Az Active Directory jelszóházirendje: útmutató és bevált gyakorlatok

A kibertámadások száma világszerte nő, ami hangsúlyozza az erős jelszószabályok szükségességét. A jelszóházirend biztosítja, hogy a felhasználói jelszavak erősek és rendszeresen cserélhetők legyenek, így a támadók rendkívül nehezen tudják feltörni őket. A hackerek gyakran jogos felhasználói vagy adminisztrátori hitelesítő adatokkal férnek hozzá a vállalati hálózatokhoz, ami biztonsági megsértéseket és megfelelési hibákat eredményez. Az ellenfelek különféle technikákat használnak a vállalati jelszavak veszélyeztetésére:

• Burte force támadások: A hackerek programokkal írják be a lehetséges jelszavakat, amíg meg nem találják a megfelelőt.
• Szótári támadások: Az ellenfelek a szótárban szereplő szavakat próbálják ki jelszóként.
• Jelszószórással járó támadások: A hackerek több felhasználói fiókban próbálnak meg közös jelszavakat használni.
• Hitelesítési adatok kitöltésével kapcsolatos támadások: Automatizált eszközöket használnak a hitelesítő adatok listájának bevitelére a vállalati bejelentkezési portálokon.
• Pókolás: Az ellenfelek információkat gyűjtenek a célpontról, és az adatok alapján jelszavakat hoznak létre.

Mi az Active Directory alapértelmezett jelszóházirendje?

Az ilyen támadások elleni védelem érdekében a szervezeteknek robusztus jelszószabályzattal kell rendelkezniük az Active Directoryhoz. Ez a házirend irányelveket határoz meg a jelszavak létrehozására vonatkozóan, beleértve a minimális hosszt, összetettséget (például speciális karakterek beillesztését), valamint a jelszó megváltoztatása előtti időtartamot. Alapértelmezés szerint az Active Directory egy előre beállított tartományi jelszóházirenddel rendelkezik, amely meghatározza a felhasználói fiókokra vonatkozó követelményeket, beleértve a jelszó hosszát, életkorát és egyéb tényezőket.

A tartományi jelszóházirend konfigurálása

A tartományi jelszóházirend konfigurálásához a rendszergazdák használhatják az Alapértelmezett tartományházirendet, egy olyan csoportházirend-objektumot, amely a tartományon belüli összes objektumra hatással van. A házirend eléréséhez és szerkesztéséhez meg kell nyitni a Csoportházirend-kezelő konzolt (GPMC). Az irányelv itt található:

Számítógép konfigurációja -> Házirendek -> Windows beállítások -> Biztonsági beállítások -> Fiókházirendek -> Jelszóházirend.

Alternatív megoldásként a tartományi jelszóházirend a PowerShell-en keresztül érhető el a „Get-ADDefaultDomainPasswordPolicy” parancs futtatásával.

Fontos megjegyezni, hogy az alapértelmezett jelszóházirend minden módosítása a tartományon belüli összes fiókra vonatkozik. A rendszergazdáknak lehetőségük van konkrétabb jelszóházirendek létrehozására és kezelésére is a Windows Server Active Directory Management Center (ADAC) használatával.

Alapértelmezett jelszóházirend-beállítások

Íme a hat alapértelmezett jelszóházirend-beállítás és azok alapértelmezett értékei:

Jelszóelőzmények kényszerítése: Az alapértelmezett érték 24. Ez a beállítás határozza meg, hogy a felhasználóknak hány egyedi jelszavat kell létrehozniuk egy régi jelszó újrafelhasználása előtt. Javasoljuk, hogy megtartsa az alapértelmezett értéket, hogy minimálisra csökkentse a feltört jelszavak kockázatát.

A jelszó maximális kora: Az alapértelmezett érték 42. Ez a beállítás azt az időtartamot határozza meg, ameddig a jelszó létezhet, mielőtt a rendszer felszólítja a felhasználót a módosítására. A felhasználók általában figyelmeztetést kapnak, amikor közeledik a jelszó lejárata. Ez a beállítás a PowerShell-en keresztül ellenőrizhető a „net user USERNAME/domain” paranccsal. Általában nem tanácsos az értéket 0-ra állítani, mivel ez azt jelenti, hogy a jelszavak soha nem járnak le.

A jelszó minimális életkora: Az alapértelmezett érték 1 nap. Ez a beállítás határozza meg, hogy mennyi ideig kell léteznie a jelszónak, mielőtt a felhasználó megváltoztathatja. A minimális korhatár beállítása megakadályozza, hogy a felhasználók folyamatosan visszaállítsák jelszavukat, hogy megkerüljék a „Jelszóelőzmények kényszerítése” beállítást, és azonnal újra felhasználják a kívánt jelszót.

Minimális jelszóhossz: Az alapértelmezett érték 7. Ez a beállítás határozza meg a jelszóhoz szükséges minimális karakterszámot. Míg a rövidebb jelszavakat a hackerek könnyebben feltörhetik, a nagyon hosszú minimális hossz beállítása elírásokhoz vezethet, és a felhasználók a jelszavak lejegyzéséhez folyamodhatnak. Javasoljuk, hogy a jelszó legalább 8 karakter hosszú legyen.

Bonyolultsági követelmények: Az alapértelmezett érték Enabled. Ez a beállítás határozza meg azokat a karaktertípusokat, amelyeket a jelszónak tartalmaznia kell. Bár korábban javasolták ennek a beállításnak az engedélyezését, a jelenlegi bevált gyakorlatok a jelszó hosszát részesítik előnyben a bonyolultság vagy a gyakori változtatások helyett. A bonyolultsági követelmények jellemzően nagybetűk, kisbetűk, számok és nem alfanumerikus karakterek kombinációját foglalják magukban. Ezenkívül korlátozza legfeljebb két szimbólum használatát a felhasználó fióknevében vagy megjelenített nevében.

