- Implementatie van complexiteits- en minimale lengtebeleid op basis van de huidige beveiligingsnormen.
- Het gebruik van gedetailleerde wachtwoordbeleidsregels (Fine-Grained Password Policies, FGPP) om strikte beperkingen op te leggen aan gebruikers met beheerdersrechten.
- Onderscheid maken tussen LM- en NT-hashopslag om de weerstand tegen aanvallen te optimaliseren.
- Het gebruik van wachtzinnen en MFA (multi-factor authenticatie) om de risico's van brute force-aanvallen en diefstal van inloggegevens te beperken.
Als het gaat om het beheren van de beveiliging in een bedrijfsnetwerk, is het beheer van inloggegevens ongetwijfeld de achilleshiel. Het is een feit dat cybercriminelen niet altijd geavanceerde technieken gebruiken; soms is een brute-force-aanval of simpelweg het raden van veelvoorkomende patronen voldoende om een systeem te infiltreren en zich vervolgens door de infrastructuur te bewegen totdat ze hun doel bereiken.
Om te voorkomen dat ons netwerk een zeef wordt, is het cruciaal om Active Directory zo te configureren dat wachtwoorden geen spelletje meer zijn. Het gaat niet alleen om het instellen van een minimale lengte, maar om het implementeren van een alomvattende strategie die strikte regels, veilige opslag van hashes en, bovenal, continue training combineert, zodat medewerkers niet per ongeluk een post-it met hun wachtwoord op hun computerscherm plakken.
Hoe worden sleutels opgeslagen in het Windows-ecosysteem?
Windows slaat wachtwoorden niet op in platte tekst (dat zou digitale zelfmoord zijn), maar gebruikt in plaats daarvan eenrichtingsfuncties, beter bekend als cryptografische hashes . In essentie is het een wiskundige bewerking die het wachtwoord omzet in een reeks tekens die niet kan worden teruggezet. In Active Directory-domeinen worden twee hoofdtypen gebruikt: de LM (LAN Manager) OWF en de NT OWF.
Het LM-systeem is inmiddels verouderd en wordt alleen nog in stand gehouden voor compatibiliteitsdoeleinden. Het splitst de sleutel namelijk in twee blokken van 7 bytes en is daardoor behoorlijk kwetsbaar. De NT-hash daarentegen gebruikt het MD4-algoritme en is de standaard voor authenticatie in moderne domeinen. Het is belangrijk om te weten dat deze sleutels zich bevinden in het NTDS.DIT- bestand van de Active Directory-database, beschermd door versleutelingslagen zoals AES-256 in de nieuwste versies van Windows Server.
Naast de centrale database is er lokale SAM op de computers en zijn er inloggegevens in de cache opgeslagen . Dankzij die laatste kan een gebruiker inloggen, zelfs als de computer de verbinding met de domeincontroller heeft verloren, op basis van een hash die is afgeleid van de gebruikersnaam en het NT OWF-bestand.
Wachtwoordbeleid configureren: stap voor stap
Om orde in de chaos te scheppen, kunnen we de sleutels beheren via de Group Policy Management Console (GPMC). Door te navigeren naar Computerconfiguratie > Beveiligingsinstellingen > Accountbeleid , kunnen we de regels voor het hele domein definiëren.
- Lengte en complexiteit: Acht tekens zijn niet meer voldoende. Organisaties zoals INCIBE adviseren een minimum van acht tekens. 12-tekensComplexiteit moet worden ingeschakeld om het gebruik van hoofdletters, kleine letters, cijfers en symbolen af te dwingen.
- Geschiedenis en geldigheid: Om te voorkomen dat de gebruiker wisselt tussen twee vergelijkbare wachtwoorden, wordt aangeraden om geschiedenis van 24 wachtwoordenWat de vervaldatum betreft, kan een maximale geldigheidsduur van ongeveer 45 dagen worden vastgesteld om verlenging af te dwingen.
