[Nhờ giúp đỡ] Bị hack password domain admin

[CougarPoint]

Chào các bác :byebye:

Mình đang gặp vấn đề khá đau đầu. Nên nhờ các bác cho ý kiến.

Mình mới qua công ty mới chưa lâu, công ty mình có 3 server AD chính đặt ở HCM,HN và ĐN.

Còn một số tỉnh khác thì chạy kiểu AD dự phòng.

Dạo gần đây, domain mình hay bị tình trạng tự thêm tài khoản domain admin.

Mình có tiến hành disable nhưng hôm nay kiểm tra phát hiện thêm 1 tài khoản domain admin khác. :sweat:

Mà tài khoản domain admin hiện tại thì chỉ có mình và ông sếp có thôi.

Tất cả đều ở HCM và tất nhiên là mình và ông đó ko tạo rồi. Mình nghi ngờ do IT ở ngoài kia làm thôi. :gach:

Hiện tại, mình chưa rõ IT ngoài đấy làm cách nào mà tạo được tài khoản domain admin.

Nên nhờ các bác có kinh nghiệm cho cách nào phòng tránh. Mình đội ơn rất nhiều :adore:

[SchanwookPM]

Domain là domain, admin là admin. Bạn hành văn lạ vậy:badsmell:

Sent from my iporn++ using vozForums (https://itunes.apple.com/us/app/vozforums/id531290212?ls=1&mt=8)

[CougarPoint]

Domain là domain, admin là admin. Bạn hành văn lạ vậy:badsmell:

Sent from my iporn++ using vozForums (https://itunes.apple.com/us/app/vozforums/id531290212?ls=1&mt=8)

Tài khoản admin của domain đó bạn :shame:

[smile_love]

disable và đổi pass admin trc xem nào. biết đâu ai đó biêt pass thì sao

[CougarPoint]

disable và đổi pass admin trc xem nào. biết đâu ai đó biêt pass thì sao

Hôm đầu tiên phát hiện có tài khoản admin lạ thì đã đổi hết password và disable acc đó rồi bạn.

Hôm này vô lại phát hiện acc admin mới. Vì hệ thống có mình và ông sếp trong group domain admin thôi nên có acc lạ là biết ngay.

[smile_love]

Tạm thời disable nốt của sếp đi rồi theo dõi. Loại trừ hết đã. Rồi cài keylog vào xem có biến j k

[CougarPoint]

Tạm thời disable nốt của sếp đi rồi theo dõi. Loại trừ hết đã. Rồi cài keylog vào xem có biến j k

Cái này ko làm dc rồi b, ông sếp quyền enterprise admin cao hơn mình :sweat:
Bên mình thì xài phần mềm bản quyền nên cũng ít có khả năng bị phần mềm theo dõi này kia.
Mình vẫn nghi ngờ khả năng bị hack ở phía server ngoài miền Bắc. Vì đôi khi ông sếp mình remote ra ngoài đó setup, có thể tài khoản admin lưu vô cache, bằng một cách nào đó mà IT ngoài đó lấy dc. :sweat:

[microvn2012]

IT ngoài Bắc quản trị bằng tài khoản gì bác?

[smile_love]

Thế nên mới phải yêu cầu sếp hợp tác, chứ mình là quản trị mình phải chịu trách nhiệm việc đó. Bảo sếp nếu sếp k hợp tác thì có vấn đề j sếp tự xử lý đi

[CougarPoint]

IT ngoài Bắc quản trị bằng tài khoản gì bác?

Ngoài miền Bắc ko có quyền quản trị bạn, tất cả IT ngoải đó chỉ có cấp tài khoản setup phần mềm thôi chứ ko dc đụng đến server.

Thế nên mới phải yêu cầu sếp hợp tác, chứ mình là quản trị mình phải chịu trách nhiệm việc đó. Bảo sếp nếu sếp k hợp tác thì có vấn đề j sếp tự xử lý đi

Tất cả hệ thống trước khi mình vô ông sếp mình setup hết, hệ thống ổng nắm từ xưa đến này rồi bạn. Mình mới vô chưa lâu, hiện tại chỉ bước đầu phụ ông quản trị thôi.

Thiệt tình là ko thể nào kêu ổng tự disable acc được :sweat:

[CougarPoint]

IT ngoài Bắc quản trị bằng tài khoản gì bác?

Mình bổ sung thêm là gần đây có cấp quyền cho một bạn IT ngoài miền Bắc quyền tạo user, reset password...Tất nhiên là chỉ phụ trách trên site của bạn đó thôi. Chứ không có quyền tất cả các site như mình. Tài khoản bạn đó cũng ko nằm trong group Admin.

