วิธีใช้ Microsoft Defender for Identity บน Windows Server 2025 ตรวจจับการโจมตี Active Directory และภัยคุกคามภายในองค์กร

Active Directory เป็นหัวใจสำคัญของระบบ Windows ในองค์กร และเป็นหนึ่งในเป้าหมายอันดับต้น ๆ ของผู้โจมตี เพราะหากสามารถยึดครอง Active Directory ได้ ก็อาจควบคุมผู้ใช้ เครื่องคอมพิวเตอร์ เซิร์ฟเวอร์ และทรัพยากรส่วนใหญ่ขององค์กรได้

Microsoft Defender for Identity (MDI) ถูกออกแบบมาเพื่อช่วยตรวจจับพฤติกรรมที่น่าสงสัย การโจมตีแบบ Credential Theft การเคลื่อนที่ภายในเครือข่าย (Lateral Movement) และการโจมตี Active Directory ในระยะเริ่มต้น ก่อนที่จะลุกลามเป็นเหตุการณ์ร้ายแรง

สำหรับองค์กรที่ใช้ Active Directory บน Windows Server 2025 การมีระบบตรวจจับภัยคุกคามระดับ Identity ถือเป็นหนึ่งในองค์ประกอบสำคัญของ Zero Trust Security

① Microsoft Defender for Identity คืออะไร

Microsoft Defender for Identity คือระบบ

Identity Threat Detection and Response

หรือ

ITDR

ที่ช่วยตรวจจับ

• Credential Theft
• Pass-the-Hash
• Pass-the-Ticket
• Reconnaissance
• Lateral Movement
• Privilege Escalation

ภายใน Active Directory

② Defender for Identity ทำงานอย่างไร

ระบบจะรวบรวมข้อมูลจาก

• Domain Controller
• Active Directory
• Authentication Traffic
• Security Events

จากนั้นวิเคราะห์ด้วย AI และ Behavioral Analytics

เพื่อค้นหาพฤติกรรมผิดปกติ

③ ทำไม Defender for Identity จึงสำคัญ

หลายการโจมตีไม่ใช้ Malware

แต่ใช้บัญชีผู้ใช้จริง

ตัวอย่าง

• Password ที่รั่วไหล
• NTLM Hash
• Kerberos Ticket

Defender for Identity ถูกออกแบบมาเพื่อค้นหาพฤติกรรมเหล่านี้

④ ภัยคุกคามที่ตรวจจับได้

ตัวอย่าง

Pass-the-Hash

Pass-the-Ticket

Golden Ticket

Silver Ticket

Kerberoasting

DCSync Attack

Reconnaissance Activity

เป็นภัยคุกคามที่ระบบ Antivirus ทั่วไปอาจมองไม่เห็น

⑤ องค์ประกอบหลักของระบบ

ประกอบด้วย

Defender Portal

Identity Sensor

Active Directory

Cloud Analytics

ทำงานร่วมกันเพื่อสร้างภาพรวมของความเสี่ยง

⑥ ข้อกำหนดก่อนติดตั้ง

แนะนำ

• Windows Server 2025
• Active Directory
• Microsoft Defender Environment
• Internet Connectivity

