تفکیک حسابهای ادمین؛ اصل طلایی امنیت در AD
حساب کاربری جدا، یعنی امنیت پایدار
یکی از رایجترین اشتباهات امنیتی در سازمانها استفاده روزمره از حسابهای ادمینی است. این اشتباه، در دنیای حملات سایبری، مثل این میمونه که کلید گاوصندوقو بدی دست هر رهگذری که از جلوی شرکت رد میشه.
تفکیک حسابهای ادمین و غیرادمین (Admin vs. Standard Accounts)
🔹 مشکل:
بسیاری از مدیران شبکه و IT برای راحتی، با حساب Domain Admin وارد ویندوز میشن، ایمیل چک میکنن، وبگردی میکنن یا حتی کارهای روزمرهشون رو انجام میدن.
🔹 چرا اشتباهه؟
اگر حملهای از طریق وبسایت مخرب، ایمیل فیشینگ یا حتی یک USB آلوده انجام بشه، و شما با حساب Domain Admin لاگین کرده باشی، هکر مستقیماً به کل دامنه دسترسی پیدا میکنه — بدون حتی نیاز به privilege escalation!
✅ راهکار:
برای هر ادمین، دو حساب مجزا تعریف کن:
🧑💼 حساب کاربری عادی برای کارهای روزمره (ایمیل، مرورگر، ابزارهای داخلی)
🛡️ حساب ادمین صرفاً برای انجام کارهای مدیریتی (مثل Active Directory، Group Policy، سرور و…)
🌐 عدم دسترسی اینترنت برای حسابهای ادمین
🔹 چرا؟
وقتی حساب ادمینی به اینترنت دسترسی داره، فقط یک کلیک اشتباه روی یک لینک یا فایل مخرب کافیه تا تمام زیرساخت به خطر بیفته.
✅ راهکار:
حسابهای با privilege بالا مثل Domain Admin، Enterprise Admin، Schema Admin و غیره باید به هیچوجه به اینترنت یا ایمیل دسترسی نداشته باشن.
به جای اون، از ایستگاههای کاری مدیریتشده و امن (Privileged Access Workstations یا PAW) استفاده کن.
🔐 فعالسازی MFA روی تمام حسابهای حساس
🔹 چی میشه اگه اکانت ادمینی لو بره؟
حتی اگه رمز عبور قوی باشه، نشت یا حمله brute force میتونه باعث لو رفتنش بشه.
✅ راهکار:
روی تمام حسابهای با دسترسی بالا، احراز هویت چندمرحلهای (MFA) پیاده کن.
اگه از سرویسهای داخلی استفاده میکنی، راهکارهای MFA مثل Duo, Azure MFA, یا ADFS MFA مناسب هستن.
👥 گروههای Privileged رو مینیمال نگه دار
🔹 منظور از گروه Privileged چیه؟
مثل Domain Admins, Enterprise Admins, Schema Admins, Backup Operators, Account Operators.
🔹 مشکل رایج:
افرادی برای همیشه عضو این گروهها میمونن. یعنی دائم دسترسی ادمین دارن، حتی وقتی نیازی ندارن.
✅ راهکار:
عضویت در این گروهها باید موقتی باشه.
استفاده از ابزارهایی مثل Just-In-Time Access یا Privileged Access Management (PAM) در Windows Server یا Microsoft Entra (سابقاً Azure AD) بهت اجازه میده تا دسترسیها با تأیید مدیر و بهصورت محدود زمانی داده بشن.
همیشه گزارش بگیر که چه کسی کی عضو گروهها شده و چه کاری انجام داده.
🔁 بررسی و پاکسازی دسترسیها بهصورت دورهای
هر ماه بررسی کن چه اکانتهایی در گروههای با دسترسی بالا هستن.
دسترسیهایی که استفاده نمیشن یا اضافهان رو حذف کن.
از اصل Least Privilege Access پیروی کن: یعنی هر کسی فقط به چیزی دسترسی داشته باشه که نیاز داره — نه بیشتر.
🧠 نتیجهگیری
هکرها همیشه دنبال سادهترین مسیر هستن، و هیچ مسیری سادهتر از حساب Domain Adminی نیست که ایمیل باز میکنه و تو وب میچرخه.
با رعایت اصول بالا، سطح حمله (Attack Surface) رو تا حد زیادی کاهش میدی و امنیت زیرساخت AD رو حرفهای مدیریت میکنی.