วางสิทธิ์ผู้ใช้ VPN ในองค์กรอย่างไร

เวลาองค์กรเลือก VPN ของบริษัท คำถามที่มักถามคืออุโมงค์ ใช้โปรโตคอลอะไร เร็วแค่ไหน ต่อได้กี่คน แต่คำถามที่สำคัญกว่าคือสิ่งที่เกิดขึ้นหลังจากคนเชื่อมต่อแล้ว นักบัญชีเข้าเซิร์ฟเวอร์ของนักพัฒนาได้ไหม ผู้รับเหมาเห็นเครือข่ายออฟฟิศทั้งหมดหรือเปล่า บัญชีของอดีตพนักงานยังใช้ได้อยู่ไหม คำถามเหล่านี้คือเรื่องการควบคุมสิทธิ์เข้าถึง และในทางปฏิบัติมันตัดสินว่า VPN เป็นประตูที่แข็งแรง หรือเป็นประตูที่ไม่ได้ล็อกซึ่งติดกุญแจสวย ๆ ไว้เฉย ๆ

บทความนี้เป็นคู่มือปฏิบัติสำหรับการจัดสิทธิ์ VPN องค์กรขนาดเล็กถึงกลาง ครอบคลุมองค์ประกอบพื้นฐาน คือผู้ใช้ กลุ่ม และสิทธิ์ หลักการให้สิทธิ์น้อยที่สุด การแยกเครือข่าย การรับคนเข้า ย้ายตำแหน่ง และลาออก และการทบทวนสิทธิ์โดยไม่ให้กลายเป็นงานเต็มเวลา เขียนสำหรับคนที่ดูแล VPN ให้ทีม ไม่ใช่คนที่ใช้แอป VPN เพื่อความเป็นส่วนตัวส่วนบุคคล ถ้าไม่แน่ใจว่าคุณเป็นแบบไหน เริ่มจากการเปรียบเทียบ VPN ธุรกิจกับ VPN ส่วนตัว

สามคำถามที่การควบคุมสิทธิ์ตอบ

ทุกการตัดสินใจเรื่องสิทธิ์สรุปได้เป็นสามคำถาม เรียงตามลำดับนี้

1. คุณคือใคร นี่คือการยืนยันตัวตน ระบบตรวจรหัสผ่าน ปัจจัยที่สอง ใบรับรอง หรือหลายอย่างรวมกัน
2. คุณได้รับอนุญาตให้เชื่อมต่อไหม นี่คือการอนุญาตที่ประตูหน้า ตัดสินว่าบัญชีของคุณใช้ VPN ได้หรือไม่ และจากอุปกรณ์แบบไหน
3. เมื่อเชื่อมต่อแล้วคุณเข้าถึงอะไรได้ นี่คือการอนุญาตภายในเครือข่าย ตัดสินว่าเซสชันของคุณแตะเซิร์ฟเวอร์ พอร์ต และแอปใดได้

องค์กรเล็กจำนวนมากทำข้อแรกได้พอใช้ และแทบไม่ทำอะไรกับข้อที่สาม ผลที่ได้คือเครือข่ายแบน เมื่อคนเข้ามาแล้ว เห็นได้ทุกอย่าง นี่คือจุดอ่อนเดียวที่พบบ่อยที่สุดในการตั้งค่า VPN ของบริษัท และเปลี่ยนแล็ปท็อปที่ถูกขโมยเครื่องเดียวหรือรหัสผ่านที่ถูกหลอกเพียงรหัสเดียวให้เป็นปัญหาของทั้งบริษัท

การออกแบบที่ดีจึงผลักการควบคุมเข้าไปข้างใน ไม่หยุดแค่ "คนนี้เชื่อมต่อได้ไหม" แต่ไปต่อที่ "คนนี้เปิดประตูบานไหนได้บ้าง"

เริ่มจากบัญชีรายบุคคล

รากฐานง่ายมากและมักถูกข้าม ทุกคนมีบัญชีของตัวเอง

• ไม่มีล็อกอินร่วม บัญชีร่วมชื่อ "office" หรือ "support" ทำให้ไม่รู้ว่าใครเชื่อมต่อ และถอดคนหนึ่งออกโดยไม่กระทบทุกคนไม่ได้
• ชื่อผูกกับไดเรกทอรีจริง บัญชีควรสร้างจากรายชื่อพนักงานเดียวกับที่ฝ่ายบุคคลและไอทีใช้ เพื่อไม่ให้มีใครอยู่บน VPN โดยไม่ได้เป็นสมาชิกปัจจุบันของทีม
• บัญชีแอดมินแยกต่างหาก คนที่ดูแล VPN ควรใช้บัญชีปกติสำหรับงานประจำวัน และใช้บัญชีสิทธิ์สูงแยกต่างหากเฉพาะงานบริหารระบบ
• บันทึกบัญชีบริการ เครื่องที่เชื่อมต่อเอง เช่นอุปกรณ์ที่สาขา ก็ต้องมีบัญชี ให้สิทธิ์แคบ ๆ และมีเจ้าของที่ระบุชื่อ

