และอย่างที่เกริ่นไว้ข้างต้นของบทความนี้ว่า บทความนี้เป็นตอนพิเศษ โดยผมจะเล่าเรื่องราวของการวิวัฒนาการของการจัดการ Identity (Identity Management Evo) ครับ โดยผมขอเริ่มด้วยกระบวนการที่จะเข้ามาเกี่ยวข้องกับการบริหารจัดการ Identity ที่เราจะต้องเข้าไปเกี่ยวข้องไม่ว่าองค์กรของท่านจะใช้ระบบการบริหารจัดการ Identity ยี่ห้อใดก็ตาม สำหรับทความของผมขอเน้นไปที่ Microsoft Solutions (Microsoft Entra) ครับ แต่สามารถนำเอาไปประยุกต์ใช้งานกับระบบการบริหารจัดการ Identity อื่นๆ ได้ครับ ที่เกริ่นค้างไว้คือ กระบวนการที่เกี่ยวข้องกับการบริหารจัดการ Identity ซึ่งจะประกอบไปด้วย 3 กระบวนการหลักหรือเรียกกระบวนดังกล่าวนี้ว่า "AAA" ประกอบไปด้วย (แบบคร่าวๆ นะครับ)
Authentication = กระบวนในการตรวจสอบ (Verify) Identity
Authorization = กระบวนการตรวจสอบสิทธิ์ (Permissions) ของ Identity ที่ผ่านการตรวจสอบก่อนหน้านี้
Auditing = กระบวนการตรวจสอบโดยจะมีการบันทึกเหตุการณ์/Activity ต่างๆ ของ Identity ที่เกิดขึ้น
โดย AAA จะถูกดำเนินการผ่านทาง Identity Provider (IdP) ครับ เช่น ถ้าเป็นของ Microsoft เช่น Active Directory Domain Service (AD DS) ซึ่งเป็น Role (ไม่ใช่ Feature นะครับ) หนึ่งใน Windows Server ซึ่งถ้า Role ดังกล่าวนี้ติดตั้งไปที่ Windows Server ตัวใดก็ตาม เราจะเรียก Windows Server ตัวดังกล่าวที่มีการติดตั้ง AD DS Role ว่า "Domain Controller" หรือ "DC" และ DC จะทำหน้าที่ในการบริหารจัดการ Identity ผ่านทางกระบวนที่ได้อธิบายไปครับ อีก Solution ในการบริหารจัดการ Identity ซึ่งจะอยู่บน Cloud นั่นก็คือ "Microsoft Entra ID" ซึ่งเป็นสมาขิกตัวนึงที่อยู่ภายใต้ Microsoft Entra Product Family ครับ โดย Microsoft Entra ID จะถูก Bundled มาพร้อมกับ Microsoft Cloud Services เช่น Microsoft 365, Microsoft Azure, และอื่นๆ ครับ และจะดำเนินการกระบวนการ AAA เช่นกันครับ
และอย่างที่หลายท่านทราบกันว่าในช่วงที่ผ่านมาเรื่องของการบริหารจัดการ Identity ตลอดจนการ Secure & Protect Identity ถือว่าเป็นเรื่องหนึ่งที่มีความสำคัญที่ทุกๆ องค์กรจะต้องเตรียมความพร้อมตั้งแต่การวางแผนและออกแบบเพื่อดำเนินการเรื่องดังกล่าวนี้ อีกทั้ง ณ ปัจจุบัน Identity ถือว่าเป็น Foundation ของ Modern Cybersecurity ครับ เนื่องจาก Identity ถือว่าเป็นเป้าหมายหลักของการ Attacks ครับ และจึงเป็นสิ่งที่ทาง Microsoft ตลอดจน Vendors ต่างๆ ให้ความสำคัญกับเรื่องของการบริหารจัดการ Identity ครับ และต้องบอกว่าท่านใดที่สนใจเรื่องของ Cloud Security หรือ Cybersecurity ประเด็นหนึ่งหรือหัวข้อหนึ่งที่จะเข้ามาเกี่ยวข้องนั่นก็คือ "Identity" ที่ว่านี้ล่ะครับ ตลอดจนท่านใดที่รู้จัก "Zero Trust", Identity ถือว่าเป็น Foundation Pillar หรือส่วนประกอบหลักส่วนหนึ่งครับ สำหรับการที่เราจะทำการวางแผนและออกแบบเพื่อทำการ Secure & Protect IT Environments (ครอบคลุมทั้ง Hybrid และ Multi-Cloud) ครับ
