กันแฮกเกอร์ด้วย Conditional Access บน Windows Server 2025

Conditional Access เป็นหนึ่งในฟีเจอร์ด้านความปลอดภัยที่ทรงพลังที่สุดของ Microsoft Entra ID เพราะช่วยให้องค์กรสามารถกำหนดเงื่อนไขการเข้าถึงระบบได้อย่างละเอียด เช่น ใครเข้าได้ จากที่ไหน เข้าได้เมื่อไร และต้องผ่านการยืนยันตัวตนแบบใด

ในอดีตหากแฮกเกอร์ขโมย Username และ Password ได้สำเร็จ ก็อาจเข้าถึงระบบได้ทันที แต่ Conditional Access เพิ่มชั้นการป้องกันอีกหลายระดับ ทำให้แม้รหัสผ่านจะรั่ว ก็ยังไม่สามารถเข้าถึงทรัพยากรสำคัญขององค์กรได้ง่าย

สำหรับ Windows Server 2025 ที่ทำงานร่วมกับ Microsoft Entra ID และ Hybrid Identity การใช้ Conditional Access ถือเป็น Best Practice ด้าน Security ที่องค์กรสมัยใหม่ควรเปิดใช้งาน

① Conditional Access คืออะไร

Conditional Access คือระบบ

If
Then

ของ Microsoft

ตัวอย่าง

ถ้าล็อกอินจากนอกบริษัท
→ ต้องใช้ MFA

หรือ

ถ้ามาจากประเทศเสี่ยง
→ บล็อกทันที

② Conditional Access ทำงานอย่างไร

Microsoft จะประเมิน

• User
• Device
• Location
• Risk Level
• Application

ก่อนอนุญาตให้เข้าถึงระบบ

③ ทำไมต้องใช้ Conditional Access

ข้อดีสำคัญ

• ลดความเสี่ยงจาก Password Leak
• ป้องกันการโจมตีจากต่างประเทศ
• เพิ่มความปลอดภัยให้ Server
• รองรับ Zero Trust
• ควบคุมการเข้าถึงได้ละเอียด

