Prácticas recomendadas de políticas de contraseñas para una seguridad robusta en AD

Una política de contraseñas robusta es la primera línea de defensa de cualquier organización para proteger sus datos y sistemas importantes contra intrusos. Este documento detalla las mejores prácticas y otras recomendaciones para una seguridad de contraseñas fuerte.

Establecimiento de políticas de contraseñas en un entorno de Active Directory

En un entorno de Microsoft Active Directory, puede utilizar la Directiva de grupo para hacer cumplir y controlar los requisitos de contraseña como la complejidad, longitud y tiempo de vida. La política de contraseña de dominio predeterminada se encuentra en el siguiente objeto de Directiva de grupo (GPO):

Configuración del equipo → Políticas → Configuración de Windows → Configuración de seguridad → Políticas de cuenta → Política de contraseñas

A partir del nivel funcional de dominio de Windows Server 2008, puedes definir políticas detalladas para diferentes unidades organizativas utilizando el Active Directory Administrative Center (DSAC) o PowerShell.

Directrices de contraseñas NIST

El Instituto Nacional de Estándares y Tecnología (NIST) ofrece Digital Identity Guidelines para una política de contraseñas sólida, que incluye lo siguiente:

Mejores prácticas de complejidad de contraseña

Muchas organizaciones requieren que las contraseñas incluyan una variedad de símbolos, como al menos un número, letras mayúsculas y minúsculas, y uno o más caracteres especiales. Sin embargo, tales reglas hacen que las contraseñas sean mucho más difíciles de recordar y teclear para los usuarios, lo que puede llevar a prácticas de seguridad deficientes como anotar las contraseñas y a un aumento en las llamadas al servicio de ayuda para restablecer contraseñas.

Por lo tanto, NIST ya no recomienda una complejidad de contraseña estricta y en cambio se enfoca en la longitud de la contraseña. Sin embargo, algo que se debe tener en cuenta es que proporcionar a los usuarios un password manager permite a una empresa mantener sus requisitos de complejidad sin comprometer la seguridad o la productividad.

Mejores prácticas para la longitud de la contraseña

La longitud de la contraseña es uno de los factores más importantes en la fortaleza de una contraseña. De hecho, una frase coherente larga es en realidad mejor que una contraseña corta que utiliza muchos tipos de caracteres, ya que las contraseñas cortas pueden ser adivinadas o descifradas mucho más rápido. Además, las frases de paso largas son más fáciles de recordar que cadenas cortas de galimatías, reduciendo el riesgo de que los usuarios las anoten o sufran bloqueos de cuenta.

En consecuencia, las recomendaciones de longitud de contraseña del NIST indican que las contraseñas deben tener al menos 64 caracteres de largo.

Mejores prácticas para la expiración de contraseñas

Las mejores prácticas anteriores de la política de cambio de contraseña del NIST recomendaban obligar a los usuarios a cambiar sus contraseñas cada 90 días (180 días para las frases de paso). Sin embargo, el NIST ya no recomienda esta política porque exigir a los usuarios que cambien sus contraseñas todo el tiempo puede llevarlos a elegir contraseñas débiles o anotarlas, lo que perjudica la postura de seguridad de la información.

En cambio, NIST recomienda exigir a los usuarios que creen nuevas contraseñas solo en casos de sospecha de acceso no autorizado o brechas que resulten en la publicación de credenciales personales en la dark web, donde pueden ser utilizadas en futuros ciberataques.

Gestores de contraseñas

NIST no recomienda explícitamente el uso de administradores de contraseñas pero reconoce sus beneficios. Utilizar un administrador de contraseñas para crear, almacenar e introducir credenciales facilita la aplicación de políticas de gestión de contraseñas fuertes, ya que las personas no necesitan siquiera conocer sus contraseñas.

Complementando contraseñas con MFA

La implementación de la autenticación multifactor (MFA) mejora la seguridad al hacer que las contraseñas robadas o descifradas sean mucho menos útiles para los adversarios. Sin embargo, tenga en cuenta que NIST recomienda implementar MFA solo cuando la empresa pueda usar Google Authenticator u otro proceso de autenticación que no involucre SMS. 

Las contraseñas son especialmente susceptibles a ataques de fuerza bruta

Es prudente desaconsejar o prohibir las siguientes contraseñas:

• Contraseñas fáciles de adivinar, especialmente la cadena "password"
• Una serie de números o letras en orden, como “1234” o “abcd”
• Una cadena de caracteres en el orden en que aparecen en el teclado, como “@#$%^&”
• El mismo carácter tecleado múltiples veces, como “zzzzzz”
• El nombre de pila de un usuario, el nombre de un socio o hijo, u otros nombres
• Otra información fácilmente obtenible sobre un usuario, como su dirección, número de teléfono, número de matrícula, alma máter o fecha de nacimiento de un miembro de la familia
• Palabras que se pueden encontrar en un diccionario
• Contraseñas predeterminadas o sugeridas, incluso si parecen fuertes
• Nombres de usuario o nombres de host
• Cualquiera de los anteriores seguido o precedido por un solo dígito
• Una nueva contraseña que simplemente incrementa un número o carácter al principio o al final de la contraseña anterior

Mejores prácticas para los requisitos de contraseñas

Los administradores deben asegurarse de:

