- 現在のセキュリティ基準に基づいた、複雑性および最小文字数に関するポリシーの実装。
- 特権ユーザーに対する厳格な制限を強制するために、きめ細かなパスワードポリシー（FGPP）を使用する。
- LMハッシュストレージとNTハッシュストレージを区別することで、攻撃に対する耐性を最適化する。
- 総当たり攻撃のリスクや認証情報の盗難を軽減するために、パスフレーズと多要素認証（MFA）を採用する。
企業ネットワークのセキュリティ管理において、最大の弱点は間違いなく認証情報管理です。サイバー犯罪者は必ずしも高度な技術を使うとは限りません。時には、総当たり攻撃や一般的なパターンを推測するだけでシステムに侵入し、インフラストラクチャ内を横断的に移動して目的を達成することもあります。
ネットワークが脆弱な状態になるのを防ぐには、Active Directoryを適切に設定し、パスワードが安易に扱われないようにすることが不可欠です。単にパスワードの最小文字数を設定するだけでなく、厳格なポリシー、ハッシュ値の安全な保管、そして何よりも継続的なトレーニングを組み合わせた包括的な戦略を実施し、従業員がパスワードを書いた付箋をコンピューターのモニターに貼り付けるような事態を防ぐ必要があります。
Windowsのエコシステムでは、キーはどのように保存されますか？
Windows はパスワードを平文で保存しません (それはデジタル自殺行為です)。代わりに、暗号化ハッシュとして知られる一方向関数を使用します。これは基本的に、パスワードを逆変換できない文字列に変換する数学的演算です。Active Directory ドメインでは、LM (LAN Manager) OWF と NT OWF の 2 種類が主に使用されます。
LMシステムは、キーを7バイトのブロックに分割するため脆弱性が高く、互換性のために維持されているものの、現在では旧式のシステムとなっています。一方、NTハッシュはMD4アルゴリズムを使用しており、現代のドメインにおける認証の標準となっています。これらのキーは、Active DirectoryデータベースのNTDS.DITファイルに格納されており、最新バージョンのWindows ServerではAES-256などの暗号化レイヤーによって保護されている点に注意が必要です。
中央データベースに加えて、コンピュータ上にはローカルSAMとキャッシュされた認証情報があります。後者により、ユーザー名とNT OWFから生成されたハッシュに基づいて、コンピュータがドメインコントローラへの接続を失った場合でも、ユーザーはログインできます。
パスワードポリシーの設定：手順
混乱を解消するために、グループポリシー管理コンソール（GPMC）からキーを管理できます。コンピューターの構成 > セキュリティ設定 > アカウントポリシーに移動することで、ドメイン全体のルールを定義できます。
- 長さと複雑さ: 8文字ではもはや十分ではありません。INCIBEのような組織は、最低限 12文字大文字、小文字、数字、記号の使用を強制するために、複雑性を有効にする必要があります。
- 歴史と妥当性： ユーザーが類似したパスワードを切り替えることを防ぐため、 24個のパスワードの履歴有効期限に関しては、更新を促すために、最長で約45日間の有効期間を設定することができる。
- アカウントのブロック: パスワードスプレー攻撃を防ぐには、 ブロックしきい値 （例えば、8回の失敗）を設定し、アカウントが自動的にロック解除されるか、管理者の介入が必要になるまでの待機時間（例えば30分）を定義します。
細粒度指令（FGPP）
すべてのユーザーが同じレベルのリスクにさらされているわけではありません。受付担当者と、高い権限を持つシステム管理者では、必要なセキュリティポリシーは異なります。そこで役立つのが、Windows Server 2008以降で利用可能な強力なパスワードポリシー（FGPP）です。
これらは、 Active Directory管理センター（ADAC）のパスワード構成コンテナで管理されます。ここで、パスワード構成オブジェクト（PSO）を作成し、gs_workersなどの特定のセキュリティグループに割り当てることができます。これにより、管理者に対して、他のスタッフよりもはるかに長く複雑なパスワードの使用を義務付けることができます。
パスワードとパスフレーズの違い
誰も覚えていないような奇妙な記号を使うことにこだわってしまうことがありますが、本当の強みは長さにあります。そこでパスフレーズの出番です。従来のパスワードとは異なり、パスフレーズは通常スペースを含む長い単語の羅列です。
検索空間が膨大であるため、コンピュータによる解読ははるかに困難です。さらに、人間にとって記憶しやすいため、ユーザーがパスワードを安全でない場所に書き留める可能性が低くなります。最も弱いタイプのLMハッシュの生成を防ぐ効果的な方法は、パスワードを14文字以上にすることを義務付けて強力なパスワードを作成することです。
保守、監査、トラブルシューティング
ルールが実装されたら、遵守状況を監視することが重要です。コマンドプロンプトで`net accounts`などのコマンドを使用して現在のポリシーを表示したり、PowerShellで`Get-ADDefaultDomainPasswordPolicy`コマンドを使用してドメインの詳細を取得したりできます。
ユーザーから新しいポリシーが適用されていないという苦情があった場合は、`gpupdate /force`を実行してポリシーを更新するか、`gpresult /r`を使用して実際にマシンに適用されている GPO を分析できます。また、 `repadmin /replsummary`を使用してドメイン コントローラー間のレプリケーションを監視することも重要です。同期が不十分だと、あるサーバーではユーザーがブロックされるのに、別のサーバーではブロックされないという事態が発生する可能性があるためです。
従業員に過度な制限を課すことを避けるため、サードパーティ製ツールの利用をお勧めします。オープンソースのパスワードマネージャーを使用すれば、すべてのパスワードを記憶する必要なく、固有で強力なパスワードを使用できます。また、パスワードリセットシステム（SSPR）を使用すれば、誰かがパスワードを忘れるたびにテクニカルサポートに問い合わせが殺到するのを防ぐことができます。
Active DirectoryにおけるIDセキュリティは、技術的な堅牢性、NTやAES-256などの最新のハッシュ関数の使用、ユーザーリスクに基づいたきめ細かなポリシーの適用、そしてパスワード認証が失敗した場合の最終的な障壁となる多要素認証（MFA）などの追加措置の実装といった要素間のバランスに依存します。