④ สิ่งที่ต้องเตรียม

ก่อนเริ่ม

ต้องมี

• Windows Server 2025
• Microsoft Entra ID
• Hybrid Identity
• MFA

และสิทธิ์

Conditional Access Administrator

⑤ เข้าเมนู Conditional Access

เข้าสู่ Azure Portal

เลือก

Microsoft Entra ID

จากนั้น

Protection
→ Conditional Access

⑥ สร้าง Policy ใหม่

เลือก

Create New Policy

ตั้งชื่อ

ตัวอย่าง

Require MFA for Server Access

⑦ กำหนดผู้ใช้

เลือก

Users

สามารถเลือก

• All Users
• Specific Users
• Specific Groups

ได้ตามต้องการ

⑧ กำหนด Application

เลือก

Cloud Apps

เช่น

• Azure Portal
• Azure Virtual Desktop
• Microsoft 365

หรือระบบที่เชื่อมกับ Entra ID

⑨ กำหนด Location

สามารถกำหนด

Named Locations

เช่น

• สำนักงานใหญ่
• Data Center
• VPN Network

⑩ บังคับ MFA

ใน

Grant Access

เลือก

Require Multi-Factor Authentication

ผู้ใช้จะต้องยืนยันตัวตนเพิ่มเติม

ทุกครั้งตามเงื่อนไข

⑪ บล็อกจากต่างประเทศ

สามารถสร้าง Policy

Block High-Risk Countries

เพื่อบล็อกประเทศ

ที่องค์กรไม่ได้ใช้งาน

ลดความเสี่ยงจากการโจมตีได้มาก

⑫ จำกัดอุปกรณ์ที่ไม่ปลอดภัย

สามารถกำหนด

Require Compliant Device

เฉพาะเครื่องที่ผ่านมาตรฐานองค์กร

จึงจะเข้าใช้งานได้

⑬ ใช้ร่วมกับ Windows Server 2025

เมื่อ Windows Server 2025

ทำงานร่วมกับ Hybrid Identity

Conditional Access สามารถควบคุม

การเข้าถึงระบบที่เกี่ยวข้องกับ Server

ได้อย่างมีประสิทธิภาพ

⑭ เปิด Risk-Based Access

Microsoft วิเคราะห์

• Impossible Travel
• Anonymous IP
• Suspicious Login

อัตโนมัติ

หากพบความเสี่ยง

สามารถบังคับ MFA หรือบล็อกได้ทันที

⑮ ใช้กับ Administrator

บัญชี Admin ควรมี Policy แยก

เช่น

Admin Always Require MFA

เพื่อเพิ่มความปลอดภัยสูงสุด

⑯ ทดสอบ Policy

ก่อนเปิดใช้งานจริง

ควรใช้

Report-Only Mode

เพื่อดูผลกระทบ

โดยไม่บล็อกผู้ใช้จริง

⑰ ตรวจสอบ Sign-In Logs

ไปที่

Sign-In Logs

สามารถดูได้ว่า

Policy ทำงานอย่างไร

และมีการบล็อกใครบ้าง

⑱ ปัญหาที่พบบ่อย

ผู้ใช้เข้าไม่ได้

ตรวจสอบ

• Policy Assignment
• MFA
• Location

MFA ไม่ขึ้น

ตรวจสอบ

• Authentication Method
• User Registration

Policy ไม่ทำงาน

ตรวจสอบ

Report-Only Result

ก่อน

⑲ ตัวอย่าง Policy ที่ควรมี

Require MFA

สำหรับผู้ใช้ทุกคน

Admin MFA

สำหรับผู้ดูแลระบบ

Block Legacy Authentication

ปิดการใช้งาน Protocol เก่า

Country Restriction

บล็อกประเทศที่ไม่เกี่ยวข้อง

⑳ Best Practices

แนวทางที่แนะนำ

• เปิด MFA ทุกบัญชี
• ใช้ Conditional Access ทุกองค์กร
• แยก Policy สำหรับ Admin
• ใช้ Report-Only ก่อนใช้งานจริง
• เปิด Risk-Based Access
• ตรวจสอบ Sign-In Logs ทุกสัปดาห์

แนวทางเหล่านี้ช่วยลดความเสี่ยงจากการโจมตีทางไซเบอร์ได้อย่างมาก

㉑ ตัวอย่างการป้องกันที่ได้ผลจริง

ตัวอย่าง

Password รั่ว

แต่ผู้โจมตีอยู่ต่างประเทศ

Conditional Access

สามารถ

Block Access

ได้ทันที

ก่อนเข้าถึง Server หรือข้อมูลสำคัญ

นี่คือเหตุผลที่องค์กรขนาดใหญ่ทั่วโลกใช้งานฟีเจอร์นี้

㉒ สรุป

Conditional Access เป็นกลไกควบคุมการเข้าถึงของ Microsoft Entra ID ที่ช่วยเพิ่มความปลอดภัยให้ Windows Server 2025 และระบบ Hybrid Identity โดยสามารถกำหนดเงื่อนไขตามผู้ใช้ อุปกรณ์ ตำแหน่งที่ตั้ง และระดับความเสี่ยง พร้อมรองรับ MFA และ Zero Trust Security ทำให้องค์กรสามารถลดโอกาสการถูกโจมตีได้อย่างมีประสิทธิภาพ

comsiam มองว่า Conditional Access เป็นหนึ่งในฟีเจอร์ที่คุ้มค่าที่สุดของ Microsoft Entra ID เพราะช่วยป้องกันการโจมตีได้ตั้งแต่ก่อนที่ผู้ไม่หวังดีจะเข้าถึงระบบสำคัญขององค์กร

㉓ คำถามชวนคิด

หากวันนี้รหัสผ่านของพนักงานคนหนึ่งรั่วบนอินเทอร์เน็ต คุณมั่นใจหรือไม่ว่าผู้ไม่หวังดีจะไม่สามารถใช้รหัสผ่านนั้นเข้ามายังระบบสำคัญขององค์กรได้?