การบังคับใช้ MFA สำหรับการเข้าสู่ระบบ Windows: จุดสิ้นสุดในพื้นที่ เดสก์ท็อปเสมือน และเซิร์ฟเวอร์ 

คุณทราบหรือไม่ว่าการตรวจสอบสิทธิ์การเข้าสู่ระบบ Windows เกิดขึ้นกี่ครั้งในแต่ละวัน พนักงานทั่วโลกหลายแสนคนใช้การตรวจสอบสิทธิ์นี้เพื่อเข้าถึงแล็ปท็อป เดสก์ท็อป และสภาพแวดล้อมเสมือนจริงเพื่อดำเนินการงานในแต่ละวัน อย่างไรก็ตาม แม้จะมีการนำการตรวจสอบสิทธิ์แบบหลายปัจจัยมาใช้กันอย่างแพร่หลาย การยืนยันตัวตน (MFA) สำหรับแอปพลิเคชันบนคลาวด์ ชั้นที่สำคัญนี้มักไม่ได้รับการปกป้อง 

แม้ว่าความท้าทายด้านความปลอดภัยนี้จะเป็นที่ทราบกันดี แต่สาเหตุที่แท้จริงอยู่ที่ความยากลำบากในการบังคับใช้ MFA ได้ทุกที่ ในสภาพแวดล้อมประเภทต่างๆ โซลูชันดั้งเดิม เช่น Windows Hello สำหรับธุรกิจ อาจต้องมีโครงสร้างพื้นฐานเพิ่มเติม ในขณะที่แพลตฟอร์มเดสก์ท็อปเสมือนจำนวนมากมักไม่มีการสนับสนุน MFA ในตัว ใน OT และสถานที่ห่างไกล การบังคับใช้ MFA อาจท้าทายยิ่งขึ้นเนื่องจากการเชื่อมต่อที่จำกัดหรือไม่สามารถใช้อุปกรณ์พกพาได้ 

ในบล็อกนี้ เราจะสำรวจว่าเหตุใดจึงต้องบังคับใช้ MFA สำหรับ Windows การเข้าสู่ระบบเป็นเรื่องท้าทายมาก และอย่างไร Silverfort สำหรับโซลูชัน Windows Logon ช่วยเอาชนะช่องว่างเหล่านี้ได้

ก่อนที่จะเริ่มงานใด ๆ: ขั้นตอนแรกคือการเข้าสู่ระบบ Windows 

โดยทั่วไป เราจะเห็นการเข้าสู่ระบบ Windows สองประเภทหลักในองค์กร: การเข้าสู่ระบบ Windows ในเครื่องและการเข้าสู่ระบบเดสก์ท็อปเสมือน: 

การเข้าสู่ระบบ Windows ในเครื่อง 

นี่คือกระบวนการลงชื่อเข้าใช้โดยตรงในเครื่อง Windows แต่ละเครื่องโดยใช้ ในประเทศ หรือบัญชีตามโดเมน โดยทั่วไปมักใช้กับอุปกรณ์ส่วนบุคคล แล็ปท็อปที่ทำงาน เทอร์มินัลที่ใช้ร่วมกันในอุตสาหกรรมค้าปลีกหรือการดูแลสุขภาพ และคอมพิวเตอร์ในสภาพแวดล้อม OT  

เครื่องจักรเหล่านี้มักจะทำงานนอกขอบเขตการมองเห็นของระบบระบุตัวตนแบบรวมศูนย์ รวมถึง Active Directory (AD) หรือ IdP สมัยใหม่ ส่งผลให้การบังคับใช้ MFA ไม่สม่ำเสมอ โดยเฉพาะอย่างยิ่งสำหรับบัญชีภายในเครื่องที่ไม่ได้เชื่อมต่อกับโดเมนใดๆ ซึ่งทำให้เครื่องเหล่านี้เสี่ยงต่อการละเมิดข้อมูลประจำตัว  

การเข้าสู่ระบบเดสก์ท็อปเสมือนจริง 

ในกระบวนการนี้ ผู้ใช้จะต้องตรวจสอบสิทธิ์ในสภาพแวดล้อมเสมือนจริง เช่น Azure Virtual Desktop, Citrix หรือเซสชัน Remote Desktop Protocols (RDP) แม้ว่าสภาพแวดล้อมเหล่านี้จะได้รับการจัดการจากศูนย์กลาง แต่กระบวนการเข้าสู่ระบบครั้งแรกยังคงต้องอาศัยเลเยอร์การตรวจสอบสิทธิ์ของ Windows ก่อนที่จะมี MFA เกิดขึ้น  