ไดเรกทอรีผู้ใช้ที่มีบทบาทของแต่ละคนเป็นแหล่งข้อมูลเดียวที่ถูกต้องสำหรับทุกอย่างที่ตามมา ถ้าคุณมีระบบตัวตนสำหรับอีเมลและเอกสารอยู่แล้ว การเชื่อม VPN เข้ากับระบบนั้นช่วยประหยัดงานซ้ำซ้อนได้มาก

ใช้กลุ่ม ไม่ใช่สิทธิ์เฉพาะราย

การตั้งสิทธิ์ทีละคนใช้ได้กับห้าคนและพังที่ยี่สิบคน รูปแบบที่ดีกว่าคือกำหนดกลุ่มที่แทนบทบาท ให้สิทธิ์กับกลุ่ม แล้วใส่คนเข้ากลุ่ม

กลุ่มทั่วไปสำหรับองค์กรเล็ก

• ทุกคน เข้าถึงเฉพาะบริการร่วม เช่น อีเมลและแชต
• การเงิน เข้าระบบบัญชีและโฟลเดอร์การเงิน
• วิศวกรรม เข้าเซิร์ฟเวอร์พัฒนาและบริการโฮสต์โค้ด
• ซัพพอร์ต เข้าระบบตั๋วและเครื่องมือลูกค้า
• ผู้ดูแลระบบไอที เข้าอินเทอร์เฟซบริหาร โดยใช้บัญชีแอดมินแยก
• ผู้รับเหมา เข้าถึงแบบแคบและมีกำหนดเวลา เฉพาะโครงการเดียว

เมื่อมีคนเข้า คุณใส่เขาในกลุ่มที่ถูกต้องและเขามีสิ่งที่ต้องใช้ เมื่อเปลี่ยนบทบาท คุณย้ายเขา เมื่อออก คุณถอดเขาออกและทุกอย่างหายไปด้วยกัน วิธีนี้ทำให้การทบทวนอ่านง่ายด้วย รายการห้ากลุ่มตรวจง่ายกว่ารายการกฎเฉพาะรายร้อยข้อมาก

ใช้หลักสิทธิ์น้อยที่สุด

หลักสิทธิ์น้อยที่สุด (least privilege) คือให้แต่ละกลุ่มมีสิทธิ์ขั้นต่ำที่ทำงานได้ และไม่เกินนั้น ใน VPN มีสามชั้นในทางปฏิบัติ

ชั้นเครือข่าย กำหนดว่ากลุ่มใดเข้าซับเน็ตหรือที่อยู่ใดได้ การเงินเข้าเซิร์ฟเวอร์บัญชีได้ แต่ไม่มีเหตุผลต้องเข้าเซิร์ฟเวอร์สำหรับ build

ชั้นพอร์ตและบริการ แม้ในเครือข่ายเดียวกัน อนุญาตเฉพาะพอร์ตที่จำเป็น กลุ่มที่ต้องใช้แอปเว็บไม่จำเป็นต้องเข้าพอร์ตฐานข้อมูลที่อยู่หลังมัน

ชั้นเวลาและอุปกรณ์ บางสิทธิ์อนุญาตเฉพาะเวลาทำงาน จากอุปกรณ์ที่มีการจัดการ หรือช่วงเวลาตายตัว เช่นความยาวของโครงการ

เหตุผลเดียวกับที่วางไว้ใน แนวทางการทำงานทางไกลและการเข้าถึงระยะไกลของ NIST คือจำกัดสิ่งที่อุปกรณ์ระยะไกลเข้าถึงได้ให้เท่าที่จำเป็น และปกป้องเส้นทางระหว่างสองปลาย โมเดลที่สมบูรณ์กว่า ซึ่งทุกคำขอถูกตรวจตามเนื้อหาของตัวเอง อธิบายไว้ใน zero trust architecture ของ NIST และบทความเปรียบเทียบ zero trust กับ VPN อธิบายความสัมพันธ์กับ VPN แบบดั้งเดิม