เพื่อเชื่อมต่อข้อมูลไปยังระบบวิเคราะห์

⑦ Identity Sensor คืออะไร

Identity Sensor เป็น Agent

ที่ติดตั้งบน Domain Controller

ทำหน้าที่

• เก็บข้อมูล Authentication
• วิเคราะห์ Traffic
• ส่งข้อมูลไปยัง Defender

ถือเป็นองค์ประกอบสำคัญของระบบ

⑧ วิธีติดตั้ง Identity Sensor

ดาวน์โหลด Sensor

จาก Microsoft Defender Portal

จากนั้นติดตั้งบน

• Domain Controller
• AD Federation Server

ตามคู่มือขององค์กร

⑨ วิธีตรวจสอบสถานะ Sensor

ภายใน Portal

สามารถดู

• Connected
• Healthy
• Warning
• Error

ได้จาก Dashboard

ควรตรวจสอบเป็นประจำ

⑩ การตรวจจับ Reconnaissance

ผู้โจมตีมักเริ่มจากการสำรวจระบบ

ตัวอย่าง

• Enumerate Users
• Enumerate Groups
• Enumerate Computers

Defender for Identity สามารถตรวจจับพฤติกรรมเหล่านี้ได้

⑪ การตรวจจับ Pass-the-Hash

ระบบสามารถวิเคราะห์

• Authentication Pattern
• Credential Usage
• Account Behavior

เพื่อตรวจจับการใช้ Hash ที่ผิดปกติ

ช่วยลดความเสี่ยงจากการยึด Domain

⑫ การตรวจจับ DCSync Attack

DCSync เป็นหนึ่งในการโจมตีที่อันตรายที่สุด

เพราะสามารถดึงข้อมูล Credential จาก Active Directory ได้

Defender for Identity สามารถแจ้งเตือนเหตุการณ์นี้ได้อย่างรวดเร็ว

⑬ การตรวจจับ Kerberoasting

Kerberoasting

เป็นการดึง Service Ticket

เพื่อพยายามถอดรหัส Password

ระบบสามารถตรวจจับรูปแบบพฤติกรรมดังกล่าวได้

⑭ Risk Score คืออะไร

Defender จะคำนวณ

Risk Score

ให้กับ

• User
• Device
• Identity

ช่วยให้ทีม Security จัดลำดับความสำคัญได้ง่ายขึ้น

⑮ Defender for Identity กับ Zero Trust

Zero Trust เน้น

Never Trust, Always Verify

Defender for Identity ช่วยตรวจสอบว่า

Identity ใดกำลังมีความเสี่ยง

และควรได้รับการตรวจสอบเพิ่มเติม

⑯ ข้อผิดพลาดที่พบบ่อย

ติดตั้ง Sensor ไม่ครบ

มองเห็นข้อมูลไม่ครบ

ไม่ตรวจสอบ Alert

พลาดเหตุการณ์สำคัญ

ไม่มี Incident Response Plan

ตอบสนองต่อเหตุการณ์ได้ช้า

ไม่เชื่อมโยงกับ Security Operations

ทำให้ข้อมูลไม่ถูกนำไปใช้

⑰ ประเภท Alert ที่สำคัญ

ตัวอย่าง

• Credential Theft
• Pass-the-Hash
• DCSync
• Suspicious Authentication
• Lateral Movement

ควรกำหนดลำดับความสำคัญในการตอบสนอง

⑱ Best Practice สำหรับองค์กร

• ติดตั้ง Sensor ทุก Domain Controller
• ตรวจสอบ Alert ทุกวัน
• ใช้ร่วมกับ MFA
• ใช้ร่วมกับ Defender for Endpoint
• ตรวจสอบ Risk Score เป็นประจำ
• จัดทำ Incident Response Plan

ทีมงาน comsiam มักแนะนำให้องค์กรที่ใช้ Active Directory เปิดใช้งาน Defender for Identity ควบคู่กับ Credential Guard และ MFA เพื่อเพิ่มความสามารถในการตรวจจับการโจมตีระดับ Identity

จากประสบการณ์ของ comsiam การโจมตีจำนวนมากไม่ได้เริ่มจาก Malware แต่เริ่มจากบัญชีผู้ใช้ที่ถูกยึดครอง ดังนั้นการมองเห็นความผิดปกติด้าน Identity จึงมีความสำคัญอย่างยิ่ง

⑲ FAQ

Defender for Identity ใช้แทน Antivirus ได้หรือไม่

ไม่ได้

ต้องติดตั้งบนทุก Server หรือไม่

หลัก ๆ ติดตั้งบน Domain Controller

ตรวจจับ Pass-the-Hash ได้หรือไม่

ได้

เหมาะกับองค์กรขนาดเล็กหรือไม่

หากมี Active Directory แนะนำให้พิจารณาใช้งาน

⑳ สรุป

Microsoft Defender for Identity เป็นเครื่องมือสำคัญสำหรับ Windows Server 2025 และ Active Directory ที่ช่วยตรวจจับภัยคุกคามระดับ Identity เช่น Pass-the-Hash, DCSync และ Kerberoasting ได้อย่างมีประสิทธิภาพ ช่วยให้องค์กรมองเห็นพฤติกรรมผิดปกติภายในเครือข่ายและตอบสนองต่อเหตุการณ์ได้รวดเร็วยิ่งขึ้น

㉑ คำถามชวนคิด

หากวันนี้มีผู้โจมตีใช้บัญชีผู้ดูแลระบบจริงในการเคลื่อนไหวภายใน Active Directory ของคุณ ระบบจะสามารถแยกแยะได้หรือไม่ว่านั่นคือผู้ดูแลระบบตัวจริง หรือเป็นผู้โจมตีที่กำลังปลอมตัวอยู่?