Khi nói về quản lý an ninh mạng trong doanh nghiệp, điểm yếu chí mạng thường chính là việc xử lý thông tin đăng nhập. Thực tế là tội phạm mạng không phải lúc nào cũng sử dụng các kỹ thuật tinh vi; đôi khi, một phương pháp đơn giản là đủ. tấn công vũ phu Hoặc đơn giản chỉ là hành động đoán các mô hình phổ biến để xâm nhập vào một hệ thống và bắt đầu di chuyển ngang qua cơ sở hạ tầng cho đến khi trúng số độc đắc.
Để ngăn chặn mạng lưới của chúng ta trở thành một cái sàng, điều cần thiết là phải cấu hình Active Directory sao cho mật khẩu không thể bị đoán bừa. Vấn đề không chỉ là thiết lập độ dài tối thiểu, mà còn là... thực hiện một chiến lược toàn diện Điều đó kết hợp các chỉ thị nghiêm ngặt, lưu trữ an toàn các mã băm và trên hết là việc đào tạo liên tục để nhân viên không phải dán một mẩu giấy ghi chú có khóa lên màn hình.
Các khóa được lưu trữ như thế nào trong hệ sinh thái Windows?
Windows không lưu trữ mật khẩu dưới dạng văn bản thuần (điều đó sẽ là tự sát kỹ thuật số), mà thay vào đó sử dụng các hàm một chiều, được biết đến nhiều hơn với tên gọi là băm mật mãVề cơ bản, đó là một phép toán học biến đổi khóa thành một chuỗi ký tự không thể đảo ngược. Trong các miền Active Directory, có hai loại chính được sử dụng: LM (LAN Manager) OWF và NT OWF.
Hệ thống LM hiện là một hệ thống lỗi thời được duy trì vì lý do tương thích, do nó chia khóa thành hai khối 7 byte và khá dễ bị tấn công. Mặt khác, Mã băm NT sử dụng thuật toán MD4. và đó là tiêu chuẩn xác thực trong các miền hiện đại. Điều quan trọng cần biết là các khóa này nằm trong tệp NTDS.DIT Từ cơ sở dữ liệu AD, được bảo vệ bởi các lớp mã hóa như AES-256 trong các phiên bản Windows Server mới nhất.
Ngoài cơ sở dữ liệu trung tâm, còn có SAM cục bộ trên thiết bị và... thông tin đăng nhập được lưu trong bộ nhớ cacheCác phương thức sau cho phép người dùng đăng nhập ngay cả khi máy tính bị mất kết nối với bộ điều khiển miền, dựa trên mã băm được tạo ra từ tên người dùng và NT OWF.
Cấu hình chính sách mật khẩu: Hướng dẫn từng bước
Để thiết lập trật tự cho sự hỗn loạn, chúng ta có thể quản lý các khóa từ Bảng điều khiển quản lý chính sách nhóm (GPMC). Điều hướng qua Cấu hình máy tính > Cài đặt bảo mật > Chính sách tài khoảnTừ đó, chúng ta có thể định nghĩa các quy tắc của trò chơi cho toàn bộ lĩnh vực.
- Độ dài và độ phức tạp: Tám ký tự không còn đủ nữa. Các tổ chức như INCIBE đề xuất tối thiểu là... Nhân vật 12Cần thiết lập độ phức tạp để bắt buộc sử dụng chữ cái viết hoa, chữ cái viết thường, số và ký hiệu.
- Lịch sử và tính xác thực: Để ngăn người dùng chuyển đổi giữa hai mật khẩu tương tự nhau, nên thực hiện các bước sau: lịch sử 24 mật khẩuVề ngày hết hạn, có thể quy định thời hạn hiệu lực tối đa khoảng 45 ngày để bắt buộc gia hạn.
- Chặn tài khoản: Để ngăn chặn tấn công dò mật khẩu, việc cấu hình là vô cùng quan trọng. ngưỡng chặn (ví dụ: 8 lần đăng nhập không thành công) và thiết lập thời gian chờ, chẳng hạn như 30 phút, trước khi tài khoản tự động mở khóa hoặc yêu cầu sự can thiệp của quản trị viên.
