แอรอน เทอร์เนอร์:[00:00:00]
ก่อนอื่น คุณต้องเข้าใจความคิดของบิล เกตส์ในช่วงกลางทศวรรษ 90 เขาตั้งเป้าหมายไว้ว่า โนเวลล์กำลังทำเงินมหาศาลจาก Enterprise Directory ดังนั้น ไมโครซอฟต์จึงกล่าวว่า “เราต้องไปแย่งเงินค่าอาหารกลางวันของโนเวลล์” เวอร์ชันแรกของข้อกำหนดคุณสมบัติของ Active Directory จึงมีเป้าหมายที่จะกำจัดโนเวลล์ นั่นคือพันธกิจของพวกเขา
ในตอนแรก Active Directory ถูกมองว่าเป็นวิธีเพิ่มยอดขาย Windows และ Office มันเป็นกลไกในการติดตั้งใช้งาน ไม่ได้ถูกมองว่าเป็นระบบรักษาความปลอดภัยโดยเฉพาะ สมมติว่ามีการใช้เงิน 250 พันล้านดอลลาร์ไปกับไฟร์วอลล์ แล้วมีการใช้เงินไปกับเรื่องการจัดการตัวตนเท่าไหร่? อาจจะแค่ 2% เท่านั้น ผลจากการขาดการลงทุนในส่วนนี้ ทำให้เราตกอยู่ในสถานการณ์หนี้สินด้านการจัดการตัวตนมหาศาลเช่นนี้
ดังนั้นพวกเขาจึงต้องลงทุนในสิ่งที่มุ่งเน้นการแก้ไขปัญหาที่เกิดขึ้นมานาน เพื่อที่จะบอกว่า “ฉันจะทำอย่างไรเพื่อแก้ไขปัญหา Group Policy Object ที่ผิดพลาดมาตลอด 25 ปี” นี่คือการตัดสินใจที่ต้องทำ
รอย อาเคอร์แมน:
การระบุตัวตนไม่ใช่แค่ปัญหาด้านการดำเนินงาน แต่เป็นปัญหาด้านความปลอดภัย และทีมส่วนใหญ่กำลังหาทางแก้ไขปัญหานี้แบบเรียลไทม์
ร็อบ เอนสคอฟ:
นี่คือพอดแคสต์ที่เราจะวิเคราะห์ความหมายของความปลอดภัยด้านอัตลักษณ์ โดยแบ่งปันบทสนทนาตรงไปตรงมาเกี่ยวกับผู้คนที่สร้าง แก้ไข และคิดค้นความปลอดภัยด้านอัตลักษณ์ใหม่จากภายใน
รอย อาเคอร์แมน:
ผมชื่อ รอย อเคอร์แมน ครับ
ร็อบ เอนสคอฟ:
และผมคือ ร็อบ เอนสคอฟ ครับ
รอย อาเคอร์แมน:
ลองมาดูกันเถอะ
ร็อบ เอนสคอฟ:
ลงมือทำกันเลย
ยินดีต้อนรับกลับมา สวัสดี รอย คุณเป็นอย่างไรบ้าง?
รอย อาเคอร์แมน:
ผมสบายดีครับ ดีใจที่ได้เจอคุณ ร็อบ
ร็อบ เอนสคอฟ:
ดีใจที่ได้เจอคุณเช่นกันครับ เอ่อ ผมตื่นเต้นมากเลย เพราะว่าในเอพิโซดนี้ เรามีแอรอน เทอร์เนอร์ มาร่วมรายการด้วยใช่ไหมครับ แอรอนทำงานในวงการมา 30 ปี ก่อตั้งบริษัทของตัวเอง แต่ที่สำคัญที่สุดสำหรับเราคือ เขาเคยทำงานที่ไมโครซอฟต์มาก่อน Active Directory มันกำลังกลายเป็นกระแส ใช่ไหม ในช่วงเวลาสำคัญนั้น
เขาอยู่ที่ค่ายฐานนั่นเอง เป็นเรื่องที่น่าตื่นเต้นมากสำหรับพวกเราที่จะได้คุยกับเขา
รอย อาเคอร์แมน:
เช่น นักออกแบบ สถาปนิก
ร็อบ เอนสคอฟ:
คนที่ควรถูกตำหนิ เอ่อ แต่
แอรอน เทอร์เนอร์:
เราต้องระมัดระวังให้มากหน่อยนะ ผมเป็นคนที่อยู่ต่ำสุดในลำดับชั้นเลย
รอย อาเคอร์แมน:
เขาจึงกล่าวว่า
ร็อบ เอนสคอฟ:
แต่คุณอยู่ที่นั่น... คุณเป็นคนแรกที่ได้รับผลกระทบ คุณอยู่ที่นั่น
รอย อาเคอร์แมน:
ใช่.
แอรอน เทอร์เนอร์:
โอ้
ร็อบ เอนสคอฟ:
ฉันอยู่ที่นั่น คุณก็อยู่ที่นั่น
แอรอน เทอร์เนอร์:
ผมอยู่ที่นั่น แต่ในทางเทคนิคแล้ว ผมเป็นวิศวกรฝ่ายสนับสนุน ซึ่งหมายความว่าผมต้องรับมือกับบั๊กและปัญหาต่างๆ ทั้งหมดใช่ไหมครับ? ดังนั้น ผมจึงได้เห็นสิ่งที่เลวร้ายที่สุดมาแล้ว
ร็อบ เอนสคอฟ:
ว้าว ใช่เลย ถึงอย่างนั้นก็ยังถือเป็นสถานะที่ได้เปรียบอยู่ดี ดังนั้นเราจะมาพูดคุยกันเกี่ยวกับเรื่องนี้สักหน่อย เราจะพูดถึงว่าอัตลักษณ์เปลี่ยนแปลงไปอย่างไรในช่วงหลายปีที่ผ่านมา Active Directoryบทบาทของมัน ความหมายสำหรับผู้โจมตีและผู้ป้องกันในปัจจุบัน ใช่ไหม?
งั้นผมคิดว่าเราจะมีช่วงเวลาที่น่าสนใจมากเลยนะครับ เอ่อ งั้นเพื่อเริ่มต้นกันเลย แอรอน คุณช่วยเล่าประวัติการทำงานและประวัติส่วนตัวของคุณให้เราฟังหน่อยได้ไหมครับ?
แอรอน เทอร์เนอร์:
ผมเริ่มต้นการเดินทางครั้งนี้เพราะผมได้ดูหนังเรื่อง WarGames ครับ หนังเรื่องนี้ออกฉายในปี 1984 และผมก็คิดว่า “มันดูเหลือเชื่อมาก”
ฉันสงสัยว่าฉันจะทำแบบนั้นได้ไหม” เอ่อ แล้วนั่นก็พาฉันไปสู่การเดินทางที่บางครั้งก็เจอปัญหาเกี่ยวกับคอมพิวเตอร์ใช่ไหม? แล้วในที่สุดก็คิดออกว่าจะหาเงินจากการทำเรื่องไม่ดีเกี่ยวกับคอมพิวเตอร์ได้อย่างไร ฉันเป็นผู้ทดสอบการเจาะระบบยุคแรกๆ ในช่วงต้นถึงกลางทศวรรษ 90 และในที่สุดก็คิดออกว่า โอเค บางทีฉันอาจจะหางานที่ได้เงินดีกว่างานทดสอบความปลอดภัยเล็กๆ น้อยๆ ที่ฉันเคยทำอยู่ก็ได้
และ Microsoft ได้ประกาศรับสมัครงาน โดยต้องการบุคคลที่พูดได้สองภาษา มีความรู้ด้านอินเทอร์เน็ต และมีประสบการณ์การใช้งาน Novell เพื่อเข้าร่วมทีม และพวกเขาต้องการให้เน้นโอกาสในละตินอเมริกา ซึ่งผมพูดภาษาสเปนได้ ผมเคยอาศัยอยู่ในเม็กซิโกมาบ้าง และมีความรู้เกี่ยวกับอินเทอร์เน็ตอยู่บ้างจากงานบ้าๆ ที่ผมทำมาตั้งแต่ WarGames และก็ได้โอกาสที่ยอดเยี่ยมนี้จาก Microsoft และได้ร่วมเดินทางไปกับพวกเขา ซึ่งโดยพื้นฐานแล้วเราต้องวางรากฐานของสิ่งที่กลายมาเป็นอินเทอร์เน็ตและการประมวลผลระดับองค์กร
และใช้ชีวิตอยู่ที่นั่นแปดปี เป็นช่วงเวลาที่ยอดเยี่ยมมาก ได้เรียนรู้สิ่งต่างๆ มากมาย
รอย อาเคอร์แมน:
เจ้าหน้าที่หน่วยข่าวกรองของเราบอกเราสองอย่างที่ผมต้องยืนยันกับคุณก่อน อย่างแรกคือ หลังจากดำรงตำแหน่งครบหนึ่งปี บิล เกตส์เองได้ให้อำนาจเต็มแก่คุณในการทำโครงการอะไรก็ได้ที่คุณต้องการ โดยแน่นอนว่าต้องมีมูลค่ามหาศาล
และข้อที่สอง เกี่ยวกับดาวสีทอง ดังนั้นถ้าคุณเริ่มจากตรงนี้ก่อน แล้วค่อยมาพูดถึงเรื่องอัตลักษณ์ของเรา ก็จะดีมาก คุณช่วยเล่าให้เราฟังหน่อยได้ไหมคะ?
