談到企業網路安全管理，憑證管理無疑是其薄弱環節。事實上，網路犯罪分子並非總是使用複雜的技術；有時，簡單的手段就足以奏效。 蠻力攻擊 或者，也可以簡單地猜測常見模式，滲透到系統中，然後開始在基礎設施中橫向移動，直到成功為止。
為了防止我們的網路變成篩子，必須設定 Active Directory，確保密碼安全無虞。這不僅僅是設定最小長度的問題，而是… 實施一項全面的策略 它結合了嚴格的指令、安全的哈希存儲，以及最重要的持續教育，這樣員工就不會把寫著密鑰的便籤貼在顯示器上了。
Windows 生態系中金鑰是如何儲存的？
Windows 不會以明文形式儲存密碼（那樣無異於自殺），而是使用單向函數，也就是我們常說的加密函數。 加密雜湊簡而言之，它是一種數學運算，可以將密鑰轉換為不可逆的字串。在 Active Directory 網域中，主要使用兩種類型：LM（區域網路管理員）OWF 和 NT OWF。
LM 系統現在已過時，僅出於相容性考慮而保留，因為它將金鑰分成兩個 7 位元組的區塊，非常容易受到攻擊。另一方面， NT 哈希使用 MD4 演算法 它是現代網域中身份驗證的標準。需要注意的是，這些密鑰會儲存在文件中。 NTDS.DIT 來自 AD 資料庫，在最新版本的 Windows Server 中受到 AES-256 等加密層的保護。
除了中央資料庫外，設備上還有本地SAM， 快取憑證後者方法允許使用者即使電腦與網域控制器失去連接，也能根據從使用者名稱和 NT OWF 匯出的雜湊值登入。
設定密碼策略：逐步指南
為了理清混亂局面，我們可以透過群組原則管理主控台 (GPMC) 來管理金鑰。導航至 電腦設定 > 安全設定 > 帳戶策略我們可以為整個領域定義遊戲規則。
- 長度和復雜性： 八個字元已經不夠了。像INCIBE這樣的組織建議至少使用八個字元。 12個字符應啟用複雜性功能，強制使用大寫字母、小寫字母、數字和符號。
- 歷史與有效性： 為防止使用者在兩個相似的密碼之間切換，建議： 24個密碼的歷史記錄關於到期日，可以設定最長有效期約為 45 天，以強制續約。
- 賬戶封鎖： 為了阻止密碼噴灑攻擊，配置以下設定至關重要： 阻塞閾值 （例如，8 次嘗試失敗）並定義一個等待時間，例如 30 分鐘，之後帳戶將自動解鎖或需要管理員幹預。
細粒度指令（FGPP）
並非所有使用者的風險等級都相同。前台接待員不需要像…那樣的保險政策。 具有提升權限的系統管理員為此，自 Windows Server 2008 起，出現了精細密碼原則 (FGPP)。
這些都透過以下方式進行管理： 活動目錄管理中心 (ADAC)具體來說，在“密碼配置”容器中。在這裡，我們可以建立一個密碼配置物件 (PSO) 並將其指派給特定的安全性群組，例如名為「密碼群組」的群組。 gs_workers這樣一來，我們就可以要求管理者使用比其他員工更長、更複雜的密碼。
密碼和通行短語的區別
有時我們會執著於使用無人能想起的奇怪符號，而真正的力量卻在於長度。這就是… 密碼短語與傳統密鑰不同，短語是一串通常包含空格的長單字。
由於以下原因，使用計算機破解它們要困難得多： 搜尋空間極為廣闊。此外，它們更容易被記住，從而降低了使用者將金鑰寫在不安全地方的可能性。為了防止生成LM哈希（安全性最低的哈希），一種有效的技術是： 創建強密碼 強迫鑰匙超過 14個字符.
維護、審核和故障排除
規則實施後，需要監控執行情況。我們可以使用以下命令： 淨賬戶 在命令提示字元下查看目前策略，或使用命令 取得ADDefaultDomainPasswordPolicy 透過 PowerShell 取得網域詳細資訊。
如果用戶抱怨新策略沒有應用在他們身上，我們可以執行 運行gpupdate / force 刷新指令或使用 gpresult /r 分析哪些 GPO 實際上到達了團隊。監控網域控制器之間的複製也至關重要。 repadmin /replsummary因為不同步會導致使用者在一個伺服器上被阻止，但在另一個伺服器上卻不會被阻止。
為避免對員工施加過多的限制，建議使用第三方工具。 開源密碼管理器 它們允許使用獨特且強大的密鑰，而無需記住所有密鑰，而係統 密碼重置（SSPR） 這樣可以避免每次有人忘記密碼時，技術支援服務都被電話淹沒。
Active Directory 中的身分安全性取決於技術穩健性、使用 NT 和 AES-256 等現代雜湊演算法、應用基於使用者風險的細粒度策略以及實施其他措施之間的平衡，例如： 多重身份驗證 (MFA)當密碼失效時，它就起到了最終屏障的作用。
