- Penerapan kebijakan kompleksitas dan panjang minimum berdasarkan standar keamanan terkini.
- Penggunaan Kebijakan Kata Sandi yang Lebih Detail (Fine-Grained Password Policies/FGPP) untuk menerapkan pembatasan ketat pada pengguna dengan hak akses istimewa.
- Diferensiasi antara penyimpanan hash LM dan NT untuk mengoptimalkan ketahanan terhadap serangan.
- Penerapan kata sandi dan MFA untuk mengurangi risiko serangan brute force dan pencurian kredensial.
Dalam hal mengelola keamanan di jaringan perusahaan, titik lemahnya tak diragukan lagi adalah manajemen kredensial. Faktanya, penjahat siber tidak selalu menggunakan teknik yang canggih; terkadang, serangan brute-force atau sekadar menebak pola umum sudah cukup untuk menyusup ke sistem dan mulai bergerak secara lateral melalui infrastruktur hingga mereka mendapatkan hasil yang diinginkan.
Untuk mencegah jaringan kita menjadi celah keamanan, sangat penting untuk mengkonfigurasi Active Directory agar kata sandi tidak menjadi bahan permainan. Ini bukan hanya tentang menetapkan panjang minimum, tetapi tentang menerapkan strategi komprehensif yang menggabungkan kebijakan ketat, penyimpanan hash yang aman, dan, yang terpenting, pelatihan berkelanjutan sehingga karyawan tidak sampai menempelkan catatan tempel berisi kata sandi mereka di monitor komputer.
Bagaimana kunci disimpan dalam ekosistem Windows?
Windows tidak menyimpan kata sandi dalam teks biasa (itu sama saja dengan bunuh diri digital), tetapi menggunakan fungsi satu arah, yang lebih dikenal sebagai hash kriptografi . Pada dasarnya, ini adalah operasi matematika yang mengubah kata sandi menjadi rangkaian karakter yang tidak dapat dibalik. Di domain Active Directory, dua jenis utama digunakan: LM (LAN Manager) OWF dan NT OWF.
Sistem LM sekarang merupakan sistem usang yang dipertahankan untuk tujuan kompatibilitas, karena membagi kunci menjadi dua blok 7-byte dan cukup rentan. Di sisi lain, hash NT menggunakan algoritma MD4 dan merupakan standar untuk otentikasi di domain modern. Penting untuk diketahui bahwa kunci-kunci ini berada di file NTDS.DIT dalam basis data Active Directory, yang dilindungi oleh lapisan enkripsi seperti AES-256 pada versi terbaru Windows Server.
Selain basis data pusat, terdapat SAM lokal pada komputer dan kredensial yang di-cache . Kredensial yang di-cache memungkinkan pengguna untuk masuk meskipun komputer telah kehilangan koneksi ke pengendali domain, berdasarkan hash yang diperoleh dari nama pengguna dan NT OWF.
Mengonfigurasi kebijakan kata sandi: Langkah demi langkah
Untuk menertibkan kekacauan, kita dapat mengelola kunci dari Konsol Manajemen Kebijakan Grup (GPMC). Dengan menavigasi ke Konfigurasi Komputer > Pengaturan Keamanan > Kebijakan Akun , kita dapat menentukan aturan untuk seluruh domain.
- Panjang dan kompleksitas: Delapan karakter tidak lagi cukup. Organisasi seperti INCIBE menyarankan minimal delapan karakter. Karakter 12Tingkat kompleksitas harus diaktifkan untuk memastikan penggunaan huruf besar, huruf kecil, angka, dan simbol.
- Sejarah dan validitas: Untuk mencegah pengguna berganti-ganti antara dua kata sandi yang serupa, disarankan untuk riwayat 24 kata sandiMengenai tanggal kedaluwarsa, masa berlaku maksimal sekitar 45 hari dapat ditetapkan untuk memaksa perpanjangan.
- Pemblokiran akun: Untuk menghentikan serangan penyebaran kata sandi (password spraying), sangat penting untuk mengkonfigurasi ambang batas pemblokiran (misalnya, 8 kali percobaan gagal) dan tentukan waktu tunggu, seperti 30 menit, sebelum akun terbuka kuncinya sendiri atau memerlukan intervensi administrator.
Arahan Granularitas Halus (FGPP)
Tidak semua pengguna berada pada tingkat risiko yang sama. Seorang resepsionis tidak memerlukan kebijakan keamanan yang sama dengan administrator sistem dengan hak akses yang lebih tinggi . Di sinilah Kebijakan Kata Sandi Kuat (Strong Password Policies/FGPP) berperan, yang tersedia sejak Windows Server 2008.
Pengaturan ini dikelola melalui Active Directory Administration Center (ADAC) , khususnya di kontainer Konfigurasi Kata Sandi. Di sini, kita dapat membuat Objek Konfigurasi Kata Sandi (PSO) dan menetapkannya ke grup keamanan tertentu, seperti grup bernama gs_workers . Dengan cara ini, kita dapat mewajibkan administrator untuk menggunakan kata sandi yang jauh lebih panjang dan kompleks daripada staf lainnya.
Perbedaan antara kata sandi dan frasa sandi
Terkadang kita terobsesi menggunakan simbol-simbol aneh yang tidak diingat siapa pun, padahal kekuatan sebenarnya terletak pada panjangnya. Di sinilah frasa sandi berperan . Tidak seperti kata sandi tradisional, frasa sandi adalah rangkaian kata panjang yang biasanya mencakup spasi.
Hash LM jauh lebih sulit diretas menggunakan komputer karena ruang pencariannya sangat besar . Selain itu, hash ini lebih mudah diingat oleh manusia, sehingga mengurangi kemungkinan pengguna menuliskan kata sandi di tempat yang tidak aman. Untuk mencegah pembuatan hash LM (tipe terlemah), teknik yang efektif adalah membuat kata sandi yang kuat dengan mensyaratkan panjangnya lebih dari 14 karakter.
Pemeliharaan, audit, dan pemecahan masalah
Setelah aturan diterapkan, penting untuk memantau kepatuhan. Anda dapat menggunakan perintah seperti `net accounts` di command prompt untuk melihat kebijakan saat ini, atau perintah `Get-ADDefaultDomainPasswordPolicy` melalui PowerShell untuk mendapatkan detail domain.
Jika pengguna mengeluh bahwa kebijakan baru tidak diterapkan kepada mereka, kita dapat menjalankan `gpupdate /force` untuk memperbarui kebijakan atau menggunakan `gpresult /r` untuk menganalisis GPO mana yang sebenarnya diterapkan ke mesin tersebut. Penting juga untuk memantau replikasi antar pengendali domain dengan `repadmin /replsummary` , karena kurangnya sinkronisasi dapat menyebabkan pengguna diblokir di satu server tetapi tidak di server lain.
Untuk menghindari membebani karyawan dengan pembatasan yang berlebihan, penggunaan alat pihak ketiga sangat disarankan. Pengelola kata sandi sumber terbuka memungkinkan penggunaan kata sandi yang unik dan kuat tanpa harus menghafalnya semua, sementara sistem pengaturan ulang kata sandi (SSPR) mencegah dukungan teknis kewalahan dengan panggilan setiap kali seseorang lupa kata sandinya.
Keamanan identitas di Active Directory bergantung pada keseimbangan antara ketangguhan teknis, penggunaan hash modern seperti NT dan AES-256, penerapan kebijakan terperinci berdasarkan risiko pengguna, dan implementasi langkah-langkah tambahan seperti otentikasi multi-faktor (MFA) , yang bertindak sebagai penghalang utama ketika kata sandi gagal.
