- Implementace politik složitosti a minimální délky na základě aktuálních bezpečnostních standardů.
- Použití podrobných zásad pro hesla (FGPP) k vynucení přísných omezení pro privilegované uživatele.
- Rozdíl mezi hashovacím úložištěm LM a NT pro optimalizaci odolnosti vůči útokům.
- Zavedení hesel a vícefaktorové autentizace (MFA) ke zmírnění rizik hrubé síly a krádeže přihlašovacích údajů.
Pokud jde o správu bezpečnosti v podnikové síti, Achillovou patou je nepochybně správa přihlašovacích údajů. Je faktem, že kyberzločinci ne vždy používají sofistikované techniky; někdy stačí útok hrubou silou nebo pouhé uhodnutí běžných vzorců k infiltraci systému a zahájení laterálního pohybu infrastrukturou, dokud netrafí jackpot.
Aby se naše síť nestala sítem, je zásadní nakonfigurovat službu Active Directory tak, aby hesla nebyla hrou. Nejde jen o nastavení minimální délky, ale o implementaci komplexní strategie , která kombinuje přísné zásady, bezpečné ukládání hashů a především průběžné školení, aby si zaměstnanci nelepili na monitor počítače lísteček s heslem.
Jak jsou klíče uloženy v ekosystému Windows?
Systém Windows neukládá hesla v prostém textu (to by byla digitální sebevražda), ale místo toho používá jednosměrné funkce, lépe známé jako kryptografické haše . V podstatě se jedná o matematickou operaci, která transformuje heslo na řetězec znaků, který nelze vrátit zpět. V doménách služby Active Directory se používají dva hlavní typy: LM (LAN Manager) OWF a NT OWF.
Systém LM je nyní zastaralý systém udržovaný z důvodu kompatibility, protože rozděluje klíč na dva 7bajtové bloky a je poměrně zranitelný. Na druhou stranu, hash NT používá algoritmus MD4 a je standardem pro ověřování v moderních doménách. Je důležité vědět, že tyto klíče se nacházejí v souboru NTDS.DIT databáze Active Directory, chráněném šifrovacími vrstvami, jako je AES-256 v nejnovějších verzích Windows Serveru.
Kromě centrální databáze je na počítačích lokální SAM a přihlašovací údaje uložené v mezipaměti . Ty umožňují uživateli přihlásit se, i když počítač ztratil připojení k řadiči domény, a to na základě hashe odvozeného z uživatelského jména a NT OWF.
Konfigurace zásad pro hesla: Krok za krokem
Abychom v chaosu vnesli řád, můžeme spravovat klíče z konzole pro správu skupinových zásad (GPMC). Přechodem do sekce Konfigurace počítače > Nastavení zabezpečení > Zásady účtů můžeme definovat pravidla pro celou doménu.
- Délka a složitost: Osm znaků už nestačí. Organizace jako INCIBE doporučují minimálně 12 znakůPro vynucení používání velkých písmen, malých písmen, číslic a symbolů by měla být povolena složitost.
- Historie a platnost: Aby se zabránilo uživateli v přepínání mezi dvěma podobnými hesly, doporučuje se historie 24 heselPokud jde o datum expirace, lze stanovit maximální platnost přibližně 45 dní pro vynucení obnovení.
- Blokování účtu: Abyste zabránili zneužívání hesel, je nezbytné nakonfigurovat blokovací práh (například 8 neúspěšných pokusů) a definujte dobu čekání, například 30 minut, než se účet sám odemkne nebo bude vyžadován zásah správce.
Směrnice o jemné granularitě (FGPP)
Ne všichni uživatelé jsou vystaveni stejné úrovni rizika. Recepční nepotřebuje stejnou bezpečnostní politiku jako správce systému se zvýšenými oprávněními . A právě zde přicházejí na řadu zásady pro silná hesla (FGPP), které jsou k dispozici od systému Windows Server 2008.
Tyto hesla jsou spravována prostřednictvím Centra správy služby Active Directory (ADAC) , konkrétně v kontejneru Konfigurace hesel. Zde můžeme vytvořit objekt Konfigurace hesla (PSO) a přiřadit ho ke konkrétní bezpečnostní skupině, například skupině s názvem gs_workers . Tímto způsobem můžeme požadovat, aby administrátoři používali mnohem delší a složitější hesla než ostatní zaměstnanci.
Rozdíl mezi hesly a přístupovými frázemi
Někdy jsme posedlí používáním podivných symbolů, které si nikdo nepamatuje, zatímco skutečná síla spočívá v délce. A právě zde přicházejí na řadu hesla . Na rozdíl od tradičního hesla je heslo dlouhý řetězec slov, který obvykle obsahuje mezery.
Je mnohem obtížnější je prolomit pomocí počítače, protože prostor pro vyhledávání je obrovský . Navíc se lidem snáze pamatují, což snižuje pravděpodobnost, že si uživatel heslo zapíše na nezabezpečené místo. Aby se zabránilo generování LM hashů (nejslabšího typu), účinnou technikou je vytváření silných hesel s požadavkem, aby byla delší než 14 znaků.
Údržba, audit a řešení problémů
Jakmile jsou pravidla implementována, je důležité sledovat jejich dodržování. Aktuální zásady můžete zobrazit pomocí příkazů jako `net accounts` v příkazovém řádku nebo pomocí příkazu `Get-ADDefaultDomainPasswordPolicy` v PowerShellu k získání podrobností o doméně.
Pokud si uživatel stěžuje, že se na něj nová politika neaplikuje, můžeme spustit příkaz `gpupdate /force` pro aktualizaci politik nebo použít `gpresult /r` k analýze, které objekty GPO se na počítač skutečně aplikují. Je také důležité monitorovat replikaci mezi řadiči domény pomocí `repadmin /replsummary` , protože nedostatek synchronizace může způsobit, že uživatel bude zablokován na jednom serveru, ale ne na jiném.
Aby se zabránilo zahlcení zaměstnanců nadměrnými omezeními, doporučuje se používat nástroje třetích stran. Open-source správci hesel umožňují používat jedinečná a silná hesla, aniž by si je bylo nutné všechna pamatovat, zatímco systémy pro resetování hesla (SSPR) zabraňují zahlcení technické podpory hovory pokaždé, když někdo zapomene své heslo.
Zabezpečení identity v Active Directory závisí na rovnováze mezi technickou robustností, používáním moderních hashů, jako jsou NT a AES-256, aplikací podrobných zásad založených na riziku uživatele a implementací dalších opatření, jako je vícefaktorové ověřování (MFA) , které funguje jako konečná bariéra v případě selhání hesla.
