Bài 77. Quản lý danh tính (4): PAM, các loại tài khoản, emergency access, gMSA, access review, giám sát credential bị lộ

Khóa học CompTIA Security+ SY0-801 · Phần 4: Vận hành bảo mật · Bài 77 · 🎯 Objective 4.5 · ⏱️ Đọc khoảng 18 phút · 🧪 Không cần lab · 📝 5 câu bài tập cuối bài

🎯 Mục tiêu bài học

• Hiểu PAM (Privileged Access Management) và các kỹ thuật: vault, just-in-time, ghi phiên, tách tài khoản quản trị.
• Phân biệt các loại tài khoản: thường, đặc quyền, dịch vụ, dùng chung, khách, khẩn cấp (break-glass).
• Biết cách quản lý tài khoản dịch vụ và vai trò của gMSA.
• Nắm access review và giám sát credential bị lộ, khép lại Objective 4.5.

📎 Vị trí trong đề thi: bài này khép lại ba bài trước của Objective 4.5: vòng đời danh tính (Bài 74), xác thực (Bài 75) và mô hình phân quyền (Bài 76). Nó dùng lại đặc quyền tối thiểu, log và SIEM (Bài 71), và tấn công mật khẩu (Bài 32). Bài 78 sẽ chuyển sang tự động hóa.

💡 Liên hệ thực tế: chìa khóa vạn năng

Cửa hàng chị Lan có một tài khoản quản trị chung cho hệ thống máy chủ, mật khẩu ghi trong một tệp ai cũng mở được, và hai người dùng nó hằng ngày, kể cả để đọc email. Một lần, nhân viên IT thuê ngoài bấm nhầm đường link lừa đảo ngay trên chính phiên quản trị đó. Nếu kẻ tấn công lấy được phiên này, hắn có quyền cao nhất trên toàn hệ thống. Đây là tình huống minh họa, không phải vụ việc có thật.

Nam rút ra ba việc: tách tài khoản quản trị khỏi tài khoản dùng hằng ngày, cất mật khẩu vào kho và chỉ cấp tạm thời, có duyệt, có ghi lại, và đặt một tài khoản khẩn cấp được cất kín cho trường hợp hệ thống đăng nhập hỏng. Đó chính là PAM.

🛡️ Hình 77a. Quyền đặc biệt chỉ tồn tại đúng lúc cần và có bằng chứng ghi lại.

📘 Kiến thức cốt lõi

🧩 Các loại tài khoản

🧾 Hình 77b. Mỗi loại tài khoản có rủi ro riêng, nên cần cách quản lý riêng.

🔒 PAM: quản lý quyền đặc biệt

PAM (Privileged Access Management) là tập hợp kỹ thuật và công cụ để bảo vệ, kiểm soát và giám sát tài khoản đặc quyền. Thành phần thường gặp:

Lợi ích của PAM: giảm bề mặt tấn công vào tài khoản mạnh, hạn chế di chuyển ngang sau khi một máy bị chiếm, truy vết được ai làm gì và đáp ứng yêu cầu kiểm toán, tuân thủ.

⚙️ Tài khoản dịch vụ và gMSA

Tài khoản dịch vụ thường là điểm yếu vì mật khẩu lâu không đổi, cấu hình cứng trong mã hoặc tệp, quyền rộng hơn cần thiết và không ai nhớ ai sở hữu. Biện pháp:

• Gán chủ sở hữu và mục đích; quyền tối thiểu.
• Cấm đăng nhập tương tác nếu dịch vụ không cần.
• Xoay mật khẩu thường xuyên; cất bí mật ở kho bí mật (secrets management), không để trong mã nguồn (Bài 63).
• Ưu tiên thông tin xác thực ngắn hạn, tự động cấp hoặc danh tính do nền tảng quản lý thay mật khẩu tĩnh.

gMSA (Group Managed Service Account) là loại tài khoản dịch vụ của Active Directory mà hệ thống tự quản lý và tự xoay mật khẩu (mật khẩu dài, ngẫu nhiên, đổi định kỳ), có thể dùng trên nhiều máy, và không ai biết mật khẩu nên khó bị đánh cắp hoặc dùng lại. Nó là ví dụ điển hình của quản lý tài khoản dịch vụ an toàn trong môi trường Windows.

