谈到企业网络安全管理，凭证管理无疑是其薄弱环节。事实上，网络犯罪分子并非总是使用复杂的技术；有时，简单的手段就足以奏效。 蛮力攻击 或者，也可以简单地猜测常见模式，渗透到系统中，然后开始在基础设施中横向移动，直到获得成功。
为了防止我们的网络变成筛子，必须配置 Active Directory，确保密码安全无虞。这不仅仅是设置最小长度的问题，而是…… 实施一项全面的战略 它结合了严格的指令、安全的哈希存储，以及最重要的持续教育，这样员工就不会把写着密钥的便签贴在显示器上了。
Windows 生态系统中密钥是如何存储的？
Windows 不会以明文形式存储密码（那样无异于自杀），而是使用单向函数，也就是我们常说的加密函数。 加密散列简而言之，它是一种数学运算，可以将密钥转换为不可逆的字符串。在 Active Directory 域中，主要使用两种类型：LM（局域网管理器）OWF 和 NT OWF。
LM 系统现在已过时，仅出于兼容性考虑而保留，因为它将密钥分成两个 7 字节的块，非常容易受到攻击。另一方面， NT 哈希使用 MD4 算法 它是现代域中身份验证的标准。需要注意的是，这些密钥存储在文件中。 NTDS.DIT 来自 AD 数据库，在最新版本的 Windows Server 中受到 AES-256 等加密层的保护。
除了中央数据库外，设备上还有本地SAM， 缓存凭据后一种方法允许用户即使计算机与域控制器失去连接，也能根据从用户名和 NT OWF 导出的哈希值登录。
配置密码策略：分步指南
为了理清混乱局面，我们可以通过组策略管理控制台 (GPMC) 来管理密钥。导航至 计算机配置 > 安全设置 > 帐户策略我们可以为整个领域定义游戏规则。
- 长度和复杂性： 八个字符已经不够了。像INCIBE这样的组织建议至少使用八个字符。 12个字符应启用复杂性设置，强制使用大写字母、小写字母、数字和符号。
- 历史和有效性： 为防止用户在两个相似的密码之间切换，建议： 24个密码的历史记录关于到期日，可以设定最长有效期约为 45 天，以强制续期。
- 账户封锁： 为了阻止密码喷洒攻击，配置以下设置至关重要： 阻塞阈值 （例如，8 次尝试失败）并定义一个等待时间，例如 30 分钟，之后帐户将自动解锁或需要管理员干预。
细粒度指令（FGPP）
并非所有用户的风险等级都相同。前台接待员不需要像……那样的保险政策。 具有提升权限的系统管理员为此，自 Windows Server 2008 起，出现了精细密码策略 (FGPP)。
这些都通过以下方式进行管理： 活动目录管理中心 (ADAC)具体来说，在“密码配置”容器中。在这里，我们可以创建一个密码配置对象 (PSO) 并将其分配给特定的安全组，例如名为“密码组”的组。 gs_workers这样一来，我们就可以要求管理员使用比其他员工更长、更复杂的密码。
密码和通行短语的区别
有时我们会痴迷于使用无人能记起的奇怪符号，而真正的力量却在于长度。这就是…… 密码短语与传统密钥不同，短语是一串通常包含空格的长单词。
由于以下原因，使用计算机破译它们要困难得多： 搜索空间极其广阔。此外，它们更容易被人记住，从而降低了用户将密钥写在不安全地方的可能性。为了防止生成LM哈希（安全性最低的哈希），一种有效的技术是： 创建强密码 强迫钥匙超过 14个字符.
维护、审核和故障排除
规则实施后，需要监控执行情况。我们可以使用如下命令： 净账户 在命令提示符下查看当前策略，或使用命令 获取ADDefaultDomainPasswordPolicy 通过 PowerShell 获取域详细信息。
如果用户抱怨新策略没有应用到他们身上，我们可以执行 运行gpupdate / force 刷新指令或使用 gp结果/r 分析哪些 GPO 实际到达了团队。监控域控制器之间的复制也至关重要。 repadmin /replsummary因为不同步会导致用户在一个服务器上被阻止，但在另一个服务器上却不会被阻止。
为避免对员工施加过多的限制，建议使用第三方工具。 开源密码管理器 它们允许使用独特且强大的密钥，而无需记住所有密钥，而系统 密码重置（SSPR） 这样可以避免每次有人忘记密码时，技术支持服务都被电话淹没。
Active Directory 中的身份安全取决于技术稳健性、使用 NT 和 AES-256 等现代哈希算法、应用基于用户风险的细粒度策略以及实施其他措施之间的平衡，例如： 多重身份验证 (MFA)当密码失效时，它就起到了最终屏障的作用。