แอรอน เทอร์เนอร์:
ดังนั้น ในช่วงปี 1998-99 ผู้ว่าการของเวเนซุเอลาได้มาที่ไมโครซอฟต์และกล่าวว่า “เราต้องการสร้างแพลตฟอร์มยืนยันตัวตนทั่วประเทศสำหรับพลเมืองทุกคนของเวเนซุเอลา”
รอย อาเคอร์แมน:
โอ้โฮ
แอรอน เทอร์เนอร์:
แล้วพวกเขาก็ลงไปใช้ NT4 เพื่อพยายามสร้างแพลตฟอร์มระบุตัวตนสำหรับองค์กร แต่ก็ไม่ประสบความสำเร็จ ฟังดูดีทีเดียว แต่มันก็พังอยู่เรื่อยๆ พังซ้ำแล้วซ้ำเล่า และไม่มีใครในทีมของเรากล้าลงไปเวเนซุเอลา เพราะเวเนซุเอลาน่ะเหรอ คือตอนนี้มันมีชื่อเสียงแย่กว่าเดิมอีก แต่แม้แต่ตอนนั้นมันก็เป็นสถานที่ที่ไม่แน่นอนอยู่แล้ว
และเนื่องจากผมคุ้นเคยกับละตินอเมริกา ผมเลยคิดว่า “โอเค ผมจะไป” ผมจึงยกมือขึ้นและเดินทางไป และเพราะผมช่วยแก้ไขปัญหานั้น ผมจึงคิดหาวิธีเปลี่ยนแปลงโค้ด NT ซึ่งต่อมากลายเป็นโค้ด Windows 2000 เพราะผมทำการเปลี่ยนแปลงนั้นและกล้าหาญพอที่จะไปเวเนซุเอลา ผมจึงได้รับการยกย่องในปี 1999 ด้วยดาวทอง ซึ่งในเวลานั้นเป็นรางวัลที่บิล เกตส์มอบให้ในจำนวนจำกัดมาก
แต่ในฐานะผู้รับประโยชน์ คุณก็เลยมีโอกาสได้ทดลองใช่ไหม คุณมีอิสระที่จะพูดว่า “เฮ้ คุณทำสิ่งที่ดีมาก ๆ แล้ว มาดูกันว่าคุณจะทำอะไรได้บ้างเพื่อพัฒนา Microsoft ต่อไป” ดังนั้น ความรู้ภาษาสเปนของผม และความกล้าหาญในการไปเวเนซุเอลา ทำให้ผมสามารถทำสิ่งต่าง ๆ ที่น่าทึ่งและทำงานในด้านต่าง ๆ ได้ Active DirectorySQL Server, Windows Mobile, Xbox Live
อย่างเช่น ผมได้มีโอกาสไปทำงานในโครงการเจ๋งๆ มากมายระหว่างที่อยู่ที่นั่น
รอย อาเคอร์แมน:
ทั้งหมดนี้มาจากมุมมองด้านอัตลักษณ์
แอรอน เทอร์เนอร์:
บางครั้งอาจเป็นอัตลักษณ์ บางครั้งอาจเป็นการทำลายข้าวของ
รอย อาเคอร์แมน:
ใช่.
แอรอน เทอร์เนอร์:
อืม ใช่ไหม? บางครั้งการช่วยให้ผู้คนคิดเกี่ยวกับแบบจำลองภัยคุกคามก็สำคัญ คุณรู้ไหม เราไม่มีทีมรักษาความปลอดภัยทางไซเบอร์แบบเต็มรูปแบบจนกระทั่งประมาณปี 2002 หรือ 2003
เอ่อ คุณรู้ไหม ผมอยู่ที่นั่นในช่วงแรกๆ ที่เราต้อง... คือไม่มีใครเคยสร้างระบบอัปเดตระดับองค์กรแบบที่ Windows Update ทำมาก่อนเลย ไม่มีใครเคยคิดเลยว่าจะอัปเดตคอมพิวเตอร์สองพันล้านเครื่องในตอนนั้นได้อย่างไร อืม ไม่มีใครคิดถึงเรื่องการเข้ารหัสฮาร์ดไดรฟ์ในกรณีที่แล็ปท็อปหายเลย
ไม่มีใครเคยคิดถึงเรื่องพวกนี้มาก่อนเลย ดังนั้นเราจึงต้องคิดถึงเรื่องที่ไม่มีใครเคยคิดมาก่อน
ร็อบ เอนสคอฟ:
ดังนั้นวันนี้เราจะมาเน้นที่เรื่องนั้นกัน Active Directory เรื่องราวใช่ไหม? ดังนั้นสำหรับบริษัทส่วนใหญ่ เรายังคงพูดถึงเรื่องคลาวด์และการเปลี่ยนแปลงต่างๆ ที่เกิดขึ้นในช่วง 10-15 ปีที่ผ่านมา
แต่ความจริงก็คือ มันยังคงเป็นศูนย์กลางสำคัญของระบบยืนยันตัวตนขององค์กรสำหรับหลายบริษัทใช่ไหมครับ มันสำคัญมาก ๆ และอย่างที่เราบอกไป คุณอยู่ในตำแหน่งที่น่าสนใจมาก ๆ เพราะคุณได้เห็นมันตั้งแต่เริ่มก่อตั้ง เติบโต และกลายเป็นอย่างที่เป็นอยู่ในปัจจุบัน ผมสนใจจริง ๆ ว่า จุดเริ่มต้นของมันมาจากไหน Active Directory มาจาก?
มันถูกออกแบบมาเพื่อทำอะไร? คุณพยายามจะบรรลุเป้าหมายอะไรด้วยสิ่งนี้? Active Directory ในเวลานั้น?
แอรอน เทอร์เนอร์:
ก่อนอื่นคุณต้องเข้าใจความคิดของบิล เกตส์ในช่วงกลางทศวรรษ 90 บิล เกตส์มีภารกิจสำคัญคือการสร้างบริษัทที่ประสบความสำเร็จ เพราะเขาหวาดระแวงอยู่เสมอว่า สิ่งที่เกิดขึ้นกับ Wang และ Digital จะซ้ำรอยเดิม ลองดูจำนวนผู้เสียชีวิตในวงการคอมพิวเตอร์ในช่วงทศวรรษ 80 และ 90 สิ มีมากมายเหลือเกิน
รอย อาเคอร์แมน:
มม.
แอรอน เทอร์เนอร์:
ดังนั้นเขาจึงหวาดระแวงว่า เราต้องออกไปพิชิตตลาดให้ได้ และเขาก็ตั้งเป้าหมายว่า Novell จะทำกำไรมหาศาลจากไดเร็กทอรีสำหรับองค์กร และ Novell ก็เป็นบริษัทที่แข็งแกร่งมาก ซึ่งเป็นผู้นำในการสร้างไดเร็กทอรีสำหรับองค์กร แล้วจะทำอย่างไรให้ผู้คนได้รับประสบการณ์การใช้งานคอมพิวเตอร์ที่ดี?