ดังนั้นการที่เราจะเข้าไปเกี่ยวข้องกับการบริหารจัดการ Identity รวมถึงเรื่องของความปลอดภัยของ Identity เราจะพิจารณาและดำเนินการอย่างไร? ซึ่งก็จะเกี่ยวข้องกับ AAA กระบวนที่ได้อธิบายไปคร่าวๆ ก่อนหน้านี้ครับ โดยผมขอเริ่มจาก A ตัวแรก "Authentication" ก็จะมีคำศัพท์และคอนเซปที่เกี่ยวข้องกับ Authentication เริ่มด้วย
- Legacy Authentication หมายถึง Authentication Protocols ที่เราใช้กันในช่วงก่อนหน้านี้ โดยเฉพาะกับ Active Directory Domain Service (AD DS) เช่น NTLM และ Kerberos เป็นต้น และจะมาพร้อมกับรูปแบบ Authentication ที่เรียกว่า "Single Step Authentication" นั่นก็คือ Username และ Password ที่ผู้ใช้งานจะต้องเตรียมเพื่อเข้าสู่กระบวนนี้ (Authentication) ก่อนที่จะเข้าสู่กระบวนต่อไป
- Modern Authentication หมายถึง กระบวนที่ครอบคลุมทั้ง Authentication และ Authorization ซึ่งมีความปลอดภัยมากขึ้น โดยจะมาพร้อมกับ Authentication Protocols เช่น OAuth, SAML, WS-Federation, เป็นต้น รวมถึงวิธีการในการ Authentication ต่างๆ เช่น Multi-Factor Authentication และ Feature ต่างๆ เช่น Conditional Access (เป็น Feature หนึ่งของ Microsoft Entra ID) เป็นต้น นอกจากนี้แล้วในขั้นตอนการทำงานของกระบวน Authentication ยังมาในรูปแบบของ Claim-Based Authentication และ Tokens ครับ
ดังนั้นในช่วงที่ผ่านมารวมถึง ณ ปัจจุบัน ก่อนที่ผู้ใช้งานจะเข้าถึงข้อมูลหรือ Resources ต่างๆ ขององค์กรไม่ว่าจะอยู่ใน On-Premise และ On Cloud ก็จะต้องเข้าสู่กระบวนการ AAA โดยเริ่มจากกระบวน Authentication ซึ่งในฝั่งของผู้ใช้งานจะต้องเตรียม Username และ Password (หรือจะเรียกว่า Credential) โดยดำเนินการตามวิธีของการ Authentication ที่เรียกว่า "Single Step Authentication" ซึ่ง ณ ปัจจุบันหากองค์กรใดยังใช้วิธีดังกล่าวนี้อยู่ ก็จะต้องทราบว่ามันที่ความเสี่ยงที่จะถูก Attacks ด้วยเทคนิคต่างๆ เช่น Phishing, Brute Force, และอื่นๆ เพราะ Attackers ต้องการขโมย Credentials ของผู้ใช้งาน เพื่อจะได้นำเอา Credentials ที่ได้ไป นำไปใช้งานครับ ดังนั้นเพื่อเป็นการป้องกันหรือทำให้วิธี Single Step Authentication มีความปลอดภัยมากขึ้น ก็จะต้องมีการกำหนดและบังคับใช้เรื่องของ Password Policy, Account Lockout Policy, เป็นต้นครับ
จากนั้นในเวลาต่อมาครับ ก็จะมีคอนเซปและวิธีการใหม่เข้าในช่วงเวลานั้นๆ นั่นก็คือ "Multi-Factor Authentication" หรือ "MFA" ซึ่งจะมาใช้แทนวิธีเดิม (Single Step Authentication) ครับ และโดยคอนเซปของ MFA คือ ในกระบวนการ Authentication จากเดิมที่เป็น Single Step ก็จะมีการเพิ่มอีก Step หนึ่งเข้าไปเพื่อทำให้กระบวนการ Authentication มีความปลอดภัยมากขึ้นครับ
