Tiered Administration คืออะไร ทำไมองค์กรใหญ่ต้องใช้

① Tiered Administration คืออะไร

Tiered Administration คือแนวทางการแบ่งระดับการบริหารระบบ IT ออกเป็นหลายชั้น เพื่อป้องกันไม่ให้สิทธิ์ระดับสูงถูกนำไปใช้งานในพื้นที่ที่มีความเสี่ยงต่ำกว่า

แนวคิดหลักคือ

แยกระบบสำคัญออกจากระบบทั่วไป

และ

Admin แต่ละระดับ
ไม่ควรข้ามไปบริหารอีกระดับหนึ่ง

แนวทางนี้ถูกใช้งานในองค์กรระดับ Enterprise ทั่วโลก รวมถึงหน่วยงานรัฐบาล ธนาคาร และองค์กรที่มีข้อกำหนดด้าน Cybersecurity สูง

---

② ทำไมต้องใช้ Tiered Administration

ปัญหาที่พบบ่อยในหลายองค์กร

คือ

Admin ใช้ Account เดียว

ในการ

• Login Domain Controller
• Login Server
• Login PC
• เปิด Email
• เข้าเว็บไซต์

หากเครื่อง PC ติด Malware

Credential ของ Admin อาจถูกขโมยได้ทันที

และนำไปใช้โจมตี Active Directory ทั้งองค์กร

Tiered Administration ถูกสร้างขึ้นมาเพื่อลดความเสี่ยงนี้

---

③ แนวคิดของ Security Boundary

Tiered Administration สร้าง Security Boundary ระหว่างระบบ

หลักการคือ

ยิ่งระบบสำคัญมาก
ยิ่งต้องแยกออกจากระบบทั่วไป

ตัวอย่าง

Domain Controller

มีความสำคัญสูงกว่า

File Server

และ

File Server

มีความสำคัญสูงกว่า

Workstation

ดังนั้นจึงไม่ควรใช้ Account เดียวกันบริหารทั้งหมด

---

④ Tier 0 คืออะไร

Tier 0 คือระดับที่สำคัญที่สุด

ประกอบด้วย

✅ Domain Controller

✅ Active Directory

✅ Enterprise Admin

✅ Domain Admin

✅ PKI

✅ ADFS

✅ Identity Infrastructure

ตัวอย่าง

DC01
DC02
Forest Root

หาก Tier 0 ถูกยึด

ผู้โจมตีอาจควบคุมองค์กรทั้งระบบได้

---

⑤ Tier 1 คืออะไร

Tier 1 คือกลุ่ม Server ต่าง ๆ

ตัวอย่าง

✅ File Server

✅ SQL Server

✅ Application Server

✅ Web Server

✅ Hyper-V Host

ตัวอย่าง

FS01
SQL01
APP01
HV01

ผู้ดูแล Tier 1 ไม่ควรมีสิทธิ์บน Tier 0

---

⑥ Tier 2 คืออะไร

Tier 2 คือกลุ่ม Workstation และอุปกรณ์ปลายทาง

ตัวอย่าง

✅ PC

✅ Laptop

✅ Kiosk

✅ Thin Client

ตัวอย่าง

PC001
PC002
LAPTOP001

นี่คือระดับที่มีความเสี่ยงต่อ Malware มากที่สุด

---

⑦ หลักการสำคัญของ Tiered Administration

หลักการสำคัญคือ

No Cross-Tier Administration

หมายถึง

Admin ของ Tier หนึ่ง

ไม่ควร Login ไปยังอีก Tier หนึ่ง

ตัวอย่าง

❌ Domain Admin Login เข้า PC ผู้ใช้

❌ Server Admin Login เข้าเครื่องทั่วไป

❌ Tier 0 Admin เปิด Email

---

⑧ แยก Account ตาม Tier

Best Practice

Admin 1 คน

อาจมีหลาย Account

ตัวอย่าง

somchai

ใช้งานทั่วไป

t1.somchai

บริหาร Server

t0.somchai

บริหาร Active Directory

ช่วยลดโอกาส Credential Theft

ได้อย่างมาก

---

⑨ แยกเครื่องบริหารตาม Tier

ไม่ใช่แค่ Account

แต่รวมถึงเครื่องที่ใช้บริหารด้วย

ตัวอย่าง

Tier 0

PAW-T0

Tier 1

ADMIN-T1

Tier 2

HELPDESK-T2