Jelszavak tárolása visszafordítható titkosítással: Az alapértelmezett érték Disabled. Ez a beállítás azokhoz az alkalmazásokhoz készült, amelyekhez a felhasználóknak jelszót kell megadniuk a hitelesítéshez. A rendszergazdáknak le kell tiltaniuk ezt a beállítást, mivel ez lehetővé tenné a titkosítási módszert ismerő támadók számára, hogy bejelentkezzenek a hálózatba, miután feltörtek egy fiókot. Vannak kivételek, például engedélyezni kell ezt a beállítást az Internet Authentication Services (IAS) vagy a Challenge Handshake Authentication Protocol (CHAP) számára.

Mi az a finomszemcsés jelszóházirend (FGPP)?

Az AD régebbi verziói csak egy jelszóházirend létrehozását tették lehetővé minden tartományhoz. A finomszemcsés jelszóházirendek (FGPP) bevezetése lehetővé tette a rendszergazdák számára, hogy több jelszóházirendet hozzanak létre, hogy jobban megfeleljenek az üzleti igényeknek. Előfordulhat például, hogy az adminisztrátori fiókoknak összetettebb jelszavakat kell használniuk, mint a normál felhasználói fiókoknál. Fontos, hogy átgondoltan határozza meg szervezeti felépítését, hogy az megfeleljen a kívánt jelszószabályzatnak. Amíg a csoportházirend-objektumban meghatározza az alapértelmezett tartományjelszó-házirendet, az FGPP-k a jelszóbeállítási objektumokban (PSO-k) vannak beállítva. Beállításukhoz nyissa meg az ADAC-t, kattintson a tartományra, navigáljon a Rendszer mappába, majd kattintson a Jelszóbeállítások tárolóra.

NIST SP 800-63 jelszavas irányelvek

A National Institute of Standards (NIST) a digitális identitások kezelésére vonatkozó szabályok és irányelvek megállapításáért felelős kormányzati ügynökség. A 800-63B speciális kiadvány ismerteti a jelszavakra vonatkozó szabványokat. A jelenlegi szabvány az SP 800-63B 3. változata, amelyet 2017-ben adtak ki, és 2019-ben frissítettek. Ezek az irányelvek alapul szolgálnak a szervezetek számára egy erős jelszavas biztonsági infrastruktúra létrehozásához. A NIST ajánlásai a következők: a felhasználó által generált jelszavaknak legalább 8 karakteresnek kell lenniük (6 karakterből álló jelszavaknak), legfeljebb 64 karakter hosszúságú jelszavak engedélyezése, bármilyen ASCII/Unicode karakter használatának engedélyezése, a szekvenciális vagy ismétlődő karakterek betiltása a jelszavakban, valamint gyakori jelszóváltás. A legújabb NIST 800-63B szabványok hangsúlyozzák a jelszavak lejárati irányelveinek körültekintő használatát, mivel a kutatások azt mutatják, hogy az olyan alternatívák, mint a tiltott jelszavak listája, a hosszabb jelszavak és a többtényezős hitelesítés (MFA) nagyobb biztonságot nyújtanak.

Az Active Directory jelszóházirend bevált gyakorlatai

Az alábbiakban összefoglaljuk az AD jelszóházirend bevált gyakorlatait:

• A jelszó minimum 8 karakter hosszúságú legyen.
• Kényszerítsen egy jelszóelőzmény-házirendet, amely ellenőrzi a felhasználó által legutóbb használt 10 jelszót.
• Állítsa be a jelszó minimális korát 3 napra, hogy megakadályozza a felhasználókat abban, hogy gyorsan átfutsák a korábbi jelszavakat.
• A javasolt új jelszavak erősségének ellenőrzéséhez használja a tiltott jelszavak listáját, a feltört jelszavak listáját és a jelszószótárakat.
• Állítsa vissza a helyi rendszergazdai jelszavakat 180 naponta egy automatikus jelszó-visszaállító eszköz segítségével.
• Évente legalább egyszer módosítsa az eszközfiók jelszavait.
• Győződjön meg arról, hogy a tartományi rendszergazdai fiók jelszavai legalább 15 karakter hosszúak.
• Valósítson meg e-mailes értesítéseket, amelyek egy automatikus jelszó-lejárati emlékeztető eszközzel figyelmeztetik a felhasználókat, ha jelszavaik hamarosan lejárnak.
• Az alapértelmezett tartományházirend módosítása helyett hozzon létre részletes jelszóházirendeket adott szervezeti egységekhez.
• Használjon jelszókezelő eszközöket a jelszavak biztonságos tárolására.
• Lehetővé teszi a felhasználók számára a jelszavak módosítását a webböngészőn keresztül, és útmutatást ad az erős jelszavak kiválasztásához.
• Végezze el a fiókzárolási irányelveket a brutális támadások megelőzése érdekében.
• Hangsúlyozza annak fontosságát, hogy ne írja le a jelszavakat.
• Ösztönözze a felhasználókat, hogy diszkréten adják meg jelszavaikat anélkül, hogy bárki odafigyelne.
• Tájékoztassa a felhasználókat a „HTTPS://” és a „HTTP://” közötti különbségtétel fontosságáról az URL-ekben a fokozott biztonság érdekében.
• Kerülje el, hogy ugyanazt a jelszót használja több webhelyen, amelyek bizalmas információkhoz férnek hozzá.