- Keerukuse ja minimaalse pikkuse poliitikate rakendamine vastavalt kehtivatele turvastandarditele.
- Täpsustatud paroolipoliitikate (FGPP) kasutamine privilegeeritud kasutajatele rangete piirangute jõustamiseks.
- LM- ja NT-räsisalvestuse eristamine rünnakukindluse optimeerimiseks.
- Paroolifraaside ja MFA kasutuselevõtt jõhkra jõu kasutamise ja volituste varguse riskide leevendamiseks.
Ettevõtte võrgu turvalisuse haldamisel on Achilleuse kand kahtlemata volituste haldamine. On fakt, et küberkurjategijad ei kasuta alati keerukaid tehnikaid; mõnikord piisab süsteemi tungimiseks ja infrastruktuuris horisontaalselt liikumiseks, kuni nad võidavad.
Et meie võrk ei muutuks sõelaks, on oluline konfigureerida Active Directory nii, et paroolid poleks mäng. Asi pole ainult minimaalse pikkuse määramises, vaid tervikliku strateegia rakendamises , mis ühendab ranged eeskirjad, räsikoodide turvalise salvestamise ja ennekõike pideva koolituse, et töötajad ei peaks oma arvutimonitorile parooliga märkmepaberit kleepima.
Kuidas võtmeid Windowsi ökosüsteemis hoitakse?
Windows ei salvesta paroole lihttekstina (see oleks digitaalne enesetapp), vaid kasutab ühesuunalisi funktsioone, paremini tuntud kui krüptograafilisi räsisid . Põhimõtteliselt on see matemaatiline tehe, mis teisendab parooli tähemärkide jadaks, mida ei saa tagasi pöörata. Active Directory domeenides kasutatakse kahte peamist tüüpi: LM (LAN Manager) OWF ja NT OWF.
LM-süsteem on nüüdseks aegunud süsteem, mida hooldatakse ühilduvuse eesmärgil, kuna see jagab võtme kaheks 7-baidiseks plokiks ja on üsna haavatav. Teisest küljest kasutab NT räsi MD4 algoritmi ja on tänapäeva domeenide autentimisstandard. Oluline on teada, et need võtmed asuvad Active Directory andmebaasi NTDS.DIT failis , mida kaitsevad krüpteerimiskihid, näiteks AES-256 Windows Serveri uusimates versioonides.
Lisaks kesksele andmebaasile on arvutites olemas ka kohalik SAM ja vahemällu salvestatud identimisandmed . Viimased võimaldavad kasutajal sisse logida isegi siis, kui arvuti on domeenikontrolleriga ühenduse kaotanud, tuginedes kasutajanimest ja NT OWF-ist tuletatud räsile.
Paroolipoliitikate seadistamine: samm-sammult
Kaose korrastamiseks saame võtmeid hallata grupipoliitika halduskonsooli (GPMC) kaudu. Liikudes valikusse Arvuti konfiguratsioon > Turvaseaded > Kontopoliitikad , saame määratleda reeglid kogu domeenile.
- Pikkus ja keerukus: Kaheksast tähemärgist enam ei piisa. Organisatsioonid nagu INCIBE soovitavad minimaalselt 12 tähemärgidSuurtähtede, väiketähtede, numbrite ja sümbolite kasutamise tagamiseks peaks olema võimalik keerukus.
- Ajalugu ja kehtivus: Kasutaja kahe sarnase parooli vahel vahetamise vältimiseks on soovitatav 24 parooli ajaluguAegumiskuupäeva osas saab uuendamise sundimiseks kehtestada maksimaalse kehtivusaja umbes 45 päeva.
- Konto blokeerimine: Parooli pihustamise peatamiseks on oluline seadistada blokeerimislävi (näiteks 8 ebaõnnestunud katset) ja määrake ooteaeg, näiteks 30 minutit, enne kui konto ise lukust lahti saab või nõuab administraatori sekkumist.
Peeneteralisuse direktiivid (FGPP)
Kõik kasutajad ei ole samal riskitasemel. Administraator ei vaja sama turvapoliitikat kui kõrgendatud õigustega süsteemiadministraator . Siin tulevadki mängu tugeva parooli poliitikad (FGPP), mis on saadaval alates Windows Server 2008-st.
Neid hallatakse Active Directory administreerimiskeskuse (ADAC) kaudu , täpsemalt paroolikonfiguratsiooni konteineris. Siin saame luua paroolikonfiguratsiooni objekti (PSO) ja määrata selle kindlale turberühmale, näiteks rühmale nimega gs_workers . Nii saame administraatoritelt nõuda palju pikemate ja keerukamate paroolide kasutamist kui ülejäänud töötajatelt.
Paroolide ja paroolifraaside erinevus
Vahel kipume kasutama kummalisi sümboleid, mida keegi ei mäleta, aga tegelik jõud peitub pikkuses. Siin tulevadki mängu paroolid . Erinevalt traditsioonilisest paroolist on parool pikk sõnade jada, mis tavaliselt sisaldab tühikuid.
Neid on arvutite abil palju raskem lahti murda, kuna otsinguruum on tohutu . Lisaks on inimestel neid lihtsam meelde jätta, mis vähendab tõenäosust, et kasutaja kirjutab parooli ebaturvalisse kohta üles. LM-räsi (kõige nõrgem tüüp) genereerimise vältimiseks on tõhus tehnika luua tugevad paroolid, nõudes, et need oleksid pikemad kui 14 tähemärki.
Hooldus, auditeerimine ja tõrkeotsing
Kui reeglid on rakendatud, on oluline jälgida vastavust. Praeguse poliitika vaatamiseks võite käsurealt kasutada käske nagu `net accounts` või domeeni üksikasjade saamiseks käsku `Get-ADDefaultDomainPasswordPolicy` PowerShelli kaudu.
Kui kasutaja kurdab, et uut poliitikat talle ei rakendata, saame poliitikate värskendamiseks käivitada käsu `gpupdate /force` või analüüsida käsuga `gpresult /r`, milliseid rühmapoliitika objekte masinale tegelikult rakendatakse. Samuti on oluline jälgida domeenikontrollerite vahelist replikatsiooni käsuga `repadmin /replsummary` , kuna sünkroniseerimise puudumine võib põhjustada kasutaja blokeerimise ühes serveris, kuid mitte teises.
Töötajate ülekoormamise vältimiseks liigsete piirangutega on soovitatav kasutada kolmandate osapoolte tööriistu. Avatud lähtekoodiga paroolihaldurid võimaldavad kasutada unikaalseid ja tugevaid paroole ilma neid kõiki pähe õppimata, samas kui parooli lähtestamise süsteemid (SSPR) hoiavad ära tehnilise toe ülekoormamise kõnedega iga kord, kui keegi oma parooli unustab.
Identiteediturvalisus Active Directorys sõltub tasakaalust tehnilise töökindluse, tänapäevaste räsikoodide (nt NT ja AES-256) kasutamise, kasutajariskil põhinevate detailsete poliitikate rakendamise ja lisameetmete, näiteks mitmefaktorilise autentimise (MFA) rakendamise vahel , mis toimib parooli ebaõnnestumise korral ülima tõkkena.