Chỉ thị về độ chi tiết cao (FGPP)
Không phải tất cả người dùng đều có mức độ rủi ro như nhau. Nhân viên lễ tân không cần chính sách bảo mật giống như nhân viên khác. quản trị viên hệ thống với quyền hạn caoĐể phục vụ mục đích này, người ta sử dụng Chính sách Mật khẩu Cao cấp (Fine-Grade Password Policies - FGPP), có sẵn từ Windows Server 2008 trở lên.
Những việc này được quản lý thông qua Trung tâm quản trị Active Directory (ADAC)Cụ thể, trong vùng chứa Cấu hình Mật khẩu. Tại đây, chúng ta có thể tạo một Đối tượng Cấu hình Mật khẩu (PSO) và gán nó cho một nhóm bảo mật cụ thể, chẳng hạn như một nhóm có tên là... gs_workersBằng cách này, chúng ta có thể yêu cầu các quản trị viên sử dụng mật khẩu dài hơn và phức tạp hơn nhiều so với các nhân viên còn lại.
Sự khác biệt giữa mật khẩu và cụm mật khẩu
Đôi khi chúng ta bị ám ảnh bởi việc sử dụng những biểu tượng kỳ lạ mà chẳng ai nhớ được, trong khi sức mạnh thực sự nằm ở chiều dài. Đây là nơi mà... mật khẩuKhác với khóa truyền thống, cụm từ là một chuỗi các từ dài thường bao gồm cả khoảng trắng.
Chúng khó giải mã hơn nhiều khi sử dụng máy tính vì... Không gian tìm kiếm vô cùng rộng lớn.Hơn nữa, chúng dễ nhớ hơn đối với con người, giảm khả năng người dùng ghi khóa ra ở một nơi không an toàn. Để ngăn chặn việc tạo ra các hàm băm LM (yếu nhất), một kỹ thuật hiệu quả là... tạo mật khẩu mạnh buộc các chìa khóa phải vượt quá Nhân vật 14.
Bảo trì, kiểm toán và khắc phục sự cố
Sau khi các quy định được thực thi, việc giám sát việc tuân thủ là cần thiết. Chúng ta có thể sử dụng các lệnh như... tài khoản net Tại dấu nhắc lệnh để xem chính sách hiện tại, hoặc lệnh Get-ADDefaultDomainPasswordPolicy Sử dụng PowerShell để lấy thông tin chi tiết về tên miền.
Nếu người dùng phàn nàn rằng chính sách mới không được áp dụng cho họ, chúng ta có thể thực hiện... gpupdate / force để làm mới các chỉ thị hoặc sử dụng gpresult / r Để phân tích xem các GPO nào thực sự đến được với nhóm. Việc giám sát quá trình sao chép giữa các bộ điều khiển miền cũng rất quan trọng. repadmin /replsummaryvì sự mất đồng bộ có thể khiến người dùng bị chặn trên một máy chủ nhưng không bị chặn trên máy chủ khác.
Để tránh gây quá tải cho nhân viên bằng những hạn chế quá khắt khe, nên sử dụng các công cụ của bên thứ ba. trình quản lý mật khẩu mã nguồn mở Chúng cho phép sử dụng các khóa độc nhất và mạnh mà không cần phải nhớ hết tất cả, trong khi các hệ thống khác thì không. đặt lại mật khẩu (SSPR) Chúng giúp ngăn chặn tình trạng quá tải dịch vụ hỗ trợ kỹ thuật mỗi khi ai đó quên mật khẩu.
Bảo mật danh tính trong Active Directory phụ thuộc vào sự cân bằng giữa tính mạnh mẽ về mặt kỹ thuật, việc sử dụng các thuật toán băm hiện đại như NT và AES-256, việc áp dụng các chính sách chi tiết dựa trên rủi ro của người dùng và việc thực hiện các biện pháp bổ sung như... xác thực đa yếu tố (MFA)Điều này đóng vai trò như một rào cản cuối cùng khi mật khẩu không chính xác.
