- Implementácia politík zložitosti a minimálnej dĺžky na základe súčasných bezpečnostných štandardov.
- Používanie podrobných politík hesiel (FGPP) na vynucovanie prísnych obmedzení pre privilegovaných používateľov.
- Rozlišovanie medzi hašovacím úložiskom LM a NT pre optimalizáciu odolnosti voči útokom.
- Zavedenie prístupových fráz a viacfaktorovej autentifikácie na zmiernenie rizík hrubej sily a krádeže poverení.
Pokiaľ ide o správu bezpečnosti v podnikovej sieti, Achillovou pätou je nepochybne správa poverení. Je faktom, že kyberzločinci nie vždy používajú sofistikované techniky; niekedy stačí útok hrubou silou alebo jednoduché uhádnutie bežných vzorcov na to, aby infiltrovali systém a začali sa laterálne pohybovať infraštruktúrou, až kým netrafia jackpot.
Aby sa naša sieť nestala sitom, je nevyhnutné nakonfigurovať službu Active Directory tak, aby heslá neboli hrou. Nejde len o nastavenie minimálnej dĺžky, ale o implementáciu komplexnej stratégie , ktorá kombinuje prísne pravidlá, bezpečné ukladanie hashov a predovšetkým priebežné školenia, aby si zamestnanci nelepili na monitor počítača papierik s heslom.
Ako sú kľúče uložené v ekosystéme Windows?
Systém Windows neukladá heslá v obyčajnom texte (to by bola digitálna samovražda), ale namiesto toho používa jednosmerné funkcie, známejšie ako kryptografické haše . V podstate ide o matematickú operáciu, ktorá transformuje heslo na reťazec znakov, ktorý sa nedá vrátiť späť. V doménach služby Active Directory sa používajú dva hlavné typy: LM (LAN Manager) OWF a NT OWF.
Systém LM je teraz zastaraný systém udržiavaný z dôvodu kompatibility, pretože rozdeľuje kľúč na dva 7-bajtové bloky a je dosť zraniteľný. Na druhej strane, hash NT používa algoritmus MD4 a je štandardom pre autentifikáciu v moderných doménach. Je dôležité vedieť, že tieto kľúče sa nachádzajú v súbore NTDS.DIT databázy Active Directory, chránenom šifrovacími vrstvami, ako je AES-256 v najnovších verziách systému Windows Server.
Okrem centrálnej databázy existuje lokálny SAM na počítačoch a prihlasovacie údaje uložené vo vyrovnávacej pamäti . Tie umožňujú používateľovi prihlásiť sa, aj keď počítač stratil pripojenie k radiču domény, na základe hashu odvodeného z používateľského mena a NT OWF.
Konfigurácia politík hesiel: Krok za krokom
Aby sme vniesli do chaosu poriadok, môžeme kľúče spravovať z konzoly pre správu skupinových politík (GPMC). Prejdením do časti Konfigurácia počítača > Nastavenia zabezpečenia > Politiky účtov môžeme definovať pravidlá pre celú doménu.
- Dĺžka a zložitosť: Osem znakov už nestačí. Organizácie ako INCIBE navrhujú minimálne Znaky 12Na vynútenie používania veľkých písmen, malých písmen, číslic a symbolov by mala byť povolená komplexnosť.
- História a platnosť: Aby sa zabránilo prepínaniu medzi dvoma podobnými heslami, odporúča sa história 24 hesielPokiaľ ide o dátum exspirácie, na vynútenie obnovenia je možné stanoviť maximálnu platnosť približne 45 dní.
- Blokovanie účtu: Aby sa zabránilo zneužívaniu hesiel, je nevyhnutné nakonfigurovať blokovací prah (napríklad 8 neúspešných pokusov) a definujte čakaciu dobu, napríklad 30 minút, kým sa účet sám odomkne alebo kým bude potrebný zásah správcu.
Smernice o jemnej granularite (FGPP)
Nie všetci používatelia sú vystavení rovnakej úrovni rizika. Recepčný nepotrebuje rovnakú bezpečnostnú politiku ako správca systému so zvýšenými oprávneniami . Tu prichádzajú na rad zásady pre silné heslá (FGPP), ktoré sú dostupné od systému Windows Server 2008.
Tieto sa spravujú prostredníctvom Centra správy služby Active Directory (ADAC) , konkrétne v kontajneri Konfigurácia hesla. Tu môžeme vytvoriť objekt konfigurácie hesla (PSO) a priradiť ho ku konkrétnej bezpečnostnej skupine, napríklad skupine s názvom gs_workers . Týmto spôsobom môžeme od administrátorov vyžadovať používanie oveľa dlhších a zložitejších hesiel ako od ostatných zamestnancov.
Rozdiel medzi heslami a prístupovými frázami
Niekedy sme posadnutí používaním zvláštnych symbolov, ktoré si nikto nepamätá, pričom skutočná sila spočíva v dĺžke. Tu prichádzajú na rad prístupové frázy . Na rozdiel od tradičného hesla je prístupová fráza dlhý reťazec slov, ktorý zvyčajne obsahuje medzery.
Pomocou počítačov sa oveľa ťažšie prelomia, pretože priestor pre vyhľadávanie je obrovský . Okrem toho sa ľahšie zapamätávajú ľuďom, čo znižuje pravdepodobnosť, že si používateľ heslo zapíše na nezabezpečené miesto. Aby sa zabránilo generovaniu LM hashov (najslabší typ), účinnou technikou je vytváranie silných hesiel tým, že sa vyžaduje, aby boli dlhšie ako 14 znakov.
Údržba, audit a riešenie problémov
Po implementácii pravidiel je dôležité monitorovať ich dodržiavanie. Na zobrazenie aktuálnej politiky môžete použiť príkazy ako `net accounts` v príkazovom riadku alebo príkaz `Get-ADDefaultDomainPasswordPolicy` prostredníctvom PowerShellu na získanie podrobností o doméne.
Ak sa používateľ sťažuje, že sa naňho nová politika neaplikuje, môžeme spustiť príkaz `gpupdate /force` na obnovenie politík alebo použiť `gpresult /r` na analýzu, ktoré objekty GPO sa na počítač skutočne aplikujú. Je tiež dôležité monitorovať replikáciu medzi radičmi domény pomocou `repadmin /replsummary` , pretože nedostatok synchronizácie môže spôsobiť, že používateľ bude zablokovaný na jednom serveri, ale nie na inom.
Aby sa predišlo zahlteniu zamestnancov nadmernými obmedzeniami, odporúča sa používanie nástrojov tretích strán. Správcovia hesiel s otvoreným zdrojovým kódom umožňujú používať jedinečné a silné heslá bez nutnosti ich všetky pamätať, zatiaľ čo systémy na obnovenie hesla (SSPR) zabraňujú zahlteniu technickej podpory hovormi zakaždým, keď niekto zabudne svoje heslo.
Zabezpečenie identít v službe Active Directory závisí od rovnováhy medzi technickou robustnosťou, používaním moderných hashov, ako sú NT a AES-256, uplatňovaním podrobných politík založených na riziku používateľa a implementáciou dodatočných opatrení, ako je viacfaktorové overovanie (MFA) , ktoré slúži ako konečná bariéra v prípade zlyhania hesla.