โครงสร้างพื้นฐานเดสก์ท็อปเสมือนจำนวนมากไม่รองรับ MFA ดั้งเดิมในขั้นตอนนี้ ทำให้เกิดช่องโหว่ด้านความปลอดภัยที่ผู้โจมตีสามารถใช้ประโยชน์ได้ในระหว่างการเข้าถึงระยะไกล หากไม่มีการบังคับใช้ MFA องค์กรต่างๆ จะเปิดเผยข้อมูลและแอปพลิเคชันที่สำคัญต่อผู้โจมตีที่เชื่อมต่อจากอุปกรณ์ที่ไม่ได้รับการจัดการหรือจากภายนอก 

เหตุใดการบังคับใช้ MFA สำหรับการเข้าสู่ระบบ Windows จึงไม่ง่ายนัก 

การบังคับใช้ MFA ทั่วทั้ง Windows Logon อาจดูตรงไปตรงมา แต่ในทางปฏิบัติแล้ว ไม่ใช่แค่ช่องทำเครื่องหมายทางเทคนิคสำหรับทีมงานด้านความปลอดภัยเท่านั้น แม้ว่าแอปพลิเคชัน SaaS เวิร์กโหลดบนคลาวด์ และ VPN จะได้รับการปกป้องด้วยผู้ให้บริการข้อมูลประจำตัวแบบรวมศูนย์ (IdP) แต่ Windows Logon มักถูกละเลย ไม่ได้รับการตรวจสอบและป้องกัน  

ต่างจากแอปพลิเคชันบนคลาวด์ที่ต้องพึ่งพาแพลตฟอร์ม SSO แบบรวมศูนย์ การตรวจสอบสิทธิ์การเข้าสู่ระบบ Windows จะเกิดขึ้นที่ระดับจุดสิ้นสุด ซึ่งการบังคับใช้ MFA และการมองเห็นจะขึ้นอยู่กับโครงสร้างพื้นฐานพื้นฐาน ในหลายกรณี โดยเฉพาะกับเครื่องภายในหรือออฟไลน์ ซึ่งทำให้ทีมงานด้านความปลอดภัยประสบความยากลำบากในการใช้หลักเกณฑ์ที่สอดคล้องกันหรือติดตามกิจกรรมการตรวจสอบสิทธิ์ 

มันแนะนำชุดความท้าทายที่แตกต่างกันขึ้นอยู่กับ ความต้องการโครงสร้างพื้นฐานเพิ่มเติม, ขาดการสนับสนุนดั้งเดิมสำหรับสภาพแวดล้อมเสมือนจริงและ ความเป็นจริงของสถานการณ์ผู้ใช้ออฟไลน์เมื่อคำนึงถึงความเสี่ยงเหล่านี้ ผู้โจมตีมักจะมองหาการตรวจสอบสิทธิ์การเข้าสู่ระบบ Windows ในสภาพแวดล้อมเพื่อเจาะข้อมูลประจำตัวและเริ่มดำเนินการในแนวขวางด้วย การเพิ่มระดับสิทธิ์ ภายหลัง 

มาดูกันโดยละเอียดว่าทำไมการป้องกันการเข้าสู่ระบบ Windows ด้วย MFA ถึงยากกว่าที่คิด 

1. ความต้องการโครงสร้างพื้นฐานเพิ่มเติม: อุปสรรคในการปรับใช้ 

การปกป้องการเข้าสู่ระบบ Windows ด้วย MFA มักต้องใช้โครงสร้างพื้นฐานเพิ่มเติม เช่น การตรวจสอบสิทธิ์โดยใช้ใบรับรอง โครงสร้างพื้นฐานคีย์สาธารณะ (PKI) หรือการลงทะเบียนอุปกรณ์ไบโอเมตริกซ์ ส่วนประกอบเหล่านี้เพิ่มความซับซ้อนในการตั้งค่าและจำกัดความสามารถในการปรับขนาด MFA ในสภาพแวดล้อมที่หลากหลาย สำหรับองค์กรที่มีพนักงานจำกัดหรือไม่มีโครงสร้างพื้นฐานใบรับรองที่มีอยู่ สิ่งนี้จะกลายเป็นคอขวดที่ทำให้การบังคับใช้ MFA ล่าช้าหรือป้องกันการบังคับใช้ได้อย่างสมบูรณ์ ส่งผลให้ชั้นการตรวจสอบสิทธิ์ที่สำคัญถูกเปิดเผยเนื่องจากต้นทุนและความพยายามในการปรับใช้สูงเกินไป 