🚨 Tài khoản khẩn cấp (break-glass)

Break-glass account là tài khoản đặc quyền dự phòng để vào hệ thống khi cơ chế đăng nhập bình thường hỏng (IdP ngừng, MFA không dùng được, tài khoản quản trị bị khóa). Nguyên tắc:

• Rất ít (thường hai), mật khẩu dài, cất kín (két, vault có đồng kiểm soát).
• Không dùng hằng ngày; chỉ dùng khi thật sự khẩn cấp theo quy trình.
• Giám sát và cảnh báo ngay khi có bất kỳ lần đăng nhập nào.
• Đổi mật khẩu sau mỗi lần dùng; thử định kỳ để chắc chắn dùng được khi cần.

🔄 Access review (rà soát truy cập)

Nối tiếp attestation ở Bài 74, access review là quy trình chủ động xem xét ai đang có quyền gì và xác nhận lại sự cần thiết:

• Quyền đặc biệt và tài khoản dịch vụ rà soát thường xuyên hơn quyền thường.
• Phát hiện: tài khoản mồ côi, không hoạt động lâu, quyền thừa, tài khoản dùng chung, vi phạm phân tách nhiệm vụ.
• Hành động: gỡ quyền, vô hiệu hóa, xóa tài khoản hết hạn; ghi kết quả làm bằng chứng.
• Kết hợp tự động hóa (so với danh sách nhân sự, báo cáo quyền) để giảm sai sót.
• Bổ sung kiểm toán định kỳ về việc tuân thủ chính sách quyền hạn.

🕵️ Giám sát credential bị lộ

Kể cả khi bạn làm đúng, thông tin xác thực vẫn có thể bị lộ từ dịch vụ bên thứ ba hoặc máy bị nhiễm mã độc. Giám sát giúp biết trước khi bị lợi dụng:

• Theo dõi dữ liệu bị lộ: dịch vụ cảnh báo khi email hoặc tên miền công ty xuất hiện trong vụ rò rỉ hoặc dark web (Bài 68).
• Kiểm tra mật khẩu với danh sách bị lộ khi tạo hoặc đổi (Bài 75); buộc đổi nếu trùng.
• Cảnh báo hành vi bất thường: đăng nhập từ nơi lạ, di chuyển bất khả thi (impossible travel), nhiều lần thất bại, credential stuffing (thử cặp tài khoản và mật khẩu đã lộ trên dịch vụ khác, Bài 32), đổi yếu tố MFA bất thường.
• Canary account và honeytoken (Bài 64) cảnh báo khi bị dùng.
• Phản ứng: buộc đổi mật khẩu, thu hồi phiên và token, kiểm tra hoạt động gần đây, điều tra máy liên quan.

🎯 Mẹo làm bài: "Bảo vệ, kiểm soát, giám sát tài khoản đặc quyền" → PAM. "Quyền chỉ có trong khung giờ cần, hết thì thu hồi" → just-in-time, zero standing privilege. "Mật khẩu cất trong kho, người dùng không biết" → vault. "Ghi lại màn hình và lệnh của phiên quản trị" → session recording. "Tài khoản quản trị riêng, không dùng để duyệt web" → tách tài khoản đặc quyền. "Tài khoản cho ứng dụng, không phải người" → service account. "Tài khoản dịch vụ AD tự xoay mật khẩu" → gMSA. "Tài khoản dự phòng khi hệ thống danh tính hỏng, cảnh báo khi dùng" → break-glass (emergency). "Nhiều người dùng chung một tài khoản, mất truy vết" → shared account, nên tránh. "Xem xét định kỳ ai có quyền gì" → access review. "Thử cặp tài khoản và mật khẩu đã lộ từ nơi khác" → credential stuffing. "Cảnh báo email công ty xuất hiện trong vụ rò rỉ" → giám sát credential bị lộ.

