Keď hovoríme o správe bezpečnosti v podnikovej sieti, Achillovou pätou je často, bezpochyby, manipulácia s prihlasovacími údajmi. Je faktom, že kyberzločinci nie vždy používajú sofistikované techniky; niekedy stačí jednoduchá metóda. útok hrubou silou alebo jednoduchý akt uhádnutia bežných vzorcov na infiltráciu systému a začatie laterálneho pohybu infraštruktúrou, kým netrafíte jackpot.
Aby sa naša sieť nestala sitom, je nevyhnutné nakonfigurovať službu Active Directory tak, aby heslá neboli hrou. Nejde len o nastavenie minimálnej dĺžky, ale o... implementovať komplexnú stratégiu ktorý kombinuje prísne smernice, bezpečné ukladanie hashov a predovšetkým neustále vzdelávanie, aby zamestnanci nakoniec nenalepili na monitor papierik s kľúčom.
Ako sú kľúče uložené v ekosystéme Windows?
Systém Windows neukladá heslá v obyčajnom texte (to by bola digitálna samovražda), ale namiesto toho používa jednosmerné funkcie, známejšie ako kryptografické hasheV podstate ide o matematickú operáciu, ktorá transformuje kľúč na reťazec znakov, ktorý sa nedá vrátiť späť. V doménach služby Active Directory sa používajú dva hlavné typy: LM (LAN Manager) OWF a NT OWF.
Systém LM je teraz zastaraný systém, ktorý sa udržiava z dôvodov kompatibility, pretože rozdeľuje kľúč na dva 7-bajtové bloky a je dosť zraniteľný. Na druhej strane, NT hash používa algoritmus MD4 a je to štandard pre autentifikáciu v moderných doménach. Je dôležité vedieť, že tieto kľúče sa nachádzajú v súbore NTDS.DIT z databázy AD, chránenej šifrovacími vrstvami, ako napríklad AES-256 v najnovších verziách systému Windows Server.
Okrem centrálnej databázy je na zariadení aj lokálny systém SAM. prihlasovacie údaje uložené v vyrovnávacej pamätiTieto posledné umožňujú používateľovi prihlásiť sa, aj keď počítač stratil spojenie s radičom domény, na základe hashu odvodeného z používateľského mena a NT OWF.
Konfigurácia politík hesiel: Krok za krokom
Aby sme vniesli do chaosu poriadok, môžeme spravovať kľúče z konzoly Group Policy Management Console (GPMC). Navigácia v Konfigurácia počítača > Nastavenia zabezpečenia > Zásady účtov, môžeme definovať pravidlá hry pre celú doménu.
- Dĺžka a zložitosť: Osem znakov už nestačí. Organizácie ako INCIBE navrhujú minimálne Znaky 12Na vynútenie používania veľkých písmen, malých písmen, číslic a symbolov by mala byť povolená komplexnosť.
- História a platnosť: Aby sa zabránilo prepínaniu medzi dvoma podobnými heslami, odporúča sa história 24 hesielPokiaľ ide o dátum exspirácie, na vynútenie obnovenia je možné stanoviť maximálnu platnosť približne 45 dní.
- Blokovanie účtu: Aby sa zabránilo zneužívaniu hesiel, je nevyhnutné nakonfigurovať blokovací prah (napríklad 8 neúspešných pokusov) a definujte čakaciu dobu, napríklad 30 minút, kým sa účet sám odomkne alebo kým bude potrebný zásah správcu.
Smernice o jemnej granularite (FGPP)
Nie všetci používatelia majú rovnakú úroveň rizika. Recepčný nepotrebuje rovnaké pravidlá ako správca systému so zvýšenými oprávneniamiNa tento účel existujú politiky hesiel Fine-Grade Password Policies (FGPP), ktoré sú dostupné od systému Windows Server 2008.
Tieto sú spravované prostredníctvom Centrum správy služby Active Directory (ADAC)Konkrétne v kontajneri Konfigurácia hesla. Tu môžeme vytvoriť objekt konfigurácie hesla (PSO) a priradiť ho ku konkrétnej bezpečnostnej skupine, napríklad skupine s názvom gs_pracovníciTakto môžeme od administrátorov vyžadovať, aby používali oveľa dlhšie a zložitejšie heslá ako ostatní zamestnanci.
Rozdiel medzi heslami a prístupovými frázami
Niekedy sme posadnutí používaním zvláštnych symbolov, ktoré si nikto nepamätá, pričom skutočná sila spočíva v dĺžke. Tu sa nachádza... prístupové frázyNa rozdiel od tradičného kľúča je fráza reťazec dlhých slov, ktoré zvyčajne obsahujú medzery.
Pomocou počítačov sa oveľa ťažšie dešifrujú, pretože priestor na vyhľadávanie je obrovskýOkrem toho sú pre ľudí ľahšie zapamätateľné, čo znižuje pravdepodobnosť, že si používateľ kľúč zapíše na nebezpečné miesto. Aby sa zabránilo generovaniu LM hashov (najslabších), existuje účinná technika... vytvárať silné heslá nútenie kľúčov prekročiť Znaky 14.
Údržba, audit a riešenie problémov
Po implementácii pravidiel je potrebné monitorovať ich dodržiavanie. Môžeme použiť príkazy ako čisté účty v príkazovom riadku na zobrazenie aktuálnej politiky alebo príkaz Get-ADDefaultDomainPasswordPolicy prostredníctvom PowerShellu na získanie podrobností o doméne.
Ak sa používateľ sťažuje, že sa na neho nová politika nevzťahuje, môžeme ju vykonať gpupdate / force aktualizovať smernice alebo použiť gpresult / r analyzovať, ktoré objekty GPO sa skutočne dostávajú k tímu. Je tiež dôležité monitorovať replikáciu medzi radičmi domény pomocou repadmin /replsummarypretože desynchronizácia môže spôsobiť, že používateľ bude zablokovaný na jednom serveri, ale nie na inom.
Aby sa predišlo zahlteniu zamestnancov extrémnymi obmedzeniami, odporúča sa používanie nástrojov tretích strán. správcovia hesiel s otvoreným zdrojovým kódom Umožňujú používanie jedinečných a silných kľúčov bez nutnosti ich všetky pamätať, zatiaľ čo systémy obnovenie hesla (SSPR) Zabraňujú tomu, aby bola technická podpora zahltená hovormi vždy, keď niekto zabudne heslo.
Zabezpečenie identít v službe Active Directory závisí od rovnováhy medzi technickou robustnosťou, používaním moderných hashov, ako sú NT a AES-256, uplatňovaním podrobných politík založených na riziku používateľa a implementáciou dodatočných opatrení, ako napríklad viacfaktorové overenie (MFA)ktorá slúži ako konečná bariéra v prípade zlyhania hesla.
