- Monimutkaisuus- ja vähimmäispituuskäytäntöjen käyttöönotto nykyisten tietoturvastandardien perusteella.
- Tarkkojen salasanakäytäntöjen (FGPP) käyttö tiukkojen rajoitusten valvomiseksi käyttöoikeutetuille käyttäjille.
- LM- ja NT-hajautustallennuksen erottelu hyökkäysten kestävyyden optimoimiseksi.
- Salasanalauseiden ja monitunnistuksen käyttöönotto raa'an voiman hyökkäysten ja tunnistetietojen varkauksien riskien lieventämiseksi.
Yritysverkon tietoturvan hallinnassa akilleenkantapää on epäilemättä tunnistetietojen hallinta. On tosiasia, että kyberrikolliset eivät aina käytä kehittyneitä tekniikoita; joskus raa'an voiman hyökkäys tai pelkkä yleisten toimintamallien arvaaminen riittää tunkeutumaan järjestelmään ja liikkumaan infrastruktuurin läpi sivusuunnassa, kunnes he osuvat voittoon.
Jotta verkkomme ei muuttuisi seulaksi, on ratkaisevan tärkeää määrittää Active Directory niin, että salasanat eivät ole peliä. Kyse ei ole vain salasanan vähimmäispituuden asettamisesta, vaan kokonaisvaltaisen strategian toteuttamisesta , joka yhdistää tiukat käytännöt, tiivisteiden turvallisen tallennuksen ja ennen kaikkea jatkuvan koulutuksen, jotta työntekijät eivät päädy liimaamaan salasanaansa sisältävää Post-it-lappua tietokoneensa näytölle.
Miten avaimet tallennetaan Windows-ekosysteemiin?
Windows ei tallenna salasanoja selkokielisenä tekstinä (se olisi digitaalinen itsemurha), vaan käyttää yksisuuntaisia funktioita, jotka tunnetaan paremmin kryptografisina tiivisteinä . Pohjimmiltaan se on matemaattinen operaatio, joka muuntaa salasanan merkkijonoksi, jota ei voida peruuttaa. Active Directory -verkkotunnuksissa käytetään kahta päätyyppiä: LM (LAN Manager) OWF ja NT OWF.
LM-järjestelmä on nykyään vanhentunut ja sitä ylläpidetään yhteensopivuussyistä, koska se jakaa avaimen kahteen 7-tavuiseen lohkoon ja on melko haavoittuvainen. Toisaalta NT-hajautusarvo käyttää MD4-algoritmia ja on nykyaikaisten verkkotunnusten todennusstandardi. On tärkeää tietää, että nämä avaimet sijaitsevat Active Directory -tietokannan NTDS.DIT- tiedostossa , suojattuna salauskerroksilla, kuten AES-256:lla Windows Serverin uusimmissa versioissa.
Keskustietokannan lisäksi tietokoneilla on paikallinen SAM ja välimuistissa olevat tunnistetiedot . Jälkimmäiset mahdollistavat käyttäjän kirjautumisen sisään, vaikka tietokone olisi menettänyt yhteyden toimialueen ohjauskoneeseen käyttäjätunnuksesta ja NT OWF:stä johdetun tiivisteen perusteella.
Salasanakäytäntöjen määrittäminen: Vaiheittainen
Järjestyksen luomiseksi kaaokseen voimme hallita avaimia ryhmäkäytäntöjen hallintakonsolissa (GPMC). Siirry kohtaan Tietokoneen asetukset > Suojausasetukset > Tilikäytännöt ja määritä säännöt koko toimialueelle.
- Pituus ja monimutkaisuus: Kahdeksan merkkiä ei enää riitä. INCIBE:n kaltaiset organisaatiot suosittelevat vähintään 12 merkitMonimutkaisuuden tulisi olla mahdollista isojen ja pienten kirjainten, numeroiden ja symbolien käytön valvomiseksi.
- Historia ja pätevyys: Jotta käyttäjä ei vaihtaisi kahden samanlaisen salasanan välillä, on suositeltavaa 24 salasanan historiaVoimassaoloaikaa voidaan säätää enintään noin 45 päiväksi, mikä pakottaa uusimaan voimassaolon.