2. การขาดการสนับสนุนดั้งเดิมในสภาพแวดล้อมเสมือน: ช่องว่างด้านความปลอดภัยสำหรับการเข้าถึงระยะไกล 

ในสภาพแวดล้อมเดสก์ท็อปเสมือน การบังคับใช้ MFA มักขาดหายไปในชั้นการระบุตัวตนเริ่มต้น แพลตฟอร์มเหล่านี้อาจรองรับ MFA ในขั้นตอนหลังๆ เช่น การเข้าถึงแอปพลิเคชันหรือการเริ่มเซสชัน และสิ่งนี้สร้างจุดบอดที่ผู้ใช้สามารถพิสูจน์ตัวตนบนเดสก์ท็อปได้โดยไม่ต้องมีการตรวจยืนยันเพิ่มเติม สำหรับผู้โจมตี นี่คือช่องว่างสำคัญในสถานการณ์การเข้าถึงระยะไกล ซึ่งทำให้สามารถเจาะระบบโดยใช้ข้อมูลประจำตัวได้ การเคลื่อนไหวด้านข้าง โดยไม่มีการทริกเกอร์ MFA ใด ๆ 

3. สภาพแวดล้อมออฟไลน์และ OT: ไม่มีการเชื่อมต่อ ไม่มี MFA 

ในองค์กรหลายแห่ง เครื่อง Windows จะทำงานในสภาพแวดล้อมที่การเชื่อมต่อเครือข่ายถูกจำกัดหรือถูกจำกัด เช่น ระบบ OT ในโรงงาน ห้องควบคุมอุตสาหกรรม คลังสินค้า และไซต์ภาคสนามระยะไกล ภายในสภาพแวดล้อมเหล่านี้ พนักงานไม่สามารถใช้ MFA แบบเดิมๆ ได้ รวมถึงการแจ้งเตือนแบบพุช ส่งผลให้การตรวจสอบสิทธิ์การเข้าสู่ระบบ Windows ไม่ได้รับการป้องกันและไม่มีใครสังเกต ทำให้ทรัพยากรที่สำคัญเสี่ยงต่อการถูกบุกรุก  

ความท้าทายเหล่านี้ทำให้เลเยอร์ Windows Logon ถูกเปิดเผย ทำให้กลายเป็นเป้าหมายหลักสำหรับ การโจมตีตามข้อมูลประจำตัวดังนั้นสำหรับองค์กรจำนวนมาก การบังคับใช้ MFA ในเลเยอร์นี้จึงไม่ใช่ทางเลือกอีกต่อไป นโยบายการประกันภัยไซเบอร์และกรอบการปฏิบัติตามข้อกำหนด เช่น ซีเจไอเอสตอนนี้ต้องมีการตรวจสอบสิทธิ์ที่ปลอดภัยที่ระดับเครื่องเพื่อปกป้องข้อมูลที่ละเอียดอ่อน 

สรุป ความน่าเชื่อถือของ Olymp Trade? Silverfort ขยาย MFA สำหรับการเข้าสู่ระบบ Windows 

Silverfort ช่วยให้องค์กรสามารถบังคับใช้ MFA ในสถานการณ์การเข้าสู่ระบบ Windows ทุกประเภทโดยไม่ต้องมีโครงสร้างพื้นฐานเพิ่มเติมที่ติดตั้งในสภาพแวดล้อม การบูรณาการโดยตรงที่ระดับโปรโตคอลการตรวจสอบสิทธิ์, Silverfort ใช้ MFA แบบเรียลไทม์กับการตรวจสอบสิทธิ์ทั้งแบบใช้โดเมนและแบบท้องถิ่น ไม่ว่าจะเป็นบนอุปกรณ์ทางกายภาพ เครื่องเสมือน หรือระบบออฟไลน์ 

