ป้องกันการโจมตี Active Directory ที่องค์กรต้องรู้

① ทำไม Active Directory จึงเป็นเป้าหมายหลักของผู้โจมตี

สำหรับองค์กรที่ใช้ Windows Server

Active Directory คือศูนย์กลางของ

• Identity
• Authentication
• Authorization
• Access Control

หากผู้โจมตีสามารถยึด Active Directory ได้

แทบจะสามารถควบคุมระบบทั้งหมดขององค์กรได้ทันที

ไม่ว่าจะเป็น

✅ Server

✅ PC

✅ File Server

✅ VPN

✅ Database

✅ Microsoft 365 Hybrid

✅ ระบบงานภายใน

ด้วยเหตุนี้ Active Directory จึงเป็นเป้าหมายอันดับต้น ๆ ของ Ransomware และ Advanced Persistent Threat (APT)

---

② รูปแบบการโจมตีที่พบบ่อย

การโจมตี Active Directory ไม่ได้เริ่มต้นจาก Domain Controller เสมอไป

หลายครั้งเริ่มจาก

User PC

เพียงเครื่องเดียว

จากนั้นผู้โจมตีจะค่อย ๆ ขยายสิทธิ์

จนไปถึง Domain Admin

กระบวนการนี้เรียกว่า

Privilege Escalation

---

③ Password Attack

การโจมตีที่พบบ่อยที่สุด

คือ

Password Attack

เช่น

• Password Spraying
• Brute Force
• Credential Stuffing

ตัวอย่าง

Summer2024

Welcome123

Password123

ยังคงถูกใช้ในหลายองค์กร

ซึ่งเป็นความเสี่ยงอย่างมาก

---

④ Pass-the-Hash Attack

ผู้โจมตีไม่จำเป็นต้องรู้ Password จริง

เพียงได้

NTLM Hash

ก็สามารถปลอมตัวเป็นผู้ใช้ได้

การโจมตีลักษณะนี้

เรียกว่า

Pass-the-Hash

และยังพบได้ในองค์กรจำนวนมาก

---

⑤ Pass-the-Ticket Attack

Kerberos ใช้ Ticket ในการ Authentication

หาก Ticket ถูกขโมย

ผู้โจมตีอาจเข้าถึงระบบต่าง ๆ ได้

โดยไม่ต้องทราบ Password

เรียกว่า

Pass-the-Ticket

---

⑥ Kerberoasting

การโจมตีที่ได้รับความนิยมมาก

คือ

Kerberoasting

โดยผู้โจมตีจะพยายามดึงข้อมูล

Service Account

ออกมา

และนำไปถอดรหัส Password แบบ Offline

หาก Service Account ใช้ Password อ่อน

ความเสี่ยงจะสูงมาก

---

⑦ Golden Ticket Attack

หนึ่งในการโจมตีที่ร้ายแรงที่สุด

คือ

Golden Ticket

หากผู้โจมตีได้

KRBTGT Account Hash

จะสามารถสร้าง Kerberos Ticket ปลอมได้

และอาจควบคุม Forest ทั้งระบบ

---

⑧ Silver Ticket Attack

คล้ายกับ Golden Ticket

แต่กระทบเฉพาะ Service บางตัว

เรียกว่า

Silver Ticket

แม้จะมีขอบเขตเล็กกว่า

แต่ยังถือเป็นภัยคุกคามร้ายแรง

---

⑨ Least Privilege Principle

แนวทางสำคัญที่สุด

ในการป้องกัน Active Directory

คือ

Least Privilege

หรือ

ให้สิทธิ์เท่าที่จำเป็น

ตัวอย่าง

❌ Domain Admin ทุกคน

✅ Admin ตามหน้าที่

ช่วยลดพื้นที่โจมตีได้อย่างมาก

---

⑩ แยก Admin Account

Best Practice

คือ

User Account

แยกจาก

Admin Account

ตัวอย่าง

somchai

สำหรับใช้งานทั่วไป

และ

adm.somchai

สำหรับงาน Admin

ช่วยลดความเสี่ยงจากการถูกขโมย Credential

---

⑪ ใช้ Tiered Administration

องค์กรระดับ Enterprise นิยมใช้

Tier 0

Domain Controller

Tier 1

Server

Tier 2

Workstation

และไม่ให้ Admin ข้าม Tier