ทำให้การโจมตีข้าม Tier ทำได้ยากขึ้น

---

⑩ Tier 0 ควรมี Privileged Access Workstation

Microsoft แนะนำให้ใช้

PAW

หรือ

Privileged Access Workstation

สำหรับ Tier 0

โดยเฉพาะ

เครื่องเหล่านี้

• ไม่ใช้ Email
• ไม่เปิด Web ทั่วไป
• ไม่ใช้ Social Media

ใช้บริหารระบบสำคัญเท่านั้น

---

⑪ Tiered Administration ช่วยป้องกันอะไรได้บ้าง

ช่วยลดความเสี่ยงจาก

✅ Pass-the-Hash

✅ Pass-the-Ticket

✅ Credential Theft

✅ Lateral Movement

✅ Ransomware

✅ Privilege Escalation

ซึ่งเป็นเทคนิคที่ผู้โจมตีนิยมใช้มากที่สุด

---

⑫ ตัวอย่างการโจมตีที่ Tiered Administration ป้องกันได้

สถานการณ์

พนักงานเปิดไฟล์แนบอันตราย

เครื่องติด Malware

ผู้โจมตีพยายามขโมย Credential

หาก Domain Admin เคย Login เครื่องนั้น

ผู้โจมตีอาจยึด Active Directory ได้

แต่หากใช้ Tiered Administration

Tier 0 Admin จะไม่เคย Login เครื่องดังกล่าว

ทำให้ Credential ไม่อยู่ในเครื่อง

และลดความเสียหายได้อย่างมาก

---

⑬ การจัดการ Group Policy สำหรับ Tier

องค์กรระดับ Enterprise มักสร้าง GPO แยก

ตัวอย่าง

Tier0 Security Policy

Tier1 Security Policy

Tier2 Security Policy

แต่ละ Tier จะมีมาตรการด้าน Security แตกต่างกัน

ตามระดับความสำคัญของระบบ

---

⑭ ข้อผิดพลาดที่พบบ่อย

❌ Domain Admin ใช้งานทุกวัน

❌ ใช้ Account เดียวทุกระบบ

❌ Tier 0 Admin เปิด Email

❌ ไม่มี PAW

❌ ไม่มี MFA

❌ ไม่มี Monitoring

❌ ไม่มี Tier Separation

ข้อผิดพลาดเหล่านี้ทำให้การโจมตีลุกลามได้ง่าย

---

⑮ แนวทางที่องค์กรระดับโลกนิยมใช้

องค์กรระดับ Enterprise นิยมใช้

Tier 0
Identity Infrastructure

Tier 1
Server Infrastructure

Tier 2
User Devices

ร่วมกับ

MFA

PAW

Zero Trust

Privileged Access Management

เพื่อเพิ่มความปลอดภัยสูงสุด

---

⑯ ความสัมพันธ์กับ Zero Trust

Tiered Administration ถือเป็นพื้นฐานสำคัญของ

Zero Trust Architecture

เพราะใช้แนวคิด

Never Trust
Always Verify

และจำกัดสิทธิ์ตามความจำเป็น

ทำให้ผู้โจมตีเคลื่อนที่ภายในเครือข่ายได้ยากขึ้น

---

⑰ สรุป

Tiered Administration เป็นหนึ่งในแนวทางด้าน Security ที่มีประสิทธิภาพมากที่สุดสำหรับองค์กรที่ใช้ Active Directory โดยช่วยแยกระดับสิทธิ์ แยกระบบ และลดโอกาสที่ผู้โจมตีจะสามารถไต่ระดับสิทธิ์จากเครื่องผู้ใช้ทั่วไปไปยัง Domain Controller ได้

จากประสบการณ์ของ comsiam องค์กรจำนวนมากยังคงใช้ Domain Admin ในการทำงานประจำวัน ซึ่งเป็นความเสี่ยงด้าน Security ที่สูงมาก และ comsiam มักแนะนำให้เริ่มใช้ Tiered Administration ควบคู่กับ MFA และ Privileged Access Workstation เพื่อยกระดับความปลอดภัยของ Active Directory อย่างเป็นรูปธรรม

คำถามชวนคิด

หากวันนี้เครื่อง Laptop ของผู้ดูแลระบบติด Malware คุณมั่นใจหรือไม่ว่า Credential ของ Domain Admin จะไม่ถูกเก็บอยู่ในเครื่องนั้น?