มาดูกันว่าทำอย่างไร Silverfort ช่วยให้องค์กรสามารถจัดการกับกรณีการใช้งานที่แตกต่างกันของการตรวจสอบสิทธิ์การเข้าสู่ระบบ Windows 

การบังคับใช้ MFA สำหรับจุดสิ้นสุด Windows ในเครื่อง 

Silverfort สำหรับ Windows Logon (S4WL) ให้การควบคุมการเข้าถึงและการวิเคราะห์ความเสี่ยงแบบเรียลไทม์สำหรับจุดสิ้นสุด Windows ทั้งหมดเพื่อให้ผู้ใช้สามารถตรวจสอบสิทธิ์กับโดเมนของ AD ในเครื่องหรือ Microsoft Entra IDเมื่อผู้ใช้พยายามเข้าสู่ระบบ Silverfort ประเมินคำขอผ่านกลไกนโยบายและสามารถเรียกใช้การแจ้งเตือนแบบพุชได้ Entra IDเพื่อให้แน่ใจว่ามีการตรวจยืนยันตัวตนของผู้ใช้ก่อนที่จะมีการอนุญาตการเข้าถึง 

การป้องกันการเข้าสู่ระบบเดสก์ท็อปเสมือน 

Silverfort รักษาความปลอดภัยเซสชัน RDP โดยบังคับใช้ MFA โดยตรงที่เลเยอร์ Windows Logon ในการกำหนดค่านี้ เมื่อผู้ใช้เริ่มการเชื่อมต่อ RDP ผู้ใช้จะได้รับแจ้งให้ป้อนรหัสผ่านครั้งเดียว (OTP) ซึ่งจะให้เลเยอร์การยืนยันตัวตนเพิ่มเติมก่อนให้สิทธิ์การเข้าถึงเครื่องหรือเซิร์ฟเวอร์ระยะไกล 

การรักษาความปลอดภัยสภาพแวดล้อมออฟไลน์และ OT 

ในสภาพแวดล้อมที่การเชื่อมต่ออินเทอร์เน็ตมีจำกัดหรือไม่สามารถใช้งานได้ เช่น ระบบ OT ในโรงงานหรือไซต์ภาคสนาม Silverfort รองรับการเข้าสู่ระบบ Windows แบบออฟไลน์ด้วยการประเมินความพยายามตรวจสอบสิทธิ์ในเครื่องและแจ้งผู้ใช้ให้ตรวจสอบสิทธิ์ด้วยโทเค็นฮาร์ดแวร์ FIDO2 หรือรหัส TOTP 

ป้องกันการโจมตีตามข้อมูลประจำตัวจากการเข้าสู่ระบบครั้งแรก 

การเข้าสู่ระบบ Windows ถือเป็นจุดเข้าใช้งานแรกๆ ที่ใช้กันทั่วไปในองค์กรต่างๆ หากไม่มีการป้องกันในระดับที่สำคัญนี้ ผู้โจมตีสามารถใช้ประโยชน์จากข้อมูลประจำตัวเพื่อย้ายข้อมูลไปยังตำแหน่งอื่นและเพิ่มสิทธิ์การใช้งานโดยไม่ถูกตรวจพบได้อย่างง่ายดาย Silverfort ช่วยปิดจุดบอดนี้ด้วยการบังคับใช้การควบคุม MFA ที่เข้มงวดกับกระบวนการตรวจสอบสิทธิ์การเข้าสู่ระบบ ด้วยการมองเห็นแบบครบวงจรในทุกความพยายามตรวจสอบสิทธิ์และการควบคุมการเข้าถึงตามนโยบาย Silverfort ในที่สุดก็สามารถช่วยให้ทีมงานรักษาความปลอดภัยป้องกันการโจมตีที่ใช้ข้อมูลประจำตัวได้ 

ต้องการรักษาความปลอดภัยการรับรองความถูกต้องในการเข้าสู่ระบบ Windows ของคุณใช่ไหม? กำหนดเวลาการโทร กับผู้เชี่ยวชาญของเราเพื่อดูว่า Silverfort สามารถช่วยคุณรักษาสิ่งแวดล้อมของคุณได้