home

หน้าแรก
 Computer >> บทช่วยสอนคอมพิวเตอร์ >  >> ระบบเครือข่าย >> ความปลอดภัยเครือข่าย

Network Security: วิธีตั้งค่า Software และมอบสิทธิ์/โควตาให้แต่ละ User

User Rights Assignment (การมอบสิทธิ์ผู้ใช้) ใน Windows

ควบคุมสิทธิ์การทำงานเฉพาะของ User/Group บนเครื่องหรือ Domain ผ่าน Group Policy

วิธีเปิด User Rights Assignment

  1. Win + R > พิมพ์ gpedit.msc > Enter (Local Group Policy Editor)
  2. ไปที่: Computer Configuration > Windows Settings > Security Settings > Local Policies > User Rights Assignment
  3. หรือใช้ Group Policy Management Console (GPMC) สำหรับ Domain: gpmc.msc

สิทธิ์สำคัญที่ควรทราบ (Key User Rights)

Policy Nameคำอธิบายค่าเริ่มต้น / แนะนำ
Log on as a serviceอนุญาตให้ Service Account ล็อกอินเป็นบริการService Accounts เท่านั้น
Log on as a batch jobอนุญาตรัน Scheduled Tasks / Batch JobsService Accounts, Scheduled Tasks
Allow log on locallyอนุญาตล็อกอินที่คอนโซล (Physical/RDP Console)Users, Administrators
Allow log on through Remote Desktop Servicesอนุญาต RDPRemote Desktop Users, Administrators
Access this computer from the networkเข้าถึง Share, RPC, IIS จากเครือข่ายEveryone, Authenticated Users
Deny access to this computer from the networkบล็อกการเข้าถึงจากเครือข่าย (Override Allow)Guests, Anonymous
Shut down the systemสิทธิ์ปิดเครื่อง/รีสตาร์ทAdministrators, Users (Workstation)
Change the system timeเปลี่ยนเวลาระบบ (สำคัญสำหรับ Kerberos/Logs)Administrators, LOCAL SERVICE
Back up files and directoriesBackup ทุกไฟล์ (Ignore NTFS Permissions)Administrators, Backup Operators
Restore files and directoriesRestore ไฟล์ (Ignore NTFS Permissions)Administrators, Backup Operators
Take ownership of files or other objectsยึด Ownership ของ ObjectAdministrators
Debug programsDebug Process (อันตราย - ให้เฉพาะ Dev/Debug)Administrators
Load and unload device driversติดตั้ง/ลบ DriverAdministrators

Best Practice: การมอบสิทธิ์

  • Least Privilege: ให้สิทธิ์แค่พอทำงาน
  • ใช้ Group: สร้าง Security Group → ใส่ User → มอบสิทธิ์ให้ Group (จัดการง่ายกว่า)
  • Deny Win Over Allow: Deny จะชนะ Allow เสมอ ใช้ Deny อย่างระมัดระวัง
  • Audit ก่อน Enforce: เปิด Audit Policy (Success/Failure) ดู Impact ก่อน
  • Document ทุกการเปลี่ยนแปลง: Change Management

Disk Quotas (โควตา đĩa) - จำกัดพื้นที่ผู้ใช้

ใช้ได้กับ NTFS Volumes เท่านั้น

เปิดใช้งาน Disk Quotas

  1. คลิกขวา Drive (เช่น D:) > Properties > แท็บ Quota
  2. ติ๊ก Enable quota management
  3. ติ๊ก Deny disk space to users exceeding quota limit (บล็อกเขียนเมื่อเกิน)
  4. ตั้ง Limit disk space to (เช่น 10 GB) และ Set warning level to (เช่น 8 GB)
  5. เลือก Log event when user exceeds quota limit / warning level
  6. กด Apply > OK

ตั้งค่า Quota เฉพาะ User/Group (Quota Entries)

  1. ที่แท็บ Quota > กด Quota Entries
  2. เมนู Quota > New Quota Entry
  3. เลือก User/Group > ตั้ง Limit และ Warning Level แยกต่างหาก

PowerShell สำหรับ Quota (Automation)

# Enable Quota on D:
Enable-DiskQuota -DriveLetter D -Limit 10GB -Warning 8GB

# Set specific user quota
Set-DiskQuota -DriveLetter D -User "DOMAIN\User" -Limit 50GB -Warning 40GB

Software Restriction / App Control (ควบคุมซอฟต์แวร์)

  • AppLocker (Enterprise/Edu): กฎตาม Path, Publisher, Hash, File Version - ควบคุม .exe, .dll, .ps1, .msi, AppX
  • Windows Defender Application Control (WDAC): Code Integrity Policy, แบบ Kernel-level, แข็งแกร่งกว่า AppLocker
  • Software Restriction Policies (SRP): Legacy (Deprecated) ใช้ Hash/Path/Certificate

สรุป Checklist การ Setup Network Security สำหรับ User Management

  1. ออกแบบ Security Groups ตาม Role (RBAC)
  2. ตั้งค่า User Rights Assignment ตาม Least Privilege
  3. Enable Disk Quotas บน Volume ที่เก็บข้อมูล User
  4. Deploy AppLocker / WDAC ป้องกัน Executable ไม่ได้รับอนุมัติ
  5. ตั้งค่า Audit Policies (Logon/Logoff, Object Access, Policy Change)
  6. Centralized Log Collection (SIEM / Windows Event Forwarding)
  7. Review และ Recertify สิทธิ์เป็นประจำ (Quarterly)