- Tilin esto: Salasanan ruiskuttamisen estämiseksi on tärkeää määrittää estokynnyksen (esimerkiksi 8 epäonnistunutta yritystä) ja määritä odotusaika, kuten 30 minuuttia, ennen kuin tilin lukitus avautuu itsestään tai se vaatii järjestelmänvalvojan toimia.
Hienorakeisuusdirektiivit (FGPP)
Kaikki käyttäjät eivät ole samalla riskitasolla. Vastaanottovirkailija ei tarvitse samaa suojauskäytäntöä kuin järjestelmänvalvoja, jolla on laajennetut oikeudet . Tässä kohtaa tulevat mukaan vahvat salasanakäytännöt (FGPP), jotka ovat olleet saatavilla Windows Server 2008:sta lähtien.
Näitä hallitaan Active Directory Administration Centerin (ADAC) kautta , tarkemmin sanottuna salasanan määritys -säilössä. Täällä voimme luoda salasanan määritysobjektin (PSO) ja liittää sen tietylle käyttöoikeusryhmälle, kuten ryhmälle nimeltä gs_workers . Tällä tavoin voimme vaatia järjestelmänvalvojia käyttämään paljon pidempiä ja monimutkaisempia salasanoja kuin muu henkilökunta.
Salasanojen ja tunnuslauseiden välinen ero
Joskus meillä on pakkomielteinen tapa käyttää outoja symboleja, joita kukaan ei muista, kun todellinen vahvuus piilee pituudessa. Tässä kohtaa salasanat tulevat kuvaan . Toisin kuin perinteinen salasana, salasana on pitkä sanajono, joka yleensä sisältää välilyöntejä.
Niitä on paljon vaikeampi murtaa tietokoneilla, koska hakuavaruus on valtava . Lisäksi ihmisten on helpompi muistaa ne, mikä vähentää todennäköisyyttä, että käyttäjä kirjoittaa salasanan muistiin turvattomaan paikkaan. LM-hajautusten (heikoin tyyppi) muodostumisen estämiseksi tehokas tekniikka on luoda vahvoja salasanoja vaatimalla niiden olevan yli 14 merkkiä pidempiä.
Ylläpito, auditointi ja vianmääritys
Kun säännöt on otettu käyttöön, on tärkeää valvoa niiden noudattamista. Voit tarkastella nykyistä käytäntöä komentokehotteessa, kuten `net accounts` , tai PowerShellin kautta komennolla `Get-ADDefaultDomainPasswordPolicy` saadaksesi verkkotunnustiedot.
Jos käyttäjä valittaa, että uutta käytäntöä ei sovelleta häneen, voimme päivittää käytännöt komennolla `gpupdate /force` tai analysoida komennolla `gpresult /r`, mitä ryhmäkäytäntöobjekteja koneeseen todella sovelletaan. On myös tärkeää valvoa replikointia toimialueen ohjauskoneiden välillä komennolla `repadmin /replsummary` , sillä synkronoinnin puute voi estää käyttäjän toiminnan yhdellä palvelimella, mutta ei toisella.
Jotta työntekijöitä ei ylikuormitettaisi liiallisilla rajoituksilla, suositellaan kolmannen osapuolen työkalujen käyttöä. Avoimen lähdekoodin salasananhallintaohjelmat mahdollistavat yksilöllisten ja vahvojen salasanojen käytön ilman, että niitä kaikkia tarvitsee muistaa, kun taas salasanan palautusjärjestelmät ( SSPR) estävät teknisen tuen ylikuormittumasta puheluilla joka kerta, kun joku unohtaa salasanansa.
Active Directoryn identiteettisuoja riippuu tasapainosta teknisen kestävyyden, nykyaikaisten tiivisteiden, kuten NT:n ja AES-256:n, käytön, käyttäjäriskiin perustuvien yksityiskohtaisten käytäntöjen soveltamisen ja lisätoimenpiteiden, kuten monivaiheisen todennuksen (MFA) , käyttöönoton välillä. MFA toimii lopullisena esteenä salasanan epäonnistuessa.