คุณมีชื่อผู้ใช้และรหัสผ่านได้อย่างไร? คุณมีโครงสร้างไฟล์ที่ดีได้อย่างไร? และแล้ว Microsoft ก็บอกว่า “เราต้องไปขโมยเงินนั้น เราต้องไปขโมยเงินค่าอาหารกลางวันของ Novell” และนั่นคือที่มาของเวอร์ชันแรกของ... Active Directory ข้อกำหนดคุณสมบัติหลักคือการทำลาย Novell นั่นคือพันธกิจหลักของพวกเขาเลย
เอ่อ เราไม่ได้มีอะไรมากมายนัก ดังนั้นส่วนที่เหลือจึงน่าสนใจใช่ไหมครับ ตัวอย่างเช่น ผมเป็นแฟนตัวยงของ Kerberos เลยครับ ตอนนั้น Kerberos ค่อนข้างใหม่ MIT เพิ่งปล่อยมาตรฐาน Kerberos ออกมา ผมก็เลยบอกว่า “เฮ้ย ผมว่า Kerberos เจ๋งมาก ผมคิดว่ามันจะดีกว่าเยอะเลย” เพราะตอนนั้นเรายังใช้ NTLM อยู่ใช่ไหมครับ
NTLM เป็นโปรโตคอลที่อ่อนแอและเปราะบางมาก สามารถถูกเจาะระบบได้ง่าย และค่าแฮชก็ถูกถอดรหัสได้ เรายังคงใช้ NT LAN Manager อยู่ใช่ไหม ซึ่งเป็นโปรโตคอลของ Windows NT4 แล้วปัญหาที่เราเจอคือ ถ้าเป้าหมายของเราคือการกำจัด Novell เราจะทำให้มันเป็นระบบรักษาความปลอดภัยได้อย่างไร?
และนั่นคือความตึงเครียดที่มีอยู่ อืม คุณรู้ไหม พวกเราที่หลงใหลในเรื่องความปลอดภัย Active Directory ในตอนแรกนั้น มันถูกมองว่าเป็นวิธีการที่จะขาย Windows ให้ได้มากขึ้น และขาย Office ให้ได้มากขึ้น เหมือนกับว่ามันเป็นกลไกในการติดตั้งใช้งาน ไม่ได้ถูกออกแบบมาเพื่อเป็นขอบเขตด้านความปลอดภัยโดยเฉพาะ
รอย อาเคอร์แมน:
น่าสนใจจริงๆ และใช่ มันน่าสนใจนะ อย่างเช่นการได้อยู่ที่นั่นและได้สร้างสิ่งอื่นขึ้นมาใหม่ อาจจะดีกว่าเดิมด้วยซ้ำ ซึ่งจะเป็นสิ่งทดแทนสิ่งที่เริ่มเติบโตขึ้นมา
แล้วคุณรู้ไหม ฉันเดาว่าคุณต้องตัดสินใจเลือกหลายอย่างเลยใช่ไหม เพราะมันมีเรื่องของเวลาในการออกสู่ตลาด และอีกหลายอย่าง รวมถึงการเปลี่ยนแปลงในโลกของคอมพิวเตอร์ด้วย คุณช่วยย้อนกลับไปในช่วงปี 98 หรือหลังจากนั้นหน่อยได้ไหม แล้วบอกเราหน่อยว่า การตัดสินใจเลือกในตอนแรกที่ผู้สร้างและนักออกแบบควรจะตัดสินใจนั้นมีอะไรบ้าง?
แอรอน เทอร์เนอร์:
เอ่อ อย่างที่ผมได้กล่าวไปแล้ว เป้าหมายของ Active Directory เป้าหมายคือการขาย Windows และ Office ให้ได้มากขึ้นใช่ไหมครับ? ความเร็วในการติดตั้งใช้งานใช่ไหมครับ? จะติดตั้งระบบจำนวนมากได้อย่างไร? อืม และด้วยความเร็วในการออกสู่ตลาดนั้น ทำให้สูญเสียบางสิ่งไป เช่น การตรวจสอบสิทธิ์แบบหลายปัจจัย (MFA) ใช่ไหมครับ? MFA ไม่ใช่หลักการออกแบบหลักของ Windows ครับ Active Directoryใช่มั้ย?
มันเป็นอะไรที่แบบว่า “โอ้ บางทีพาร์ทเนอร์บางรายอาจจะคิดหาวิธีได้” และบริษัทอย่าง RSA และ Gemalto ก็เข้ามาบอกว่า “ใช่ เราจะทำเรื่อง MFA นั้นเอง” ใช่ไหม? แต่ยกตัวอย่างเช่น หนึ่งในงานที่ตกมาอยู่ที่ผมคือ ผมรับผิดชอบในการทดสอบการถดถอย (regression testing) สำหรับโทเค็น MFA ของบุคคลที่สามทั้งหมด
และ ณ จุดนั้น วิธีเดียวที่จะทำให้โทเค็น MFA ใช้งานได้คือ คุณต้องแทนที่ GINA คุณต้องสร้าง GINA shim—โอ้ นั่นซับซ้อนมาก… ซึ่งเป็นระดับเคอร์เนล คุณรู้ไหม นี่คือการทำงานระดับเคอร์เนลบนตัวควบคุมโดเมนของ Windows บางครั้งก็บนอุปกรณ์ปลายทาง สมมติว่าถ้าผมไม่เห็นหน้าจอสีน้ำเงิน 300 ครั้งในหนึ่งวัน ผมก็คงทำงานไม่สำเร็จใช่ไหม?
เพราะว่าเอกสาร GINA เหล่านั้นเขียนได้ไม่ดี เราที่ Microsoft ให้คำแนะนำที่ไม่ดีเกี่ยวกับการทำแบบนั้น และอื่นๆ อีกมากมาย ดังนั้นเมื่อมีคนมาหาคุณแล้วบอกว่า “มาใช้งาน MFA กันเถอะ” แล้วพวกเขาก็ไปทำการทดสอบระบบและเจอปัญหาหน้าจอสีฟ้าถึง 10 ครั้ง แล้วพวกเขาก็บอกว่า “ไม่เป็นไร ผมไม่ต้องการ MFA ก็ได้ ขอบคุณ”
ฉัน ฉันไม่อยากใช้ MFA” เอ่อ และนี่ก็เป็นตัวอย่างของการขาดความมุ่งเน้นจากมุมมองด้านความปลอดภัย เพราะในปัจจุบันเราจะมองว่า MFA เป็นสิ่งสำคัญ เป็นคุณสมบัติพื้นฐานหลักที่จำเป็นต้องมี… และนี่ก็เป็นตัวอย่างหนึ่ง ใช่ อีกตัวอย่างหนึ่งคือ เอ่อ คุณรู้ไหม เราเคยมีขอบเขตความปลอดภัยเหล่านี้ซึ่งก็คือป่าต่างๆ ใช่ไหม?
คุณมีป่า (forests) และโดเมน (domains) และคุณสามารถสร้างความเชื่อถือข้ามป่า (cross-forest trusts) ได้ และคุณสามารถมี... อืม... ความเชื่อถือแบบทางเดียว หรือความเชื่อถือแบบสองทาง และสิ่งต่างๆ เหล่านี้ได้ และจากนั้นคุณก็มีกลุ่ม (groups) และกลุ่มย่อย (nested groups) และจากนั้นคุณก็มีออบเจ็กต์นโยบายกลุ่ม (group policy objects) และสิ่งต่างๆ เหล่านี้ทั้งหมด และสิ่งต่างๆ เหล่านี้ทั้งหมดถูกออกแบบจากฟังก์ชัน...
เช่น มุมมองการใช้งาน Windows ไม่ใช่มุมมองด้านขอบเขตความปลอดภัย
ร็อบ เอนสคอฟ:
ใช่.
