Melhores práticas de política de senha para uma segurança robusta no AD

Uma política de senha forte é a primeira linha de defesa de qualquer organização para proteger seus dados importantes e sistemas contra intrusos. Este documento detalha as melhores práticas e outras recomendações para uma segurança de senha forte.

Definindo políticas de senha em um ambiente de Active Directory

Em um ambiente Microsoft Active Directory, você pode usar a Diretiva de Grupo para impor e controlar requisitos de senha como complexidade, comprimento e tempo de vida. A política de senha de domínio padrão está localizada no seguinte objeto de Diretiva de Grupo (GPO):

Configuração do computador → Políticas → Configurações do Windows → Configurações de Segurança → Políticas de Conta → Política de Senha

A partir do nível funcional de domínio do Windows Server 2008, você pode definir políticas detalhadas para diferentes unidades organizacionais usando o Active Directory Administrative Center (DSAC) ou PowerShell.

Diretrizes de senha NIST

O Instituto Nacional de Padrões e Tecnologia (NIST) oferece Digital Identity Guidelines para uma política de senha sólida, incluindo o seguinte:

Melhores práticas de complexidade de senha

Muitas organizações exigem que as senhas incluam uma variedade de símbolos, como pelo menos um número, letras maiúsculas e minúsculas e um ou mais caracteres especiais. No entanto, tais regras tornam as senhas muito mais difíceis de serem lembradas e digitadas pelos usuários, o que pode levar a práticas de segurança ruins, como anotar senhas e ao aumento de chamadas para o suporte técnico para redefinição de senhas.

Assim, o NIST não recomenda mais a complexidade rigorosa de senhas e, em vez disso, foca no comprimento das senhas. Algo a se ter em mente, no entanto, é que fornecer aos usuários um password manager permite que uma empresa mantenha seus requisitos de complexidade sem prejudicar a segurança ou a produtividade.

Melhores práticas para o comprimento de senhas

O comprimento da senha é um dos fatores mais importantes na força da senha. De fato, uma frase longa e coerente é na verdade melhor do que uma senha curta que usa muitos tipos de caracteres, já que senhas curtas podem ser adivinhadas ou quebradas muito mais rapidamente. Além disso, frases-senhas longas são mais fáceis de lembrar do que sequências curtas de palavras sem sentido, reduzindo o risco de os usuários as anotarem ou sofrerem bloqueios de conta.

De acordo com as recomendações de comprimento de senha do NIST, as senhas devem ter pelo menos 64 caracteres de comprimento.

Melhores práticas para expiração de senha

As melhores práticas anteriores de política de mudança de senha do NIST recomendavam forçar os usuários a alterar suas senhas a cada 90 dias (180 dias para frases-senha). No entanto, o NIST não recomenda mais essa política porque exigir que os usuários mudem suas senhas o tempo todo pode levá-los a escolher senhas fracas ou anotar suas senhas, o que prejudica a postura de segurança da informação.

Em vez disso, o NIST recomenda exigir que os usuários criem novas senhas apenas em casos de suspeita de acesso não autorizado ou violações que resultem na publicação de credenciais pessoais na dark web, onde elas podem ser usadas em futuros ciberataques.

Gerenciadores de senhas

O NIST não recomenda explicitamente o uso de gerenciadores de senhas, mas reconhece seus benefícios. Utilizar um gerenciador de senhas para criar, armazenar e inserir credenciais facilita a aplicação de políticas de gestão de senhas fortes, uma vez que as pessoas não precisam sequer saber suas senhas.

Complementando senhas com MFA

A implementação da autenticação multifator (MFA) melhora a segurança, pois torna as senhas roubadas ou descobertas muito menos úteis para os adversários. No entanto, lembre-se de que o NIST recomenda a implementação do MFA apenas quando a empresa puder usar o Google Authenticator ou outro processo de autenticação que não envolva SMS. 

Senha especialmente suscetível a ataques de força bruta

É prudente desencorajar ou proibir as seguintes senhas:

• Senhas fáceis de adivinhar, especialmente a sequência "password"
• Uma série de números ou letras em ordem, como “1234” ou “abcd”
• Uma sequência de caracteres na ordem em que aparecem no teclado, como “@#$%^&”
• O mesmo caractere digitado várias vezes, como “zzzzzz”
• O nome próprio de um usuário, o nome de um parceiro ou filho, ou outros nomes
• Outras informações facilmente obtidas sobre um usuário, como seu endereço, número de telefone, número da placa do veículo, alma mater ou data de nascimento de um membro da família
• Palavras que podem ser encontradas em um dicionário
• Senhas padrão ou sugeridas, mesmo que pareçam fortes
• Nomes de usuário ou nomes de host
• Qualquer um dos termos acima seguido ou precedido por um único dígito
• Uma nova senha que simplesmente incrementa um número ou caractere no início ou no fim da senha anterior

Melhores práticas para requisitos de senha

Os administradores devem ter certeza de:

• Configure um comprimento mínimo para a senha.
• Aplique uma política de histórico de senhas com pelo menos 10 senhas anteriores lembradas.
• Defina uma idade mínima de senha de 3 dias.
• Exija que as senhas atendam aos requisitos de complexidade. Essa configuração pode ser desativada para frases-senhas, mas não é recomendado.
• Redefina as senhas de administrador local a cada 180 dias. Isso pode ser feito com a ferramenta gratuita Netwrix Bulk Password Reset.
• Redefina as senhas das contas de serviço uma vez por ano durante a manutenção.
• Para contas de Domain Admin, use frases-senhas fortes com no mínimo 15 caracteres.
• Acompanhe todas as alterações de senha usando uma solução como Netwrix Auditor for Active Directory.
• Crie notificações por email para expiração de senha. Isso pode ser feito com a ferramenta gratuita Netwrix Password Expiration Notifier.
• Em vez de editar as configurações padrão na política de domínio, crie políticas de senha granulares e as vincule a unidades organizacionais específicas.

Práticas recomendadas adicionais de senha e autenticação

• As aplicações empresariais devem suportar a autenticação de contas de usuário individuais, não de grupos.
• As aplicações empresariais devem proteger as senhas armazenadas e transferidas com criptografia para ajudar a impedir que hackers as desvendem.
• Os usuários (e aplicações) não devem armazenar senhas em texto claro ou em qualquer forma facilmente reversível, e não devem transmitir senhas em texto claro pela rede.
• Use MFA com prudência para mitigar os riscos de segurança de senhas roubadas e mal gerenciadas.
• Quando os funcionários saem da organização, altere as senhas das contas deles mesmo que você desative as contas.
• Reduza a frustração dos usuários e a carga de trabalho do helpdesk ajudando os usuários a escolherem novas senhas que atendam aos requisitos, lembrando-os proativamente sobre a expiração iminente da senha e permitindo que alterem sua senha em um navegador web.

Educação do usuário

Além disso, certifique-se de educar seus usuários sobre o seguinte:

• É vital lembrar sua senha sem anotá-la em algum lugar, então escolha uma senha ou frase de acesso forte que você se lembre facilmente. Se você usar uma ferramenta de gerenciamento de senhas, escolha uma chave mestra forte e memorize-a.
• Esteja ciente de como as senhas são enviadas pela internet. URLs (endereços web) que começam com “https://” em vez de “http://” têm mais probabilidade de serem seguras para o uso da sua senha.
• Se suspeitar que alguém possa conhecer a sua senha atual, altere-a imediatamente.
• Não digite sua senha enquanto alguém estiver observando.
• Não utilize a mesma senha para vários sites que contenham informações sensíveis.

Como a Netwrix pode ajudar

Imponha políticas de senha fortes

Garantir que as credenciais dos usuários atendam a padrões elevados e sejam gerenciadas de forma segura é fundamental para a segurança empresarial e, portanto, um requisito essencial de muitos mandatos de conformidade. Netwrix Password Secure capacita você a gerenciar senhas de forma segura, substituir as fracas por alternativas fortes, impor políticas de senha apropriadas para diferentes equipes, gerenciar o acesso privilegiado e auditar o uso de senhas. Além disso, sincroniza senhas entre plataformas e dispositivos para que os usuários possam acessá-las de forma segura de qualquer lugar, até mesmo offline, e fazer login simplesmente clicando na extensão do navegador, permitindo que eles cumpram facilmente com políticas de senha fortes em vez de procurar alternativas. Como resultado, você pode fortalecer a segurança e a conformidade enquanto melhora a produtividade. 

Em ambientes complexos, é recomendado impor políticas de senha granulares tanto para usuários regulares quanto para usuários privilegiados, de modo que os administradores de TI possam responder rapidamente a novos requisitos e minimizar os riscos de comprometimentos devido a senhas fracas ou roubadas. Netwrix Password Policy Enforcer permite que os administradores imponham facilmente políticas de senha fortes e reduz significativamente a carga de trabalho de gestão de políticas sobre a equipe técnica. 

Auditar atividade relacionada à política de senha

A auditoria regular de eventos pode ajudá-lo a garantir que suas políticas de senha estão protegendo seus sistemas contra ataques. Eventos relacionados à política de senha do Windows Server são registrados no Log de Eventos de Segurança no controlador de domínio padrão. Ao revisar esses logs, os administradores de sistema podem determinar quem fez alterações nas configurações de política de senha, e quando e onde (em qual controlador de domínio) cada alteração ocorreu. Para dicas adicionais importantes sobre auditoria de GPOs de política de senha, consulte o Active Directory Group Policy Auditing Quick Reference Guide.

No entanto, as ferramentas nativas de auditoria não mostram os detalhes mais críticos, como o nome do objeto de Política de Grupo no qual a política de senha foi alterada e o tipo de ação que foi realizada. Além disso, é quase impossível entender quais políticas se aplicam a quais grupos e identificar discrepâncias. Para uma gestão eficaz da política de senhas, você precisa de um software que forneça mais informações sobre as modificações da política de senhas, como Netwrix Auditor for Active Directory.