• Configure una longitud mínima de contraseña.
• Aplique una política de historial de contraseñas recordando al menos los 10 últimos passwords.
• Establezca una edad mínima de contraseña de 3 días.
• Requiera que las contraseñas cumplan con los requisitos de complejidad. Esta configuración puede deshabilitarse para las frases de paso, pero no se recomienda.
• Restablezca las contraseñas de administrador local cada 180 días. Esto se puede hacer con la herramienta gratuita Netwrix Bulk Password Reset.
• Restablezca las contraseñas de las cuentas de servicio una vez al año durante el mantenimiento.
• Para las cuentas de Domain Admin, utilice frases de paso fuertes con un mínimo de 15 caracteres.
• Realice un seguimiento de todos los cambios de contraseña utilizando una solución como Netwrix Auditor for Active Directory.
• Cree notificaciones por correo electrónico para la expiración de contraseña. Esto se puede hacer con la herramienta gratuita Netwrix Password Expiration Notifier.
• En lugar de editar la configuración predeterminada en la política de dominio, cree políticas de contraseñas granulares y vincúlelas a unidades organizativas específicas.

Prácticas adicionales de contraseña y autenticación

• Las aplicaciones empresariales deben admitir la autenticación de cuentas de usuario individuales, no de grupos.
• Las aplicaciones empresariales deben proteger las contraseñas almacenadas y transferidas con cifrado para ayudar a prevenir que los hackers las descifren.
• Los usuarios (y aplicaciones) no deben almacenar contraseñas en texto claro o en cualquier forma fácilmente reversible, y no deben transmitir contraseñas en texto claro a través de la red.
• Utilice MFA con prudencia para mitigar los riesgos de seguridad de las contraseñas robadas y mal gestionadas.
• Cuando los empleados dejen la organización, cambie las contraseñas de sus cuentas incluso si desactiva las cuentas.
• Reduzca la frustración de los usuarios y la carga de trabajo del servicio de asistencia al ayudar a los usuarios a elegir nuevas contraseñas que cumplan con los requisitos, recordándoles proactivamente la próxima expiración de su contraseña y permitiéndoles cambiar su contraseña en un navegador web.

Educación del usuario

Además, asegúrese de educar a sus usuarios sobre lo siguiente:

• Es vital recordar su contraseña sin anotarla en algún lugar, así que elija una contraseña o frase de paso fuerte que pueda recordar fácilmente. Si utiliza una herramienta de gestión de contraseñas, elija una clave maestra fuerte y recuérdela.
• Tenga en cuenta cómo se envían las contraseñas a través de internet. Las URLs (direcciones web) que comienzan con “https://” en lugar de “http://” tienen más probabilidades de ser seguras para el uso de su contraseña.
• Si sospechas que alguien más puede conocer tu contraseña actual, cámbiala inmediatamente.
• No escribas tu contraseña mientras alguien esté mirando.
• No utilices la misma contraseña para múltiples sitios web que contengan información sensible.

Cómo Netwrix puede ayudar

Aplicar políticas de contraseñas fuertes

Asegurar que las credenciales de usuario cumplan con altos estándares y sean gestionadas de manera segura es fundamental para la seguridad empresarial y, por lo tanto, un requisito esencial de muchos mandatos de cumplimiento. Netwrix Password Secure te permite gestionar contraseñas de forma segura, reemplazar las débiles por alternativas fuertes, aplicar políticas de contraseñas adecuadas para diferentes equipos, gestionar el acceso privilegiado y auditar el uso de contraseñas. Además, sincroniza las contraseñas a través de plataformas y dispositivos para que los usuarios puedan acceder a ellas de manera segura desde cualquier lugar, incluso sin conexión, e iniciar sesión simplemente haciendo clic en la extensión del navegador, permitiéndoles cumplir fácilmente con políticas de contraseñas fuertes en lugar de buscar soluciones alternativas. Como resultado, puedes fortalecer la seguridad y el cumplimiento mientras mejoras la productividad. 

En entornos complejos, se recomienda aplicar políticas de contraseñas granulares tanto para usuarios regulares como privilegiados para que los administradores de TI puedan responder rápidamente a nuevos requisitos y minimizar los riesgos de compromisos debido a contraseñas débiles o robadas. Netwrix Password Policy Enforcer permite a los administradores aplicar fácilmente políticas de contraseñas fuertes y reduce significativamente la carga de trabajo de gestión de políticas en el personal técnico. 

Auditar la actividad relacionada con la política de contraseñas

La auditoría regular de eventos puede ayudarte a asegurar que tus políticas de contraseñas estén protegiendo tus sistemas contra ataques. Los eventos relacionados con la política de contraseñas de Windows Server se registran en el Registro de Eventos de Seguridad en el controlador de dominio predeterminado. Al revisar estos registros, los administradores de sistemas pueden determinar quién realizó cambios en la configuración de la política de contraseñas, y cuándo y dónde (en qué controlador de dominio) ocurrió cada cambio. Para obtener consejos adicionales importantes sobre la auditoría de GPOs de política de contraseñas, consulta la Active Directory Group Policy Auditing Quick Reference Guide.

Sin embargo, las herramientas de auditoría nativas no te mostrarán los detalles más críticos, como el nombre del objeto de Directiva de Grupo en el que se cambió la política de contraseñas y el tipo de acción que se realizó. Además, es casi imposible entender qué políticas se aplican a qué grupos e identificar discrepancias. Para una gestión efectiva de la política de contraseñas, necesitas un software que proporcione más información sobre las modificaciones de la política de contraseñas, como Netwrix Auditor for Active Directory.