- 根据现行安全标准实施复杂性和最小长度策略。
- 使用细粒度密码策略 (FGPP) 对特权用户实施严格限制。
- 区分 LM 和 NT 哈希存储，以优化抵御攻击的能力。
- 采用密码短语和多因素身份验证来降低暴力破解风险和凭证盗窃风险。
在企业网络安全管理方面，凭证管理无疑是最大的软肋。事实上，网络犯罪分子并非总是使用复杂的技术；有时，暴力破解攻击或仅仅猜测一些常见模式就足以渗透系统，并在基础设施中横向移动，直至找到突破口。
为了防止我们的网络变成一个漏洞百出的筛子，至关重要的是配置 Active Directory，确保密码安全无虞。这不仅仅是设置最小长度的问题，而是要实施一套全面的策略，结合严格的政策、安全的哈希值存储，以及最重要的——持续的培训，从而避免员工把写着密码的便签贴在电脑显示器上。
Windows 生态系统中密钥是如何存储的？
Windows 不会以明文形式存储密码（那样无异于自寻死路），而是使用单向函数，也就是我们常说的加密哈希。本质上，它是一种数学运算，可以将密码转换成一串无法逆向还原的字符。在 Active Directory 域中，主要使用两种类型的单向函数：LM（局域网管理器）OWF 和 NT OWF。
LM 系统现在已过时，仅为兼容性而保留，因为它将密钥分割成两个 7 字节的块，非常容易受到攻击。另一方面，NT 哈希使用 MD4 算法，是现代域身份验证的标准。需要注意的是，这些密钥存储在Active Directory 数据库的NTDS.DIT 文件中，并受到加密层（例如最新版本 Windows Server 中的 AES-256）的保护。
除了中央数据库之外，计算机上还有本地 SAM 和缓存凭据。后者允许用户即使计算机与域控制器断开连接，也能根据从用户名和 NT OWF 生成的哈希值登录。
配置密码策略：分步指南
为了理清混乱的局面，我们可以通过组策略管理控制台 (GPMC) 来管理密钥。通过导航至“计算机配置”>“安全设置”>“帐户策略”，我们可以定义整个域的规则。
- 长度和复杂性： 八个字符已经不够了。像INCIBE这样的组织建议至少使用八个字符。 12个字符应启用复杂性设置，强制使用大写字母、小写字母、数字和符号。
- 历史和有效性： 为防止用户在两个相似的密码之间切换，建议： 24个密码的历史记录关于到期日，可以设定最长有效期约为 45 天，以强制续期。
- 账户封锁： 为了阻止密码喷洒攻击，配置以下设置至关重要： 阻塞阈值 （例如，8 次尝试失败）并定义一个等待时间，例如 30 分钟，之后帐户将自动解锁或需要管理员干预。
细粒度指令（FGPP）
并非所有用户都面临相同级别的风险。前台接待员不需要像拥有提升权限的系统管理员那样的安全策略。这就是强密码策略 (FGPP) 的用武之地，该策略自 Windows Server 2008 起可用。
这些设置通过Active Directory 管理中心 (ADAC)进行管理，具体来说，是在“密码配置”容器中进行管理。在这里，我们可以创建一个密码配置对象 (PSO) 并将其分配给特定的安全组，例如名为gs_workers的组。这样，我们就可以要求管理员使用比其他员工更长、更复杂的密码。
密码和通行短语的区别
我们有时会执着于使用没人能记住的奇怪符号，而真正的安全优势却在于长度。这就是密码短语的用武之地。与传统密码不同，密码短语是一长串单词，通常包含空格。
由于搜索空间极其庞大，使用计算机破解这类密码要困难得多。此外，这类密码也更容易被人记住，从而降低了用户将密码写在不安全地方的可能性。为了防止生成LM哈希值（最弱的哈希类型），一种有效的方法是创建强密码，要求密码长度超过14个字符。
维护、审核和故障排除
规则实施后，监控合规性至关重要。您可以使用命令提示符中的`net accounts`等命令查看当前策略，或者通过 PowerShell 使用`Get-ADDefaultDomainPasswordPolicy`命令获取域详细信息。
如果用户反映新策略未生效，我们可以运行`gpupdate /force`来刷新策略，或者使用`gpresult /r`分析哪些 GPO 实际应用到了该计算机上。此外，使用`repadmin /replsummary`监控域控制器之间的复制情况也至关重要，因为缺乏同步可能导致用户在一个服务器上被阻止，但在另一个服务器上却可以正常访问。
为了避免给员工造成过多的限制，建议使用第三方工具。开源密码管理器允许用户使用独特且强度高的密码，而无需记住所有密码；而密码重置系统（SSPR）则可以避免技术支持部门因用户忘记密码而疲于应对大量电话。
Active Directory 中的身份安全取决于技术稳健性、使用 NT 和 AES-256 等现代哈希算法、应用基于用户风险的细粒度策略以及实施多因素身份验证 (MFA)等附加措施之间的平衡，MFA 在密码失败时起到最终屏障的作用。