แอรอน เทอร์เนอร์:
แล้วจะบังคับให้ความเชื่อถือข้ามโดเมนมีความละเอียดในระดับที่เหมาะสมได้อย่างไร? และอ้อ อีกอย่าง เนื่องจากข้อกำหนดด้านลิценส์ของ Microsoft เมื่อเริ่มใช้บังคับแล้ว คนส่วนใหญ่ไม่ค่อยอยากมีบัญชีโดเมนสำหรับผู้ดูแลระบบโดเมน และบัญชีโดเมนสำหรับเซิร์ฟเวอร์ Exchange ในกล่องจดหมายเข้าด้วย
คุณคงจะรวมบัญชีเหล่านั้นเข้าด้วยกันใช่ไหม? ดังนั้นตอนนี้คุณได้รวมบัญชีควบคุมการทำงานของคุณแล้ว บัญชีเดียวกันที่คุณใช้ในการอ่านอีเมลก็คือบัญชีเดียวกันกับที่คุณใช้ในการดูแลระบบโดเมน
รอย อาเคอร์แมน:
มม.
แอรอน เทอร์เนอร์:
ใช่ไหม? ดังนั้นนี่จึงไม่ใช่สถานการณ์ที่ดีเลย
รอย อาเคอร์แมน:
ใช่ อืม ฟังดูเหมือนว่ามีการแบ่งระดับนามธรรมหลายระดับมากเมื่อพูดถึงเรื่องความไว้วางใจ เช่น ข้ามโดเมน ข้ามฟอเรสต์
เช่น เราจะสร้างความไว้วางใจได้อย่างไร เมื่อเราสร้างสิ่งใหม่ขึ้นมาเพียงอย่างเดียว เช่น เอนทิตีที่แตกต่างออกไป ซึ่งเราจะต้องตรวจสอบและยืนยันตัวตนเมื่อเราสามารถมีความไว้วางใจได้ ฉันคิดว่าคงมีการถกเถียงกันมากมายเกี่ยวกับเรื่องนี้
แอรอน เทอร์เนอร์:
ก่อนอื่นเลย แม้ว่าจะมีคนอื่นๆ เคยพยายามทำแบบนี้มาก่อนแล้ว เช่น บริษัท AT&T กับงานด้าน Unix ของพวกเขา หน่วยงานรัฐบาล และอื่นๆ พวกเขาเคยพยายามเดินตามเส้นทางนี้ แต่ไม่มีใครเคยพยายามทำในราคาที่ต่ำอย่างที่ Microsoft พยายามทำมาก่อนใช่ไหม?
อืมฮึม ยกตัวอย่างเช่น การสร้างระบบตรวจสอบสิทธิ์ระดับองค์กรที่ซับซ้อน โดยมีผู้เชี่ยวชาญระดับปริญญาเอกทำงานอยู่ที่ Bell Labs นั้น เป็นเรื่องหนึ่ง ใช่ไหมครับ คนของ AT&T พวกเขารู้ว่ากำลังทำอะไรอยู่ แต่ถ้าคุณเอาผู้ดูแลระบบของโรงพยาบาลในท้องถิ่นมาเป็นผู้ดูแลระบบโดเมน ผู้ดูแลระบบของโรงพยาบาลในท้องถิ่นนั้นไม่เหมือนกับผู้เชี่ยวชาญระดับปริญญาเอกที่ทำงานให้กับ Bell Labs ครับ
คือมันเป็นบุคลิกที่แตกต่างกันสองแบบ เป็นตัวตนที่แตกต่างกันสองแบบ ดังนั้นการนำระบบที่มีประสิทธิภาพสูงอย่าง Windows Server, Exchange Server, SQL Server มาใช้ในองค์กรขนาดกลางถึงขนาดเล็ก ที่อาจไม่มีสถาปัตยกรรมความปลอดภัยที่ดี ไม่มีทีมปฏิบัติการด้านความปลอดภัยที่ดี หรือไม่มีความสามารถเหล่านี้ มันจึงสร้างสถานการณ์ที่เลวร้ายขึ้นมา เช่น “ทำไมเราไม่ให้ทุกคนเป็นผู้ดูแลระบบโดเมนไปเลยล่ะ?”
มันทำให้ง่ายขึ้น ทุกคนเป็นผู้ดูแลระบบโดเมน”
รอย อาเคอร์แมน:
ใช่.
แอรอน เทอร์เนอร์:
และเราก็เห็นว่า ในกรณีที่ทั้งโดเมนมีผู้ดูแลระบบโดเมน เพราะมันง่ายกว่า มันทำให้งานของพวกเขาง่ายขึ้น พวกเขาไม่ต้องเสียเวลาแก้ปัญหาว่าทำไมแอปพลิเคชันนี้ถึงใช้งานไม่ได้ หรืออะไรทำนองนั้น อืมฮึม และถ้าคุณดูอุปสรรคส่วนใหญ่ที่เราพบในยุคแรกๆ เมื่อเราพยายามทำสิ่งต่างๆ เช่น หลักการให้สิทธิ์ขั้นต่ำสุด อย่างเช่น แอปพลิเคชันของ Adobe ในยุคแรกๆ บางตัวจะไม่ทำงานเลยหากคุณไม่ใช่ผู้ดูแลระบบที่มีสิทธิ์ขั้นสูง ใช่ไหม?
อืม... แต่มันคงไม่เป็นไปได้
ร็อบ เอนสคอฟ:
วิ่ง. เป็นเรื่องปกติ ใช่.
แอรอน เทอร์เนอร์:
แล้วคุณก็เลยตกอยู่ในสถานการณ์ที่มีสิทธิพิเศษมากเกินไป บ่อยครั้งที่ระบบนิเวศของผู้ขายเป็นฝ่ายตรงข้ามกับคุณใช่ไหม สมมติว่าฉันต้องการใช้สิทธิ์ขั้นต่ำที่สุด แต่ฉันทำไม่ได้เพราะฉันต้องใช้แอปนี้
ร็อบ เอนสคอฟ:
อืมม.
แอรอน เทอร์เนอร์:
ตกลง.
รอย อาเคอร์แมน:
นั่นเป็นสิ่งที่ควรพิจารณา ในบางครั้งเรามักจะโทษผู้สร้างโครงสร้างพื้นฐานหรือสิ่งต่างๆ ที่เป็นรากฐาน Active Directoryนั่นคือพวกเขาจำเป็นต้องตอบสนองความต้องการในด้านการพัฒนาอื่นๆ อีกมากมาย เช่น ผู้จำหน่ายรายอื่นๆ
และฉันคิดว่า การแลกเปลี่ยนผลประโยชน์เหล่านี้ เป็นสิ่งที่สำคัญมากสำหรับผู้โจมตีหลายๆ คนในปัจจุบัน ใช่ไหม? อืมฮึม เรากำลังพูดถึงไม่เพียงแค่... Active Directory ในฐานะเครื่องมือ แต่ในฐานะชุดแนวคิดที่สร้างสิ่งที่เราคิดเกี่ยวกับอัตลักษณ์ในปัจจุบัน ดังนั้นฉันหวังว่าฉันจะไม่รีบร้อนเกินไป แต่ฉันก็อยากรู้เหมือนกัน
งั้นเรามาข้ามมาถึงปัจจุบันกันสักครู่ก่อน อาจจะย้อนกลับไปอีกทีก็ได้ เอ่อ แต่ อย่างที่คุณเห็น เรื่องอัตลักษณ์เป็นหัวข้อที่ได้รับความสนใจอย่างมากในปัจจุบันใช่ไหมครับ มีเงินทุนจำนวนมหาศาลถูกทุ่มลงไปเพื่อแก้ปัญหานี้ มันพัฒนาไปพร้อมกับ AI และ NHI และคำศัพท์ยอดฮิตอื่นๆ อีกมากมาย
เอ่อ คุณมองว่าเกมของผู้โจมตีและผู้ป้องกันเป็นอย่างไรบ้าง? คุณคิดว่าหลักการสำคัญอะไรบ้างที่ยังคงถูกผู้โจมตีใช้ในทางที่ผิดในปัจจุบัน และเกมที่เกี่ยวข้องกับเรื่องนั้นล่ะ?
