- 根據現行安全標準實施複雜性和最小長度策略。
- 使用細粒度密碼原則 (FGPP) 對特權使用者實施嚴格限制。
- 區分 LM 和 NT 雜湊存儲，以優化抵禦攻擊的能力。
- 採用密碼短語和多因素身份驗證來降低暴力破解風險和憑證盜竊風險。
在企業網路安全管理方面，憑證管理無疑是最大的軟肋。事實上，網路犯罪分子並非總是使用複雜的技術；有時，暴力破解攻擊或僅僅猜測一些常見模式就足以滲透系統，並在基礎設施中橫向移動，直至找到突破口。
為了防止我們的網路變成漏洞百出的篩子，至關重要的是設定 Active Directory，確保密碼安全無虞。這不僅僅是設定最小長度的問題，而是要實施一套全面的策略，結合嚴格的政策、安全的哈希值存儲，以及最重要的——持續的培訓，從而避免員工把寫著密碼的便簽貼在電腦顯示器上。
Windows 生態系中金鑰是如何儲存的？
Windows 不會以明文形式儲存密碼（那樣無異於自尋死路），而是使用單向函數，也就是我們常說的加密雜湊。本質上，它是一種數學運算，可以將密碼轉換成一串無法逆向還原的字元。在 Active Directory 網域中，主要使用兩種類型的單向函數：LM（區域網路管理員）OWF 和 NT OWF。
LM 系統現在已過時，僅為相容性而保留，因為它將金鑰分割成兩個 7 位元組的區塊，非常容易受到攻擊。另一方面，NT 雜湊使用 MD4 演算法，是現代域身份驗證的標準。需要注意的是，這些金鑰儲存在Active Directory 資料庫的NTDS.DIT 檔案中，並受到加密層（例如最新版本 Windows Server 中的 AES-256）的保護。
除了中央資料庫之外，電腦上還有本機 SAM 和快取憑證。後者允許使用者即使電腦與網域控制器斷開連接，也能根據從使用者名稱和 NT OWF 產生的雜湊值登入。
設定密碼策略：逐步指南
為了理清混亂的局面，我們可以透過群組原則管理主控台 (GPMC) 來管理金鑰。透過導覽至「電腦設定」>「安全設定」>「帳戶原則」，我們可以定義整個網域的規則。
- 長度和復雜性： 八個字元已經不夠了。像INCIBE這樣的組織建議至少使用八個字元。 12個字符應啟用複雜性功能，強制使用大寫字母、小寫字母、數字和符號。
- 歷史與有效性： 為防止使用者在兩個相似的密碼之間切換，建議： 24個密碼的歷史記錄關於到期日，可以設定最長有效期約為 45 天，以強制續約。
- 賬戶封鎖： 為了阻止密碼噴灑攻擊，配置以下設定至關重要： 阻塞閾值 （例如，8 次嘗試失敗）並定義一個等待時間，例如 30 分鐘，之後帳戶將自動解鎖或需要管理員幹預。
細粒度指令（FGPP）
並非所有使用者都面臨相同程度的風險。前台接待員不需要像擁有提升權限的系統管理員那樣的安全策略。這就是強密碼原則 (FGPP) 的用武之地，該原則自 Windows Server 2008 起可用。
這些設定透過Active Directory 管理中心 (ADAC)進行管理，具體來說，是在「密碼配置」容器中進行管理。在這裡，我們可以建立一個密碼配置物件 (PSO) 並將其指派給特定的安全性群組，例如名為gs_workers的群組。這樣，我們就可以要求管理者使用比其他員工更長、更複雜的密碼。
密碼和通行短語的區別
我們有時會執著於使用沒人能記得的奇怪符號，而真正的安全優勢卻在於長度。這就是密碼短語的用武之地。與傳統密碼不同，密碼短語是一長串單詞，通常包含空格。
由於搜尋空間極為龐大，使用電腦破解這類密碼要困難得多。此外，這類密碼也更容易被記住，降低了使用者將密碼寫在不安全地方的可能性。為了防止產生LM雜湊值（最弱的雜湊類型），一種有效的方法是建立強密碼，要求密碼長度超過14個字元。
維護、審核和故障排除
規則實施後，監控合規性至關重要。您可以使用命令提示字元中的`net accounts`等命令查看目前策略，或透過 PowerShell 使用`Get-ADDefaultDomainPasswordPolicy`命令取得網域詳細資訊。
如果使用者反映新策略未生效，我們可以執行`gpupdate /force`來刷新策略，或使用`gpresult /r`分析哪些 GPO 實際應用到了該電腦上。此外，使用`repadmin /replsummary`監控網域控制器之間的複製情況也至關重要，因為缺乏同步可能導致使用者在一個伺服器上被阻止，但在另一個伺服器上卻可以正常存取。
為了避免造成員工過多的限制，建議使用第三方工具。開源密碼管理器允許使用者使用獨特且強度高的密碼，而無需記住所有密碼；而密碼重置系統（SSPR）則可以避免技術支援部門因用戶忘記密碼而疲於應對大量電話。
Active Directory 中的身份安全取決於技術穩健性、使用 NT 和 AES-256 等現代雜湊演算法、應用基於用戶風險的細粒度策略以及實施多因素身份驗證 (MFA)等附加措施之間的平衡，MFA 在密碼失敗時起到最終屏障的作用。