🧠 Áp vào câu chuyện của Nam

📖 Thuật ngữ cần nhớ

📌 Tóm tắt nhanh

• PAM bảo vệ tài khoản mạnh nhất: vault, just-in-time, duyệt, ghi phiên, xoay mật khẩu, tách tài khoản quản trị, MFA.
• Các loại tài khoản: thường, đặc quyền, dịch vụ, dùng chung, khách, khẩn cấp, mặc định; mỗi loại cần cách quản lý riêng; tài khoản dùng chung nên tránh.
• Tài khoản dịch vụ cần chủ sở hữu, quyền tối thiểu, xoay mật khẩu; gMSA tự quản lý mật khẩu trong Active Directory.
• Break-glass cất kín, cảnh báo ngay khi dùng, đổi mật khẩu sau khi dùng, thử định kỳ.
• Access review định kỳ (quyền đặc biệt thường xuyên hơn); giám sát credential bị lộ để phản ứng trước khi bị lợi dụng.

💬 Hỏi & Đáp nhanh

❓ PAM có quá phức tạp cho doanh nghiệp nhỏ không? Có thể bắt đầu đơn giản: mỗi quản trị một tài khoản riêng có MFA, mật khẩu quản trị cất trong trình quản lý mật khẩu doanh nghiệp, tách tài khoản thường và đặc quyền, bật log. Sau đó mới nâng lên công cụ PAM đầy đủ khi quy mô tăng.

❓ Tại sao tài khoản dùng chung bị coi là xấu? Vì không truy vết được người thực hiện, không thu hồi cho từng người khi họ rời đi, và mật khẩu hay bị chia sẻ rộng. Nếu bắt buộc phải dùng (ví dụ thiết bị cũ), hãy bọc nó trong PAM để vẫn ghi lại ai dùng và khi nào.

❓ Break-glass có làm yếu bảo mật không? Nếu quản lý tốt thì không: ít tài khoản, cất kín, cảnh báo mỗi lần dùng, đổi mật khẩu sau khi dùng. Ngược lại, thiếu tài khoản khẩn cấp có thể khiến tổ chức bị khóa ngoài chính mình khi hệ thống danh tính hỏng, một rủi ro về tính sẵn sàng.

📝 Bài tập đánh giá

Tự chọn đáp án cho từng câu, rồi đối chiếu với phần đáp án ở cuối bài.

Câu 1. Giải pháp nào bảo vệ, kiểm soát và giám sát các tài khoản đặc quyền, gồm kho mật khẩu, cấp quyền đúng lúc và ghi phiên?

• A. PAM
• B. SIEM
• C. DLP
• D. NAC

Câu 2. Quyền quản trị chỉ có trong khung thời gian cần thiết rồi tự thu hồi, không có đặc quyền thường trực. Đây là kỹ thuật nào?

• A. Federation
• B. Password hashing
• C. Port security
• D. Just-in-time (JIT)

Câu 3. Loại tài khoản nào của Active Directory được hệ thống tự quản lý và tự xoay mật khẩu cho dịch vụ?

• A. Tài khoản khách
• B. gMSA
• C. Tài khoản dùng chung
• D. Tài khoản mặc định

Câu 4. Điều nào sau đây là yêu cầu đúng với tài khoản khẩn cấp (break-glass)?

• A. Dùng hằng ngày để quản trị
• B. Chia sẻ mật khẩu rộng rãi cho cả nhóm
• C. Cất kín, cảnh báo ngay khi có đăng nhập và đổi mật khẩu sau mỗi lần dùng
• D. Không cần giám sát

Câu 5. Kẻ tấn công thử hàng loạt cặp tài khoản và mật khẩu đã bị lộ từ một dịch vụ khác vào dịch vụ của công ty. Đây là kỹ thuật nào?

• A. Credential stuffing
• B. SIM swap
• C. Phishing
• D. Tailgating

👉 Đáp án

Câu 1: A — PAM bảo vệ và giám sát tài khoản đặc quyền bằng vault, JIT, ghi phiên và xoay mật khẩu.

Câu 2: D — Just-in-time cấp quyền đúng lúc cần và tự thu hồi, hướng tới zero standing privilege.

Câu 3: B — gMSA là tài khoản dịch vụ của AD tự xoay mật khẩu, không ai biết mật khẩu.

Câu 4: C — Break-glass cần cất kín, cảnh báo ngay khi dùng, đổi mật khẩu sau khi dùng và thử định kỳ.

Câu 5: A — Credential stuffing là dùng thông tin xác thực đã lộ từ nơi khác để thử đăng nhập.

📚 Bài viết thuộc khóa học CompTIA Security+ của VNExperts

🧭 Điều hướng