แอรอน เทอร์เนอร์:
ก่อนอื่น เรามาดูเศรษฐศาสตร์ของการระบุตัวตนกันก่อนนะครับ ลองมาดูจำนวนเงินทั้งหมดที่ใช้ไปกับไฟร์วอลล์ตั้งแต่ปี 1999 จนถึงปัจจุบันกันครับ
ก่อนหน้านี้ ในระหว่างการเตรียมตัว ผมได้ทำการค้นคว้าข้อมูลคร่าวๆ มาบ้าง สมมติว่าในช่วง 25 ปีที่ผ่านมา มีการใช้เงินไปกับไฟร์วอลล์ประมาณ 250 พันล้านดอลลาร์นะครับ แล้วในส่วนของระบบรักษาความปลอดภัยข้อมูลส่วนบุคคลล่ะ มีการใช้เงินไปเท่าไหร่?
ร็อบ เอนสคอฟ:
ใช่.
แอรอน เทอร์เนอร์:
อาจจะแค่ 2% ของทั้งหมดนั้น แบบว่า ไม่เลย ไม่ใกล้เคียงเลยด้วยซ้ำ ใช่ไหม? หมายถึง แค่เศษเสี้ยวเล็กๆ เท่านั้น และส่วนหนึ่งเป็นเพราะกลยุทธ์ของ Microsoft ในการนำ... Active Directory ตลาด.
โอ้ ซื้อใบอนุญาตเซิร์ฟเวอร์ Windows สิ แล้วก็อ้อ อีกอย่าง คุณจะได้ระบบการจัดการตัวตนนี้ฟรี ฟรีด้วยนะ... อืม... รวมอยู่ด้วยแล้ว อืม... ดังนั้น ผลก็คือ ถ้ามีคนมาถาม CIO ว่า "กลยุทธ์การจัดการตัวตนของคุณคืออะไร?" พวกเขาก็จะตอบว่า "อืม... Active Directory." ดี, Active Directory ไม่ใช่กลยุทธ์ด้านอัตลักษณ์ Active Directory อาจเป็นระบบตรวจสอบสิทธิ์
มันไม่ใช่แพลตฟอร์มการกำกับดูแลตัวตน ใช่แล้ว มันไม่ใช่แพลตฟอร์มการจัดการสิทธิ์ มันไม่ใช่แพลตฟอร์มการรวมระบบ ใช่ไหม?
ร็อบ เอนสคอฟ:
มม.
แอรอน เทอร์เนอร์:
ดังนั้น ผลจากการขาดการลงทุนนั้น เราจึงตกอยู่ในสถานการณ์หนี้สินด้านการระบุตัวตนที่ใหญ่หลวงเมื่อเทียบกับไฟร์วอลล์ใช่ไหมครับ อืม ดังนั้น หากไฟร์วอลล์มีงบประมาณรองรับมา 25 ปีแล้ว การระบุตัวตนเพิ่งจะได้รับงบประมาณรองรับในตอนนี้เอง
ดังนั้นจึงมีเศรษฐศาสตร์ด้านอัตลักษณ์ที่ทำให้ผู้คนตกอยู่ในสถานการณ์ที่เสียเปรียบ ถ้าเราถือว่านี่คือความจริงพื้นฐานของเศรษฐศาสตร์ เราต้องถามตัวเองก่อนว่า “เราจะทำอย่างไรเพื่อเปลี่ยนแปลงระบบอัตลักษณ์แบบเดิมของเรา เพื่อสร้างนวัตกรรมใหม่ๆ ผ่านการเปลี่ยนแปลงทางดิจิทัล” เช่น ฉันจะหลีกหนีปัญหาอัตลักษณ์แบบเดิมโดยการย้ายไปใช้ระบบอัตลักษณ์บนคลาวด์ หรืออะไรทำนองนั้น หรือฉันจะต้องปรับปรุงระบบอัตลักษณ์แบบเดิมของฉัน เพื่อเสริมความแข็งแกร่งและทำให้มันยั่งยืน?
รอย อาเคอร์แมน:
มม.
แอรอน เทอร์เนอร์:
ดังนั้น นั่นคือการตัดสินใจที่ต้องทำ และน่าเสียดายที่องค์กรส่วนใหญ่ไม่สามารถเปลี่ยนแปลงตัวเองได้ ดังนั้นพวกเขาจึงต้องลงทุนในสิ่งที่มุ่งเน้นการแก้ไขปัญหาที่เกิดขึ้นมานานแล้ว เพื่อที่จะบอกว่า “โอเค ฉันจะทำอย่างไรเพื่อแก้ไขปัญหา Group Policy Object ที่ยุ่งเหยิงตลอด 25 ปีที่ผ่านมา และโครงสร้างพื้นฐาน SCIM ที่ไม่ดี รวมถึงสิ่งต่างๆ ที่ฉันทำมาทั้งหมด?”
ผมได้รับคำถามที่ผมชอบมากที่สุดคำถามหนึ่ง จากผู้ที่มีประสบการณ์สูงมากคนหนึ่ง Active Directory ผู้ดูแลระบบโดเมนถามว่า “คุณเคยตรวจสอบกี่ครั้งแล้วว่ายังมี GPO เหลืออยู่กี่ตัว? เช่น มี GPO กี่ตัวที่อยู่ใน Active Directory เพราะคุณยังไม่ได้ลบออกไป?”
รอย อาเคอร์แมน:
มม.
แอรอน เทอร์เนอร์:
และสำหรับองค์กรที่ใช้งาน AD มาแล้วประมาณสองทศวรรษ โดยปกติจะมี GPO หลายร้อยรายการที่ไม่ได้ใช้งาน
ร็อบ เอนสคอฟ:
ใช่
แอรอน เทอร์เนอร์:
มันอยู่ตรงนั้นเฉยๆ แล้วก็...ใช่...มีคนเอาไปวางไว้ ไม่มีใครรับผิดชอบเรื่องการเก็บกวาดเลย และมันก็เป็นอย่างนั้นแหละ
ร็อบ เอนสคอฟ:
หนี้แฝง และมันน่าสนใจมาก เพราะผมคิดว่าตรงกับที่คุณพูดมา ผมเห็นบริษัทต่างๆ ที่ผมคุยด้วยตอนนี้ ติดอยู่ตรงกลางระหว่างการเสริมความแข็งแกร่งให้กับบริษัท กับการปรับปรุงให้ทันสมัยใช่ไหมครับ?
ใช่แล้ว ทั้งสองวิธีนั้นไม่ได้รวดเร็วหรือใช้งานง่ายเป็นพิเศษด้วยชุดเครื่องมือที่มีอยู่ และพวกเขาก็ติดอยู่ตรงกลางที่คิดว่า “โอเค บางทีอีกห้าปีข้างหน้าฉันอาจจะใช้ระบบคลาวด์เป็นหลัก ใช้หน่วยความจำชั่วคราว และทำสิ่งดีๆ ต่างๆ ที่ฉันอยากจะทำเพื่อทำให้โลกดีขึ้น” แต่จริงๆ แล้วอีกห้าปีข้างหน้าล่ะ ในเมื่อระบบสำคัญๆ ของคุณยังคงทำงานอยู่ Active Directory?
