoản đó. Chính vì vậy bạn cần phải quan tâm đến tất cả các chú ý mà chúng tôi đã giới thiệu trên để bảo vệ chúng, tuy một số tùy chọn có thể làm giảm hiệu quả và có thể phát sinh ra nhiều công đoạn cho tất cả các quản trị viên mỗi khi họ muốn thực hiện nhiệm vụ cần đến quyền truy cập cao. Nhưng xét tổng thể, để kiểm soát được các tài khoản kiểu quản trị viên thì đó là một nhu cầu cần thiết. Bạn cần thực hiện hành động bảo vệ này ngay lập tức trước khi mạng của bạn bị phá hoại như trường hợp trong câu “mất bò mới lo làm chuồng”! . Giảm mặt tấn công của các tài khoản quản trị viên Chúng ta đã thấy được có một xu hướng mới đang đến với mạng công ty đó là các nhà quản trị mạng muốn hạn chế được những gì mà tài khoản. cạnh của mạng tài khoản này. Kiểm soát các tài khoản quản trị viên Như bạn có thể thấy, các tài khoản quản trị viên có rất nhiều quyền lực. Chính vì vậy bạn cần phải bảo vệ tài khoản. tra sự truy cập của các quản trị viên Thứ sáu, các tài khoản quản trị viên và tất cả tài khoản người dùng đã cấu hình với quyền quản trị viên cần phải có mật khẩu bảo vệ tốt. Các mật khẩu đó