Windows Server 2022: zásady uzamknutia účtov bez zbytočných výpadkov
Uzamknutie po niekoľkých chybných heslách dokáže spomaliť hrubý útok, ale príliš prísne nastavenie môže odstaviť používateľov aj administrátorov. Bezpečná politika preto nevzniká odpísaním jedného čísla. Musí zohľadniť spôsob prihlasovania, podporu aj monitorovanie.
Čo jednotlivé nastavenia robia
Prahová hodnota
Určuje, koľko neúspešných prihlásení spustí uzamknutie. Nula znamená, že sa účet týmto mechanizmom neuzamkne.
Časy politiky
Trvanie určuje dĺžku blokovania. Samostatný čas vynulovania stanovuje, kedy sa staršie chybné pokusy prestanú počítať.
Microsoft upozorňuje na dva protichodné dôsledky. Príliš vysoký prah uľahčuje opakované hádanie hesla. Príliš nízky prah zase umožní útočníkovi zámerne blokovať cudzie účty alebo vytvorí množstvo incidentov pri starých uložených heslách.
Najprv odstráňte skryté zdroje chýb
Uzamknutie často nespôsobuje človek pri klávesnici. Staré heslo môže zostať uložené v telefóne, naplánovanej úlohe, službe, pripojenom disku alebo klientovi vzdialenej plochy. Pred sprísnením politiky preto zmapujte služby a zariadenia, ktoré používajú doménové poverenia.
Dôležité: Servisné a administrátorské účty chráňte oddelene. Bežný používateľ nemá prihlasovať službu svojím osobným heslom. Pre privilegované účty obmedzte použitie, sledujte udalosti a pripravte kontrolovaný postup obnovy.
Bezpečný postup nasadenia
- Získajte východiskové údaje. Niekoľko dní sledujte neúspešné prihlásenia a zistite, ktoré účty, zariadenia a služby ich vytvárajú.
- Navrhnite hodnoty ako celok. Prah, trvanie a vynulovanie posudzujte spolu s viacfaktorovým overením, vzdialeným prístupom a kapacitou podpory.
- Vytvorte skúšobnú organizačnú jednotku. Politiku overte na malej skupine, nie okamžite na celej doméne.
- Otestujte obnovu. Správca musí vedieť rozlíšiť omyl od útoku, účet bezpečne odblokovať a nájsť zariadenie so starým heslom.
- Rozšírte a monitorujte. Po nasadení sledujte nárast blokovaní a upravte dokumentáciu aj upozornenia.
Kde sa politika nastavuje
V prostredí Active Directory sa nastavenia nachádzajú v správe skupinových politík v časti Konfigurácia počítača, Nastavenia systému Windows, Nastavenia zabezpečenia, Zásady účtov a Zásady uzamknutia účtu. Pred zmenou si zaznamenajte pôvodné hodnoty a rozsah objektu politiky.
Samotné uzamknutie nenahrádza silné heslá, viacfaktorové overenie ani obmedzenie dostupnosti služby. Vzdialenú plochu nevystavujte priamo internetu. Použite bezpečný vstupný bod, sieťové obmedzenia a aktualizované systémy. Upozornenie na náhle blokovanie viacerých účtov môže odhaliť útok skôr než telefonát používateľa.
Pred zapnutím na doméne si určte výnimky len vtedy, keď majú zdokumentovaný technický dôvod. Trvalá výnimka pre dôležitý účet vytvára tiché slabé miesto. Lepším riešením býva spravovaný servisný účet, obmedzené prihlasovanie a oddelené monitorovanie. Núdzové administrátorské konto uchovávajte podľa interného bezpečnostného postupu a pravidelne skúšajte jeho použiteľnosť bez bežného používania.
Pripravte podporu na reálny incident
Postup má uvádzať, kto smie účet odblokovať, ako sa overí totožnosť žiadateľa a kde sa hľadajú udalosti. Po odblokovaní nestačí oznámiť nové heslo. Najprv odstráňte príčinu, inak sa staré poverenie znova odošle a účet sa okamžite zablokuje.
Po skúšobnom období porovnajte počet blokovaní s pôvodným stavom. Opakované incidenty rozdeľte podľa príčiny: omyl používateľa, staré uložené poverenie, nesprávne nastavená služba alebo podozrivý zdroj. Politiku nemeňte iba preto, aby zmizli hlásenia; odstráňte najprv opakujúce sa technické príčiny.
- Politika bola overená na malej skupine.
- Servisné účty nepoužívajú osobné heslá.
- Podpora má postup overenia a obnovy.
- Neúspešné prihlásenia sa priebežne sledujú.
Ochrana musí zostať prevádzkyschopná
Dobre nastavené uzamknutie spomaľuje útok a zároveň poskytuje tímu údaje na rýchle vyriešenie chýb bez zbytočného odstavenia práce.