เรากำลังทำอะไรอยู่ที่นั่น? เพราะคุณต้องตั้งใจทำอย่างนั้นใช่ไหม
รอย อาเคอร์แมน:
ดังนั้น มันจึงเป็นความซับซ้อนที่เริ่มก่อให้เกิดหนี้สินทางสถาปัตยกรรม ซึ่งนำไปสู่ความเปราะบาง
ร็อบ เอนสคอฟ:
อ๋อ
รอย อาเคอร์แมน:
และอีกครั้ง เช่นเดียวกับการละเลยทั้งหมดนี้ นโยบายกลุ่ม (GPO) และแนวคิดที่ว่า "ถ้ามันไม่เสีย ก็อย่าไปซ่อมมัน" เป็นต้น ทำให้เรามาถึงจุดที่นี่คือหนึ่งในพื้นผิวที่เสี่ยงต่อการถูกโจมตีมากที่สุดในยุคของเรา
ถึงแม้ว่าเรากำลังพูดถึงเทคโนโลยีที่ออกแบบในปี 28 และ เอ่อ ขอโทษที ในปี 1998 ซึ่งก็ยังมีเวลาอีกมากพอที่จะแก้ไขปรับปรุงตัวเองได้
แอรอน เทอร์เนอร์:
งั้นลองมาดูตัวอย่างกัน คุณรู้ไหม ถ้าเราดูที่ห่วงโซ่การโจมตีของสถานการณ์แรนซัมแวร์แบบบริการ (ransomware-as-a-service) ทั่วไป... อืม... โอเค แรนซัมแวร์แบบบริการนั้น ถ้าคุณไม่คุ้นเคย ก็คือกลุ่มชาวรัสเซียกลุ่มหนึ่งได้สร้างแพลตฟอร์มแรนซัมแวร์แบบบริการขึ้นมา และคุณในฐานะผู้รับสิทธิ์แฟรนไชส์สามารถไปซื้อเครื่องมือจากพวกเขาได้ ใช่ไหม?
ดังนั้น พวกเขา—ใช่ RBAs… พวกเขาขายเครื่องมือขโมยข้อมูลและเครื่องมือเคลื่อนย้ายเครือข่ายให้คุณ พวกเขาขายมันเป็นเหมือนแพ็กเกจ คุณจะได้รับเครื่องมือเหล่านี้ เครื่องมือทั้งหมดเหล่านั้นขึ้นอยู่กับช่องโหว่ LSASS ดังนั้นหากคุณลองคิดถึงโครงสร้างนั้น Active Directoryเพราะหากพวกเขาสามารถเข้าถึง LSASS บนเซิร์ฟเวอร์ Windows ที่ไม่ได้อัปเดตแพตช์ได้ ก็ไม่สำคัญว่าจะเป็นตัวควบคุมโดเมนหรือไม่
ร็อบ เอนสคอฟ:
มม.
แอรอน เทอร์เนอร์:
เนื่องจาก LSASS ซึ่งได้รับการออกแบบในปี 1998 นั้น ถูกออกแบบมาให้แคชข้อมูลประจำตัวทั้งหมดที่เคยใช้บนเซิร์ฟเวอร์นั้น ตราบใดที่ระบบได้เริ่มทำงานแล้วใช่ไหมครับ? ดังนั้น สิ่งที่เกิดขึ้นก็คือ ด้วยความที่ผู้คนให้ความสำคัญกับความพร้อมใช้งาน กระบวนการ LSASS จึงทำงานต่อไปเรื่อยๆ เราไม่ได้ออกแบบ LSASS ให้ทำงานตลอดไป เราออกแบบ LSASS ให้เริ่มทำงานสักครั้งต่อสัปดาห์ใช่ไหมครับ?
ก็ประมาณว่า “ไม่ เราแค่จะรีเฟรชตรงนี้” อะไรประมาณนั้น ทีนี้ สิ่งที่เกิดขึ้นก็คือ ถ้าผู้โจมตีซึ่งอยู่ในกลุ่มแรนซัมแวร์ สามารถเข้าถึงเซิร์ฟเวอร์ Windows ที่ไม่ได้อัปเดตแพตช์ได้ และถ้ากระบวนการ LSASS นั้นทำงานมาเป็นเวลาหลายเดือนหรือหลายปี หรือนานเท่าที่เซิร์ฟเวอร์นั้นเปิดใช้งานอยู่ ข้อมูลประจำตัวทั้งหมดที่เคยใช้กับเครื่องนั้นก็จะอยู่ที่นั่น
ว้าว และพวกเขาสามารถทำได้ และพวกเขาก็ได้ทั้งหมด และนั่นทำให้พวกเขามีช่องทางในการเคลื่อนไหวไปในทิศทางอื่น โดยการคิดว่า “อืม” จากนั้นพวกผู้ให้บริการแรนซัมแวร์ก็จะดัมพ์กระบวนการ LSASS นั้นออกมา และเครื่องมือของพวกเขาก็จะนำไปตรวจสอบโดยอัตโนมัติว่า “โอเค ฉันมีข้อมูลรับรองผู้ดูแลระบบโดเมนอยู่ไหม? โอเค ฉันมีผู้ดูแลระบบโดเมน”
โอเค ฉันจะใช้ GPO เพื่อติดตั้งโปรแกรมเข้ารหัสของฉัน... ใช่ๆ ... และติดตั้งโปรแกรมจัดการของฉัน และเพื่อดึงข้อมูลของฉันออกมา และทำทุกอย่างที่ฉันต้องทำ” และนั่นคือสิ่งที่เกิดขึ้นในบริการแรนซัมแวร์ พวกเขาไม่จำเป็นต้องมีทักษะใดๆ พวกเขามีเครื่องมือที่พวกเขาได้รับผ่านข้อตกลงแฟรนไชส์กับกลุ่มแรนซัมแวร์แอสเซท
รอย อาเคอร์แมน:
มม.
แอรอน เทอร์เนอร์:
ดังนั้น นี่จึงเป็นตัวอย่างของ LSASS ที่ออกแบบมาในปี 1998 ซึ่งเป็นกระบวนการที่เราไม่เคยคิดว่ามันจะทำงานไปตลอดกาล แต่เนื่องจากมันทำงานไปตลอดกาล ข้อมูลประจำตัวเหล่านั้นจึงถูกทิ้งไว้โดยไม่ได้รับอนุญาต และเสี่ยงต่อการถูกขโมย
ร็อบ เอนสคอฟ:
มม.
รอย อาเคอร์แมน:
และมันก็ยังคงอยู่ตรงนั้น และฉันคิดว่ามันถูกดึงไปไว้บนคลาวด์ด้วยเช่นกัน เพราะเรายังคงพยายามสร้างการเชื่อมต่ออยู่ใช่ไหม?
ดังนั้นเราจึงกำลังซิงค์ข้อมูลประจำตัวของ AD หรือ...ใช่...คุณรู้ไหม กับระบบคลาวด์ และเราทุกคนก็รู้เกี่ยวกับภัยคุกคามต่างๆ เหล่านี้ใช่ไหม?
ร็อบ เอนสคอฟ:
ขวา.
รอย อาเคอร์แมน:
อืม และอื่นๆ ดังนั้นมันจึงถูกลากไปเรื่อยๆ แทนที่จะได้รับการแก้ไขให้เรียบร้อย ใช่ หรืออย่างที่คุณบอก มันเปิดโอกาสให้ผู้ขายหลายรายเข้ามาสร้างชั้นการป้องกันเพิ่มเติมบนนั้น
ร็อบ เอนสคอฟ:
ใช่ ผมคิดว่ามันน่าสนใจมาก เพราะว่าจากมุมมองด้านความปลอดภัย เราแทบจะตกเป็นเหยื่อของความสำเร็จของ Active Directoryใช่ไหม? สำหรับคนทั่วไปแล้ว แน่นอนว่าคอมพิวเตอร์ Windows ของพวกเขาทุกคนจะต้องเสียบปลั๊กอยู่แล้ว SQL Server ก็เสียบปลั๊กเข้าไปด้วยสิ อ้อ แล้วทำไมเราไม่เชื่อมต่อ Linux เข้ากับ AD ล่ะ?
การสร้างความเสี่ยงเชิงระบบนี้ขึ้นมา แล้วระบบคลาวด์ก็เข้ามาและบอกว่า “เฮ้-” มาซิงค์ข้อมูลประจำตัวเหล่านั้นกันเถอะ ใช่ไหม? มาทำให้มันง่ายขึ้นกันเถอะ ใช่ไหม? ดังนั้นมันจึงตกเป็นเหยื่อของความสำเร็จของตัวเอง ซึ่งจริงๆ แล้วทำให้เราเปราะบางมากขึ้นในแง่ของความเสี่ยงเชิงระบบสำหรับบริษัทต่างๆ ใช่ไหม?