[microvn2012]

Mình bổ sung thêm là gần đây có cấp quyền cho một bạn IT ngoài miền Bắc quyền tạo user, reset password...Tất nhiên là chỉ phụ trách trên site của bạn đó thôi. Chứ không có quyền tất cả các site như mình. Tài khoản bạn đó cũng ko nằm trong group Admin.

bạn cấp quyền cài đặt phần mềm trên client cho IT ngoài Bắc bằng cách nào?
bạn cấp quyền "chỉ trên site của bạn đó" như nào?

[CougarPoint]

bạn cấp quyền cài đặt phần mềm trên client cho IT ngoài Bắc bằng cách nào?
bạn cấp quyền "chỉ trên site của bạn đó" như nào?

Domain bên mình có cái group IT, user trong group này có quyền cài đặt phần mềm. Do group IT này nằm trong Group Administrators Local trên máy client nên có quyền cài phần mềm.

Còn câu hỏi sau của bạn thì dùng chức năng Delegate Control.

[Cu_Tu3n]

Sao ko deloy xuong ma phai cap quyen cho ngoai kia vay?
Group cài soft đâu cần nằm trong g admins AD

Disable mấy cái G con thử xem sao?

[CougarPoint]

Sao ko deloy xuong ma phai cap quyen cho ngoai kia vay?
Group cài soft đâu cần nằm trong g admins AD

Disable mấy cái G con thử xem sao?

Bạn chưa đọc kỹ rồi, group cài soft đâu có nằm trong group Admin trong domain :gach:
Group đó chỉ nằm trong group Admin Local tại các máy client thôi :byebye:
Ngoài bắc gần 20 chục site, mỗi site trung bình vài chục user. Phải cấp quyền để họ support cho user chứ bạn.

[hanphanquang]

Đọc lộn cả ruột. Tài khoản admin domain là ở nhà cung cấp khi mua domain mà nhỉ?

[CougarPoint]

Đọc lộn cả ruột. Tài khoản admin domain là ở nhà cung cấp khi mua domain mà nhỉ?

Domain controller hay tên khác Active Directory domain thôi bạn :byebye:

[lethinh282]

Domain controller hay tên khác Active Directory domain thôi bạn :byebye:

Thường thì có 2 cách.
+ Sử dụng file log
+ Sử dụng phương pháp kiểm tra loại trừ dần dần.

=> Bác nên tranh thủ kiểm tra sai xót nếu không hậu quả khôn lường... thường những vấn đề này nên chia sẽ với sếp để tìm hướng giải quyết, đánh giải khả năng thiệt hại. Em nghĩ chắc bác đang muốn lập công với sếp hả?! :D:D

P/S: Đổi hết pass của account nào có khả năng quản trị từ cấp Domain trở lên. (Vậy là bác loại trừ đc 1 vấn đề là bị hack pass rồi đó)

[happystore]

uppppppppppppppppppppppppppppppppppp

[SSG Ambition]

Dùng tool dotviewout nhé thím :look_down:

[CougarPoint]

Thường thì có 2 cách.
+ Sử dụng file log
+ Sử dụng phương pháp kiểm tra loại trừ dần dần.

=> Bác nên tranh thủ kiểm tra sai xót nếu không hậu quả khôn lường... thường những vấn đề này nên chia sẽ với sếp để tìm hướng giải quyết, đánh giải khả năng thiệt hại. Em nghĩ chắc bác đang muốn lập công với sếp hả?! :D:D

P/S: Đổi hết pass của account nào có khả năng quản trị từ cấp Domain trở lên. (Vậy là bác loại trừ đc 1 vấn đề là bị hack pass rồi đó)

Ai cũng muốn làm hài lòng sếp rồi bạn, nhưng trường hợp này mình mong muốn tìm cách xử lý thôi chứ ko nghĩ gì nhiều :byebye:

Hôm đầu phát hiện có đổi pass toàn bộ rồi, vậy mà hôm sau vẫn xuất hiện acc admin mới :sweat:

Mình thì chưa có kinh nghiệm nhiều về bảo mật, nhưng có đề xuất thử dùng mã hóa bitlocker. Bạn thấy cách này ổn ko?

Nếu ổn thì triển khai cũng là vấn đề lớn, vì lý do vị trí địa lý.

Dùng tool dotviewout nhé thím :look_down:

Ý bạn là nhìn trộm à? :gach:

[dkm_bon_mod_voz_an_loz]

Hình như bạn post nhầm box rồi