ตัวอย่างตารางสิทธิ์

ตารางแบบนี้ควรเขียนไว้ แม้ในบริษัทสิบคน มันเปลี่ยน "ใครเข้าอะไรได้" จากความรู้สึกให้กลายเป็นเอกสาร

กลุ่ม	อีเมลและแชต	ไฟล์ร่วม	ระบบบัญชี	เซิร์ฟเวอร์พัฒนา	ระบบตั๋ว	อินเทอร์เฟซบริหาร
ทุกคน	ได้	โฟลเดอร์ทั่วไป	ไม่	ไม่	ไม่	ไม่
การเงิน	ได้	โฟลเดอร์การเงิน	ได้	ไม่	ไม่	ไม่
วิศวกรรม	ได้	โฟลเดอร์วิศวกรรม	ไม่	ได้	ไม่	ไม่
ซัพพอร์ต	ได้	โฟลเดอร์ซัพพอร์ต	ไม่	ไม่	ได้	ไม่
ผู้ดูแลระบบไอที	ได้	ทั้งหมดตามจำเป็น	ไม่	จำกัด	ได้	ได้ ผ่านบัญชีแอดมิน
ผู้รับเหมา	ได้	โฟลเดอร์โครงการของตน	ไม่	เฉพาะโครงการของตน	เฉพาะที่จำเป็น	ไม่

สังเกตสิ่งที่ตารางแสดง ไม่มีใครเข้าถึงทุกอย่าง แถวผู้ดูแลระบบกว้าง แต่ก็ยังไม่ได้เปิดทั้งหมด และใช้บัญชีแยก ผู้รับเหมาเห็นโครงการเดียว ไม่ใช่ทั้งบริษัท แต่ละช่อง "ไม่" คือประตูที่บัญชีที่ถูกขโมยเปิดไม่ได้

แยกเครือข่ายภายในอุโมงค์

กลุ่มทำงานได้ดีที่สุดเมื่อเครือข่ายถูกแบ่งส่วน เพื่อให้สิทธิ์ของกลุ่มตรงกับขอบเขตจริง เรียกว่า segmentation โมเดลง่าย ๆ สำหรับองค์กรเล็ก

• ส่วน ทั่วไป สำหรับบริการออฟฟิศปกติ
• ส่วน การเงิน สำหรับระบบบัญชีและเอกสารละเอียดอ่อน
• ส่วน พัฒนา สำหรับเซิร์ฟเวอร์ build และสภาพแวดล้อมทดสอบ
• ส่วน บริหาร สำหรับอุปกรณ์เครือข่ายและอินเทอร์เฟซแอดมิน เข้าถึงได้เฉพาะกลุ่มเล็ก ๆ
• ส่วน แขกและผู้รับเหมา สำหรับคนภายนอก เข้าถึงเฉพาะสิ่งที่โครงการต้องใช้

VPN จึงกำหนดช่วงที่อยู่หรือกฎไฟร์วอลล์ให้แต่ละกลุ่มตรงกับส่วนของตน ถ้าแล็ปท็อปของผู้รับเหมาติดมัลแวร์ มัลแวร์เห็นเฉพาะส่วนของผู้รับเหมา ถ้าคุณอัปเดตและเฝ้าดูเซิร์ฟเวอร์ด้วย ความเสียหายก็จำกัดอยู่ในพื้นที่เล็ก

การยืนยันตัวตนให้เหมาะกับความเสี่ยง

รหัสผ่านอย่างเดียวคือตัวเลือกที่อ่อนที่สุด VPN คือประตูหน้าขององค์กร การยืนยันตัวตนของมันควรได้รับการดูแลมากที่สุด

1. ล็อกอินหลายปัจจัยสำหรับทุกคน ปัจจัยที่สองจากแอปยืนยันหรือกุญแจความปลอดภัยทำให้รหัสผ่านที่ถูกขโมยมีประโยชน์น้อยลงมาก คู่มือ multi-factor authentication ของ CISA และบทความ การยืนยันตัวตนสองขั้นตอน อธิบายตัวเลือก ควรเลือกแบบแอปหรือฮาร์ดแวร์มากกว่าข้อความ SMS เมื่อทำได้
2. ใบรับรองอุปกรณ์ สำหรับแล็ปท็อปที่องค์กรจัดการ เพื่อให้เฉพาะอุปกรณ์ที่คุณออกให้เชื่อมต่อได้ แม้รหัสผ่านรั่ว ดู ใบรับรองของ VPN ทำงานอย่างไร
3. กฎรหัสผ่านที่เน้นความยาว ไม่ใช่บังคับเปลี่ยนบ่อย ตาม แนวทางข้อมูลประจำตัวดิจิทัลของ NIST
4. การล็อกและแจ้งเตือน เมื่อล้มเหลวซ้ำ เพื่อให้มีคนสังเกตเมื่อบัญชีกำลังถูกเดา
5. เซสชันสั้น สำหรับกลุ่มละเอียดอ่อน แล็ปท็อปที่เปิดทิ้งไว้จะไม่เชื่อมต่อค้างหลายวัน