แอรอน เทอร์เนอร์:
องค์กรจำนวนมากไม่เข้าใจว่าอะไร Active Directory กำลังเสิร์ฟอยู่จริง ๆ
พวกเขาก็แค่พูดว่า “อ๋อ มันใช้งานได้เลย” ใช่ไหม? ผมไม่รู้ว่ามันเป็น NTLM, NTLMv2, LDAP หรือ Kerberos ผมไม่รู้ว่าจริงๆ แล้วมันใช้ระบบอะไรกันแน่
ร็อบ เอนสคอฟ:
มม.
แอรอน เทอร์เนอร์:
ดังนั้น ผมคิดว่า ขั้นตอนแรกสำหรับองค์กรใดๆ ก็ตาม คือ คุณต้องเปิดใช้งานการบันทึกความสำเร็จ ซึ่งเป็นเรื่องที่สิ้นเปลืองและต้องใช้ทรัพยากรมาก ไม่ใช่ทุกองค์กรที่เปิดใช้งานการบันทึกความสำเร็จ
องค์กรส่วนใหญ่มีการบันทึกความล้มเหลวอยู่แล้วใช่ไหม เมื่อการตรวจสอบสิทธิ์ล้มเหลว ดังนั้นขั้นตอนแรกคือ ในช่วงระยะเวลาหนึ่ง คุณจะต้องเปิดใช้งานการบันทึกความสำเร็จ และตรวจสอบให้แน่ใจว่าคุณมีพื้นที่จัดเก็บข้อมูลเพียงพอสำหรับจัดเก็บบันทึกความสำเร็จทั้งหมด
ร็อบ เอนสคอฟ:
อ๋อ
แอรอน เทอร์เนอร์:
และตอนนี้คุณก็มีบันทึกความสำเร็จแล้ว จากนั้นฉันชอบใช้เครื่องมือต่างๆ เช่น เครื่องมือวิเคราะห์ข้อมูลต้นทุนต่ำ
โปรแกรมที่ผมชอบที่สุดที่มีเวอร์ชันสำหรับชุมชนคือ Gravwell ซึ่งออกเสียงว่า GRAV เหมือนกับ Victor WELL Gravwell มีเวอร์ชันสำหรับชุมชนที่ช่วยให้คุณสามารถนำเข้าข้อมูล XML ดิบจากตัวควบคุมโดเมน และเริ่มสร้างกราฟแสดงความสัมพันธ์แบบแรงผลักดันได้ เช่น ผมอยากเห็นผู้ใช้ทุกคนที่ใช้ LDAP ในวันนี้ หรือผมอยากเห็นผู้ใช้ทุกคนที่ใช้ LLM
ฉันอยากเห็นเซิร์ฟเวอร์ทุกเครื่องที่กำลัง ping Kerberos หรืออะไรก็ตาม และตอนนี้ฉันสามารถสร้างกลุ่มเหล่านี้ได้ด้วยภาพ เพราะพวกเราในฐานะมนุษย์ เราต้องการการมองเห็นภาพ เหมือนกับวิธีที่เราสร้างกลยุทธ์ ดังนั้นตอนนี้ฉันมีภาพให้เห็นแล้วว่า “โอ้ พระเจ้า ฉันไม่รู้เลยว่าฉันมีผู้ใช้ 1,500 คนที่ใช้ LDAP แบบข้อความธรรมดา”
นั่นแย่แล้ว” อย่างเช่น และ และอื่นๆ แต่คุณจะไม่รู้หรอกจนกว่าคุณจะเปิดใช้งานการบันทึกความสำเร็จ ดังนั้นนี่คือขั้นตอนแรก ขั้นตอนที่สองคือ ตอนนี้คุณรู้แล้วว่ามีอะไรอยู่บ้าง คุณจะกำจัดอะไรที่ใช้สิ่งเหล่านั้นได้บ้าง? หนึ่งในกลอุบายที่ฉันชอบคือ โอเค คุณมีเซิร์ฟเวอร์ห้าเครื่องนี้ที่ใช้ LDAP
พวกเขาทำอะไรเหรอ? อ๋อ มันเป็นระบบการปฏิบัติตามกฎหมายภาษีที่ใช้ฐานข้อมูล Access นี่เอง โอเค งั้นเราก็เอาข้อมูลนั้นไปใส่ใน Power Platform แล้วทำให้มันทำงานบนคลาวด์ได้ แล้วก็ปิดเซิร์ฟเวอร์นั้นไปซะ แล้วตอนนี้ฉันก็ไม่ต้องกังวลเรื่อง LDAP อีกต่อไปแล้วใช่ไหม? ฉันกำจัดต้นตอของปัญหาได้แล้ว และยังคงตอบสนองความต้องการทางธุรกิจได้ เพราะฉันสามารถใช้งานฐานข้อมูล Access ใน Power Platform ได้
ฉันไม่จำเป็นต้องมีเซิร์ฟเวอร์นั้นอยู่ที่นั่นอีกต่อไปแล้ว ดังนั้นฉันจะทำอย่างไรเพื่อปรับปรุงให้ทันสมัยและกำจัดความพึ่งพาเหล่านั้นออกไปได้? และองค์ประกอบสุดท้ายคือ เมื่อฉันอยู่บนเส้นทางนั้นแล้ว ฉันจะทำอย่างไรเพื่อสร้างกลยุทธ์การจัดการสิทธิ์แบบแบ่งส่วน เพื่อแยกการจัดการสิทธิ์บนคลาวด์ออกจากการจัดการสิทธิ์ภายในองค์กร
ฉันจะแยกผู้ปฏิบัติงานด้านความรู้จากผู้ใช้ที่มีสิทธิพิเศษ ฉันจะทำการแบ่งกลุ่มตัวตนอย่างมีเหตุผล และที่จริงแล้ว ในปี 2020 NSA ได้เผยแพร่เอกสารลับที่สำคัญที่สุดฉบับหนึ่ง ซึ่งในความคิดของฉัน พวกเขาได้เปิดเผยวิธีการที่พวกเขาช่วยให้ชาวรัสเซียออกจากกระทรวงการคลังของสหรัฐฯ ได้
นี่คือรายละเอียดการต่อสู้ของ NSA กับรัสเซียตลอดหกเดือนที่ผ่านมา และต้องขอชื่นชมพวกเขาที่ถ่อมตัวพอที่จะทำเช่นนั้น เพราะคงไม่มีใครหลายคนยกมือขึ้นแล้วพูดว่า “เฮ้ เราใช้เวลาหกเดือนในการแก้ไขปัญหานี้” และพวกเขาก็ทำเช่นนั้น ในเอกสารนั้น พวกเขาได้อธิบายและพูดว่า “ดูสิ-” ปัญหาหลักคือกระทรวงการคลังมีแผนการปกปิดข้อมูลอยู่ห้าแผน
พวกเขามี Active Directory (AD) แบบติดตั้งในองค์กร มี AD FS สำหรับซิงโครไนซ์กับ Entra ซึ่งในตอนนั้นเรียกว่า Azure AD พวกเขามี Okta และมี Duo ใช่แล้ว พวกเขามีเลเยอร์การจัดการข้อมูลประจำตัวที่แตกต่างกันถึงห้าชั้น และสิ่งที่น่าสนใจก็คือ หลายคนจะบอกว่า “ฉันย้ายไปใช้คลาวด์แล้ว เพราะฉันใช้ Okta อยู่แล้ว”
ฉันไม่เคยเห็นโปรเจ็กต์ Okta ใดๆ ทำงานได้โดยปราศจาก... Active Directoryใช่ครับ คือผมไม่เคยเห็นส่วนประกอบหลักของ Okta ทำงานได้ด้วยตัวเองเลยสักครั้ง
ร็อบ เอนสคอฟ:
นี่คือสิ่งที่ผมหมายถึง มันคือศูนย์กลางประสาทใช่ไหม? มันแขวนอยู่บนความมั่นคงขั้นพื้นฐานนั้น Active Directory ที่แกนกลาง
แอรอน เทอร์เนอร์:
ใช่ครับ และในกรณีศึกษาของ NSA ที่พูดถึงสิ่งที่เกิดขึ้นกับกระทรวงการคลังนั้น รัสเซียซ่อนตัวเพราะ NSA เข้าใกล้มาก และสมมติว่าพวกเขาเข้าใกล้มากกับ... Active Directory หากมีสัญญาณบ่งชี้ถึงการประนีประนอม พวกเขาก็จะไล่ล่าไปตามนั้น จากนั้นชาวรัสเซียก็จะเข้าไปอาศัยอยู่ในเมืองอ็อกตาชั่วระยะหนึ่ง และหาเลี้ยงชีพด้วยทรัพยากรจากที่ดินในอ็อกตา
แล้วพวกเขาก็จะไปรวมตัวกันที่อ็อกตา จากนั้นก็ไปที่ดูโอสักพัก แล้วก็จะไปรวมตัวกันที่ดูโออีก แล้วก็ไปที่เอนทราอีก แล้วเมื่อรวมตัวกันที่เอนทราอีก พวกเขาก็จะไปที่ AD FS อีก ดังนั้นโดยพื้นฐานแล้ว พวกเขาก็แค่เคลื่อนย้ายไปในที่ที่ไม่มีแสงส่องถึง เหมือนแมลงสาบ นั่นแหละคือวิถีชีวิตของพวกเขา
ดังนั้นคำแนะนำอย่างยิ่งของผมสำหรับทุกคนก็คือ ให้กำจัดระบบจัดการข้อมูลส่วนบุคคลของคุณออกไป ทำให้ระบบของคุณเรียบง่ายที่สุดเท่าที่จะเป็นไปได้ อืม... กำจัดการใช้งาน... และที่จริงแล้ว ในเอกสารไวท์เปเปอร์ของ NSA หน้าสาม พวกเขากล่าวว่า "ถ้าคุณใช้ Exchange Online คุณบ้าไปแล้วถ้าใช้ Entra Protect" พวกเขาระบุไว้อย่างชัดเจนมาก
คุณควรระมัดระวังในการใช้ระบบยืนยันตัวตนบนคลาวด์
รอย อาเคอร์แมน:
อืม... ผมคิดว่าเรื่องนั้นฟังดูสมเหตุสมผลนะครับ อย่างไรก็ตาม การแบ่งส่วนตลาดนั้นยากมาก ๆ คุณต้องรู้จักสินทรัพย์ เราต้องรู้จักแอปพลิเคชันที่พัฒนาขึ้นเองภายในองค์กร รู้จักแก่นแท้ของการเข้าถึงใช่ไหมครับ ดังนั้น ผมเชื่อว่าแม้แต่กระทรวงการคลังก็มี IDP ประมาณ 5 ตัว หรือไดเร็กทอรีที่แตกต่างกัน 5 แห่งที่ต้องซิงค์ข้อมูลเข้าด้วยกัน และแต่ละตัวก็อาจดำเนินการโดยบุคคลหรือหน่วยงานที่แตกต่างกันใช่ไหมครับ
เนื่องจากความซับซ้อนในการแบ่งกลุ่ม...อืม...เอ่อ คุณก็รู้...ดังนั้น บางส่วนของสินทรัพย์หรือทรัพยากรที่เราพยายามเข้าถึง...เอ่อ ผมหมายถึง ผมสงสัยว่า คุณเองก็คงพบเรื่องนี้เช่นกัน ในร้านค้าปลีกขนาดใหญ่ที่คุณทำงานในฐานะหัวหน้าฝ่าย IM ใช่ไหม ว่ามีข้อมูลระบุตัวตนของมนุษย์กี่แสนๆ รายการ ไม่รวมข้อมูลระบุตัวตนที่ไม่ใช่มนุษย์ด้วยใช่ไหม
อ้าง
ร็อบ เอนสคอฟ:
แน่นอนครับ ผมคิดว่าบริษัทมีพนักงานประมาณ 400,000 คนครับ เอ่อ...อาจจะระหว่างนั้นถึง 500,000 คน ขึ้นอยู่กับช่วงเวลาของปีด้วยครับ เยอะมาก...
รอย อาเคอร์แมน:
การแบ่งกลุ่ม ใช่ การแบ่งกลุ่มเป็นคำที่ไม่ดี หรือว่ามันสามารถทำได้จริง ๆ?
ร็อบ เอนสคอฟ:
ฉันคิดว่ามันทำได้นะ ฉันคิดว่ามันมีสองสิ่งสำคัญ อย่างแรกคือ การเปลี่ยนความคิดเกี่ยวกับบทบาทของระบบยืนยันตัวตน ไม่ใช่แค่การปกป้องบัญชีหรือเพิ่มระบบยืนยันตัวตนแบบหลายปัจจัย (MFA) เท่านั้น
คุณอยู่ที่นี่เพื่อปกป้องสิ่งที่สำคัญต่อธุรกิจของคุณ และอย่างที่คุณบอก การเข้าใจว่าอะไรสำคัญ การเข้าใจว่าขั้นตอนการตรวจสอบสิทธิ์เป็นอย่างไร และการเข้าถึงสำหรับสิ่งนั้นเป็นอย่างไร จากนั้นจึงออกแบบกฎเหล่านั้น แต่การมีเทคโนโลยีที่สนับสนุนคุณในการทำเช่นนั้นเป็นสิ่งสำคัญมาก
มันไม่ใช่เรื่องง่ายที่จะทำในระดับนั้น มันไม่ใช่เรื่องง่ายที่จะทำเมื่อคุณมีข้อมูลที่กระจัดกระจายและซับซ้อนขนาดนั้น แต่ฉันคิดว่าสิ่งแรกที่ต้องทำคือ การคิดในลักษณะนั้น แล้วพยายามสร้างภาพรวมใหญ่ๆ เพื่อให้เข้าใจว่าเกิดอะไรขึ้น จากนั้นจึงค่อยดำเนินการต่อไป เพราะการปกป้องทุกสิ่งทุกอย่างทุกที่พร้อมกันนั้นเป็นไปไม่ได้ แต่คุณสามารถดำเนินการที่ดีเพื่อปกป้องสิ่งที่สำคัญจริงๆ สำหรับธุรกิจของคุณได้
แอรอน เทอร์เนอร์:
ดังนั้นคุณต้องการ
รอย อาเคอร์แมน:
เพื่อดู
ร็อบ เอนสคอฟ:
ป่าทั้งหมด
แอรอน เทอร์เนอร์:
ก่อน
ร็อบ เอนสคอฟ:
จริงๆ แล้วคุณกำลังทำแบบนั้นอยู่... ถูกต้องเลย...
รอย อาเคอร์แมน:
เผง
ร็อบ เอนสคอฟ:
และ
รอย อาเคอร์แมน:
แล้วคุณ
แอรอน เทอร์เนอร์:
ควบคุมการทำงานให้ถูกต้อง
รอย อาเคอร์แมน:
ผู้ติดตามของเราสามารถเรียนรู้บทเรียนอะไรได้บ้างจากสองประเด็น คือ ประเด็นแรก วิธีที่กลุ่มอาชญากรใช้เทคโนโลยีในการดำเนินงานอย่างคล่องตัว และประเด็นที่สอง วิธีที่ตัวตนสามารถถูกบิดเบือน เช่น ถูกบุกรุก หรือถูกปลอมแปลง เมื่อพูดถึงฝั่งหน่วยงานบังคับใช้กฎหมาย
ใช่ ดูเหมือนว่าเรากำลังสร้างตอนที่น่าสนใจมาก ๆ อยู่ตรงนี้ น่าสนใจจริง ๆ
ร็อบ เอนสคอฟ:
จบลงแล้วสำหรับตอนของรายการ Identity Decoded ในครั้งนี้
แอรอน เทอร์เนอร์:
หากบทสนทนานี้เปลี่ยนความคิดของคุณเกี่ยวกับความปลอดภัยของข้อมูลส่วนบุคคล โปรดแบ่งปันกับคนที่ทำงานด้านนี้เช่นกัน
รอย อาเคอร์แมน:
ผ่านความท้าทายแบบเดียวกัน
ร็อบ เอนสคอฟ:
และอย่าลืมติดตามรายการเพื่อจะได้ไม่พลาดทุกความเคลื่อนไหว
ต่อไป.
