零信任模型的重要性
零信任模型在現代網路安全中至關重要，它顯著降低人為錯誤的風險，並在快速變化的環境中提供最大的保護。然而，許多人忽視了一個核心方面：保護 Active Directory（AD）的必要性。
零信任的三大核心原則
- 明確驗證：通常透過多因素驗證（MFA）達成，應用自動化技術以確保不留操作空間給錯誤或操控。
- 最小特權存取：每位用戶應只獲得執行工作所需的權限，包括 IT 人員和 CEO。
- 假設已被入侵：每天都要假設系統已被攻破，持續驗證加密、監控威脅，並積極強化防禦。
Active Directory：零信任的身份驗證閘道
AD 在任何零信任策略中都是基礎。根據 Frost & Sullivan 的說法，它「掌握著你的王國的鑰匙」。事實上，全球財富 1000 強企業中約 90% 使用 AD 作為主要的身份驗證和授權方法。
雖然 AD 本身具備安全設計，但仍是惡意攻擊者的主要目標。他們可能會利用被入侵的帳戶或弱密碼以取得初步立足點，進而通過各種攻擊方法提升權限。
常見的 AD 問題
過多的權限
正如微軟所指出的，「憑證盜竊攻擊依賴於管理員向某些帳戶授予過多權限」。應限制管理員權限，只授予完成特定跨 AD 域或需要提升許可的任務所需的權限。
無限制委派風險
無限制委派使服務能夠透過 Ticket Granting Ticket（TGT）模仿任何用戶，且該 TGT 會被儲存在記憶體中並重用。若攻擊者能成功攻破 TGT，便能模仿用戶並危害敏感資源。
腐朽和孤立的管理帳戶
腐朽、未使用或孤立的服務帳戶可能被攻擊者利用，以未被檢測的方式存取資源。這與需要最小特權存取有關。應通過審計過程檢測並移除這些帳戶。
弱密碼和重複使用的密碼
密碼仍是安全的基石，包括在 AD 中。攻擊者可利用 kerberoasting 攻擊要求服務票據，然後試圖離線破解它們；若密碼不夠複雜，這將大大降低破解難度。
將零信任原則應用於 Active Directory
實施微分段
隔離重要資產，如關鍵數據庫和應用程式，減少潛在攻擊者的橫向移動範圍。