ช่วยลดโอกาสการโจมตีแบบ Lateral Movement

---

⑫ ใช้ Privileged Access Workstation

PAW หรือ

Privileged Access Workstation

คือเครื่องสำหรับ Admin โดยเฉพาะ

ใช้บริหาร

• Domain Controller
• Active Directory
• Security Infrastructure

ไม่ใช้เล่น Internet

ไม่ใช้เปิด Email

ช่วยลดความเสี่ยงจาก Malware ได้มาก

---

⑬ เปิด Multi-Factor Authentication

MFA เป็นมาตรการที่สำคัญมาก

โดยเฉพาะ

• Admin Account
• VPN
• Remote Access
• Microsoft 365 Hybrid

แม้ Password จะรั่วไหล

ผู้โจมตีก็ยังเข้าระบบได้ยากขึ้น

---

⑭ ป้องกัน Service Account

Service Account ควร

✅ ใช้ Password ยาว

✅ เปลี่ยน Password สม่ำเสมอ

✅ จำกัดสิทธิ์

✅ Audit การใช้งาน

องค์กรจำนวนมากถูกโจมตีผ่าน Service Account ที่ถูกลืม

---

⑮ เปิด Audit และ Monitoring

สิ่งที่ควรติดตาม

✅ Failed Login

✅ Privileged Group Change

✅ Account Lockout

✅ Kerberos Error

✅ Replication Change

✅ GPO Change

ควรส่ง Log ไปยังระบบ SIEM

เพื่อวิเคราะห์เหตุการณ์ได้รวดเร็วขึ้น

---

⑯ ป้องกัน Domain Controller

Domain Controller ควรมี

✅ BitLocker

✅ Secure Boot

✅ TPM

✅ Firewall

✅ Endpoint Protection

✅ Physical Security

รวมถึงการจำกัดการเข้าถึง Console

---

⑰ ตรวจสอบ Active Directory เป็นประจำ

ควรมี

AD Security Assessment

อย่างน้อยปีละ 1–2 ครั้ง

เพื่อค้นหา

• Weak Permission
• Misconfiguration
• Privilege Escalation Path

ก่อนที่ผู้โจมตีจะค้นพบ

---

⑱ ข้อผิดพลาดที่พบบ่อย

❌ ใช้ Domain Admin ทุกวัน

❌ ไม่มี MFA

❌ Password อ่อน

❌ ไม่มี Monitoring

❌ ไม่แยก Admin Account

❌ ไม่ใช้ Tiered Administration

❌ ไม่ตรวจสอบ Service Account

❌ ไม่เคย Audit Active Directory

ปัญหาเหล่านี้เป็นช่องทางโจมตีอันดับต้น ๆ ขององค์กรทั่วโลก

---

⑲ แนวทางที่องค์กรระดับโลกนิยมใช้

องค์กรระดับ Enterprise มักใช้

Tiered Administration

ร่วมกับ

MFA

Privileged Access Workstation

Security Monitoring

Zero Trust

เพื่อป้องกัน Active Directory จากภัยคุกคามสมัยใหม่

---

⑳ สรุป

Active Directory เป็นเป้าหมายสำคัญของผู้โจมตี เพราะเป็นศูนย์กลางของการยืนยันตัวตนและการกำหนดสิทธิ์ในองค์กร การป้องกันที่ดีจึงไม่ใช่เพียงการตั้ง Password ที่แข็งแรง แต่ต้องรวมถึงการแยกสิทธิ์ การใช้ MFA การตรวจสอบ Log และการออกแบบ Security Architecture อย่างเหมาะสม

จากประสบการณ์ของ comsiam องค์กรจำนวนมากยังคงมีความเสี่ยงจากการใช้ Domain Admin มากเกินไป และ comsiam มักแนะนำให้เริ่มต้นจากการใช้ Least Privilege, MFA และ Tiered Administration ก่อนเป็นลำดับแรก เพราะเป็นมาตรการที่ให้ผลลัพธ์ด้านความปลอดภัยสูงที่สุดเมื่อเทียบกับต้นทุนที่ลงทุน

คำถามชวนคิด

หากวันนี้เครื่องคอมพิวเตอร์ของพนักงานคนหนึ่งติด Malware คุณมั่นใจหรือไม่ว่าผู้โจมตีจะไม่สามารถไต่ระดับสิทธิ์จนเข้าถึง Domain Admin และควบคุม Active Directory ทั้งองค์กรได้?