เลือกความเข้มตามกลุ่ม ผู้รับเหมาที่เข้าถึงแคบอาจต้องการแค่รหัสผ่านที่แข็งแรงกับปัจจัยที่สอง ผู้ดูแลระบบที่เข้าอุปกรณ์เครือข่ายควรต้องมีกุญแจฮาร์ดแวร์และอุปกรณ์ที่องค์กรจัดการ

คนเข้า ย้าย และออก

ปัญหาสิทธิ์ส่วนใหญ่เกิดตอนเปลี่ยนผ่าน กระบวนการที่เรียบง่ายและเขียนไว้ช่วยป้องกัน

คนเข้า

1. ผู้จัดการขอสิทธิ์สำหรับบุคคลที่ระบุชื่อ พร้อมบอกบทบาท
2. ไอทีสร้างบัญชี ใส่คนเข้ากลุ่มที่ตรงกัน และออกปัจจัยที่สอง
3. พนักงานใหม่ลงทะเบียนอุปกรณ์และทดสอบการเชื่อมต่อ
4. บันทึกว่าใครอนุมัติสิทธิ์และเมื่อไร

คนย้าย เมื่อคนเปลี่ยนทีม ให้ถอดกลุ่มเก่าในวันเดียวกับที่เพิ่มกลุ่มใหม่ สิทธิ์สะสมจากบทบาทในอดีตเป็นหนึ่งในวิธีที่พบบ่อยที่สุดที่ทำให้พนักงานเงียบ ๆ คนหนึ่งมีสิทธิ์มากกว่าที่ใครตั้งใจ

คนออก ในวันสุดท้าย ปิดบัญชี VPN เพิกถอนใบรับรองและโทเค็นทั้งหมด และตัดเซสชันที่ยังเปิดอยู่ อย่ารอถึงสิ้นเดือน บัญชีของพนักงานที่ออกไปแล้วเป็นเป้าหมายยอดนิยม เพราะไม่มีใครเฝ้าดู

ผู้รับเหมาและพนักงานชั่วคราว กำหนดวันสิ้นสุดให้ทุกบัญชีภายนอกตอนสร้าง เมื่อถึงวันนั้นบัญชีควรหมดอายุ เว้นแต่มีคนต่ออายุอย่างตั้งใจ

บันทึก การเฝ้าดู และการทบทวนสม่ำเสมอ

การควบคุมสิทธิ์ที่ไม่มีใครตรวจจะเลื่อนไหลไป วางนิสัยง่าย ๆ สามอย่าง

• เก็บบันทึกการล็อกอิน บันทึกว่าใครเชื่อมต่อ จากอุปกรณ์ใด และเมื่อไร เก็บในระยะที่สอดคล้องกับข้อผูกพันของคุณ อย่าเก็บข้อมูลส่วนบุคคลมากกว่าที่จำเป็น
• สังเกตความผิดปกติ ความล้มเหลวซ้ำ การเชื่อมต่อในเวลาแปลก หรือบัญชีเดียวล็อกอินจากสองที่ห่างกันในเวลาสั้น ควรดูให้ละเอียด
• ทบทวนทุกไตรมาส ให้เจ้าของแต่ละกลุ่มยืนยันว่าสมาชิกทุกคนยังต้องใช้สิทธิ์ สำหรับบัญชีสิทธิ์กว้าง ทบทวนทุกเดือน ถอนทุกอย่างที่ไม่มีใครให้เหตุผลได้

การทบทวนไม่จำเป็นต้องหนัก รายการหนึ่งหน้าต่อกลุ่ม ที่ผู้จัดการเซ็นรับรอง เพียงพอสำหรับองค์กรเล็กส่วนใหญ่ และสร้างบันทึกที่ลูกค้าและผู้ตรวจสอบชื่นชม