โดยในคอนเซปและการทำงานของ MFA จะประกอบไปด้วย:
- Something you know เช่น Username และ Password, PIN, เป็นต้น
- Something you have เช่น Mobile Phone, Smart Card, Security Key, Certificate, เป็นต้น
- Something you are เช่น Biometric (Facial Recognition, Fingerprint, เป็นต้น)
โดยมีหลากหลายวิธีให้เลือกใช้สำหรับ MFA ครับ ยกตัวอย่างเช่น
1. MFA-Mobile Phone, จะมีการใช้ SMS ในการรับ Verification Code หรือ Voice Call *Microsoft ได้มีการแจ้งเตือนว่าทาง Microsoft จะมีการ Retire หรือเลิกใช้ในเร็วนี้ตาม Timeline ที่ทาง Microsoft ได้มีการกำหนดไว้ครับ Passkeys by default and retirement of Microsoft-provided SMS and voice authentication - Microsoft Entra ID | Microsoft Learn
2. MFA-OATH Token, จะมีทั้งที่เป็น Hardware Token และ Software Token
3. MFA-Microsoft Authenticator App, จะเป็นวิธีที่เกี่ยวข้องกับคอนเซปและเทคโนโลยี "Passwordless Authentication" และใช้ Asymmetric Key Pair และ Protected ด้วย Biometrics, เป็น Message ส่งมาให้เรากด Approve จากผู้ใช้งาน (ซึ่งเราเรียกการทำงานดังกล่าวว่า Push Notification) ต่อมาทาง Microsoft ได้ทำการพัฒนาความสามารถของ Microsoft Authenticator ออกมาหลายอย่างครับ หนึ่งในนั้น คือ ความสามารถในการป้องกัน MFA Fatigue โดยจะต้องมีการกดตัวเลข (2 หลัก) เพื่อแก้ความเสี่ยงเดิม คือ ผู้ใช้งานได้รับการแจ้งเตือนจาก Push Notification แล้วกด Approve ตามที่ได้อธิบายไว้ก่อนหน้านี้ครับ และมีการแสดงชื่อของ Identity (เช่น Apps) และ Geographic Location เพิ่มเข้ามาด้วยครับ
4. MFA-Windows Hello for Business (WHB), *เป็น "Windows Hello สำหรับใช้งานในองค์กร และเป็นวิธีที่เกี่ยวข้องกับคอนเซปและเทคโนโลยี "Passwordless Authentication"และใช้ Asymmetric Key Pair โดยมีการผูก Key เข้ากับ Device (TMP Chip)
5. MFA-FIDO2 Security Key, เป็นวิธีที่จะต้องใช้ Hardware เข้ามาใช้งาน และเป็นวิธีที่เกี่ยวข้องกับคอนเซปและเทคโนโลยี "Passwordless Authentication" และใช้ Asymmetric Key Pair
จากนั้นก็จะมาถึง "Passkeys" ครับ ซึ่งทาง Microsoft จะนำเข้ามาใช้ในการบริหารจัดการ Identity ในส่วนของกระบวนการ Authentication โดย Microsoft ได้เตรียม Microsoft Entra และ Microsoft Entra ID รองรับการทำงานร่วมกับ Passkeys เพื่อใช้ในกระบวนการ Authentication และรองรับกับ MFA ด้วยครับ เพราะตัวของ Passkeys คือ รูปแบบของการ Authentication ที่มีความปลอดภัยมากกว่าเดิม และมาพร้อมกับความสามารถต่างๆ เช่น Phishing-Resistant และอื่นๆ ครับ รายละเอียดเพิ่มเติมเกี่ยวกับเรื่องของ Passkeys กับ Microsoft Entra ไปที่ Links เหล่านี้ครับ
ประมาณนี้ครับผม.....
ไม่มีความคิดเห็น:
แสดงความคิดเห็น