- Accountblokkering: Om wachtwoordaanvallen te stoppen, is het essentieel om de configuratie aan te passen. blokkeringsdrempel (bijvoorbeeld 8 mislukte pogingen) en stel een wachttijd in, zoals 30 minuten, voordat het account zichzelf ontgrendelt of tussenkomst van de beheerder vereist.
Richtlijnen voor fijnmazige informatie (FGPP)
Niet alle gebruikers lopen hetzelfde risico. Een receptioniste heeft niet hetzelfde beveiligingsbeleid nodig als een systeembeheerder met verhoogde bevoegdheden . Dat is waar sterke wachtwoordbeleidsregels (FGPP) van pas komen, die beschikbaar zijn sinds Windows Server 2008.
Deze instellingen worden beheerd via het Active Directory Administration Center (ADAC) , met name in de container Wachtwoordconfiguratie. Hier kunnen we een wachtwoordconfiguratieobject (PSO) aanmaken en toewijzen aan een specifieke beveiligingsgroep, bijvoorbeeld een groep genaamd gs_workers . Op deze manier kunnen we van beheerders eisen dat ze veel langere en complexere wachtwoorden gebruiken dan de rest van het personeel.
Verschil tussen wachtwoorden en wachtzinnen
Soms raken we geobsedeerd door het gebruik van vreemde symbolen die niemand onthoudt, terwijl de ware kracht juist in de lengte schuilt. Dit is waar wachtzinnen van pas komen . In tegenstelling tot een traditioneel wachtwoord is een wachtzin een lange reeks woorden, meestal met spaties erin.
Ze zijn veel moeilijker te kraken met computers omdat de zoekruimte enorm is . Bovendien zijn ze gemakkelijker te onthouden voor mensen, waardoor de kans kleiner is dat de gebruiker het wachtwoord op een onveilige plek opschrijft. Om het genereren van LM-hashes (het zwakste type) te voorkomen, is een effectieve techniek het creëren van sterke wachtwoorden door te eisen dat ze langer zijn dan 14 tekens.
Onderhoud, controle en probleemoplossing
Zodra de regels zijn geïmplementeerd, is het belangrijk om de naleving ervan te controleren. U kunt opdrachten zoals `net accounts` in de opdrachtprompt gebruiken om het huidige beleid te bekijken, of de opdracht `Get-ADDefaultDomainPasswordPolicy` via PowerShell om domeingegevens op te vragen.
Als een gebruiker klaagt dat het nieuwe beleid niet op hem of haar wordt toegepast, kunnen we `gpupdate /force` uitvoeren om de beleidsregels te vernieuwen of `gpresult /r` gebruiken om te analyseren welke GPO's daadwerkelijk op de machine worden toegepast. Het is ook cruciaal om de replicatie tussen domeincontrollers te controleren met `repadmin /replsummary` , aangezien een gebrek aan synchronisatie ertoe kan leiden dat een gebruiker op de ene server wel, maar op de andere niet wordt geblokkeerd.
Om te voorkomen dat medewerkers overweldigd raken door te veel beperkingen, wordt het gebruik van tools van derden aanbevolen. Open-source wachtwoordmanagers maken het mogelijk om unieke en sterke wachtwoorden te gebruiken zonder ze allemaal te hoeven onthouden, terwijl wachtwoordherstelsystemen ( SSPR 's) voorkomen dat de technische ondersteuning overspoeld wordt met telefoontjes telkens wanneer iemand zijn wachtwoord vergeet.
De identiteitsbeveiliging in Active Directory is afhankelijk van een evenwicht tussen technische robuustheid, het gebruik van moderne hashfuncties zoals NT en AES-256, de toepassing van gedetailleerde beleidsregels op basis van gebruikersrisico's en de implementatie van aanvullende maatregelen zoals multifactorauthenticatie (MFA) , die als ultieme barrière fungeert wanneer het wachtwoord niet werkt.