สามตัวอย่าง

เอเจนซีสิบคน เอเจนซีมีเราเตอร์ออฟฟิศตัวเดียวที่มี VPN และทุกคนใช้ล็อกอินเดียว หลังแล็ปท็อปถูกขโมย พวกเขาพบว่าไม่รู้ว่าต้องเปลี่ยนล็อกอินใด จึงย้ายไปใช้บัญชีรายบุคคลพร้อมปัจจัยที่สอง กำหนดสามกลุ่ม คือพนักงาน การเงิน และผู้รับเหมา และจำกัดผู้รับเหมาไว้ที่โฟลเดอร์โครงการเดียว ตั้งค่าใช้เวลาหนึ่งบ่าย การทบทวนรายไตรมาสใช้สิบห้านาที

บริษัทซอฟต์แวร์สามสิบคน นักพัฒนาต้องใช้เซิร์ฟเวอร์พัฒนา ซัพพอร์ตต้องใช้ระบบตั๋ว และการเงินมีระบบของตัวเอง บริษัทสร้างส่วนเครือข่ายสำหรับแต่ละอย่างและจับคู่กลุ่มกับส่วนนั้น ผู้ดูแลระบบใช้บัญชีแยกพร้อมกุญแจฮาร์ดแวร์ เมื่อนักพัฒนาย้ายไปซัพพอร์ต กลุ่มวิศวกรรมถูกถอดในวันเดียวกัน

คลินิกที่มีแพทย์เฉพาะทางจากภายนอก แพทย์ที่มาเยี่ยมต้องใช้ระบบเวชระเบียนระบบเดียวไม่กี่ชั่วโมงต่อสัปดาห์ แทนที่จะให้สิทธิ์ VPN เต็มรูปแบบ พวกเขาอยู่ในกลุ่มผู้รับเหมาที่เข้าถึงเฉพาะระบบนั้น มีปัจจัยที่สอง และบัญชีหมดอายุเมื่อสิ้นสุดสัญญา คลินิกแสดงได้ชัดว่าใครเข้าเวชระเบียนผู้ป่วยได้ ซึ่งสำคัญต่อการปฏิบัติตามข้อกำหนดของตนเอง

ข้อผิดพลาดที่ควรเลี่ยง

• เครือข่ายแบนหลัง VPN การยืนยันตัวตนที่ประตูหน้าโดยไม่มีขีดจำกัดภายใน เหมือนทางเดินที่ทุกประตูเปิดอยู่
• บัญชีร่วม ทำให้ไม่มีความรับผิดชอบและการถอนคนออกยุ่งเหยิง
• สิทธิ์ที่มีแต่เพิ่ม ถ้าไม่ทบทวน สิทธิ์จะสะสม
• ลืมบัญชีบริการและบัญชีผู้รับเหมา บัญชีเหล่านี้คือบัญชีที่ไม่มีใครสังเกต
• ไว้ใจอุปกรณ์เพียงเพราะรหัสผ่านถูก ตรวจอุปกรณ์ในที่ที่ทำได้
• ใช้แอป VPN สำหรับผู้ใช้ทั่วไปทำงานนี้ บริการ VPN สำหรับบุคคลปกป้องทราฟฟิกของคนคนเดียว ไม่ได้ให้คุณกำหนดว่าใครในองค์กรเข้าระบบภายในใด ต้องใช้ VPN หรือ gateway ที่คุณรันหรือซื้อสำหรับงานธุรกิจ

สรุป

การควบคุมสิทธิ์ตัดสินว่า VPN ของบริษัทเป็นประตูที่แข็งแรงหรือเป็นเพียงอุโมงค์ ให้ทุกคนมีบัญชีของตัวเอง จัดคนเข้ากลุ่มตามบทบาท ให้แต่ละกลุ่มมีสิทธิ์น้อยที่สุดที่ทำงานได้ และแบ่งเครือข่ายเพื่อให้สิทธิ์ตรงกับขอบเขตจริง ปกป้องการล็อกอินด้วยปัจจัยที่สอง และสำหรับแล็ปท็อปที่องค์กรจัดการ ใช้ใบรับรองอุปกรณ์ จัดการคนเข้า ย้าย และออกด้วยกระบวนการที่เขียนไว้ เก็บบันทึกการล็อกอิน และทบทวนสิทธิ์ตามกำหนดตายตัว

ถ้าคุณกำลังดู VPN ส่วนตัวสำหรับการเดินทางหรือ Wi-Fi สาธารณะของตัวเองด้วย หน้าราคา แสดงว่าพาสแบบเติมเงินทำงานอย่างไร แต่จำไว้ว่ามันปกป้องทราฟฟิกของคุณเอง และแยกจากการควบคุมสิทธิ์ที่องค์กรของคุณรัน