Meilleures pratiques de politique de mots de passe pour une sécurité renforcée dans AD

Une politique de mot de passe robuste est la première ligne de défense de toute organisation pour sécuriser vos données importantes et systèmes contre les intrus. Ce document détaille les meilleures pratiques et autres recommandations pour une sécurité de mot de passe renforcée.

Définition des politiques de mots de passe dans un environnement Active Directory

Dans un environnement Microsoft Active Directory, vous pouvez utiliser les stratégies de groupe pour appliquer et contrôler les exigences de mot de passe telles que la complexité, la longueur et la durée de vie. La politique de mot de passe de domaine par défaut se trouve dans l'objet de stratégie de groupe (GPO) suivant :

Configuration de l'ordinateur → Stratégies → Paramètres Windows → Paramètres de sécurité → Stratégies de compte → Stratégie de mot de passe

À partir du niveau fonctionnel de domaine Windows Server 2008, vous pouvez définir des stratégies à grain fin pour différentes unités organisationnelles en utilisant le Centre d'administration Active Directory (DSAC) ou PowerShell.

Directives NIST pour les mots de passe

L'Institut national des normes et de la technologie (NIST) propose des Digital Identity Guidelines pour une politique de mot de passe solide, incluant ce qui suit :

Meilleures pratiques de complexité des mots de passe

De nombreuses organisations exigent que les mots de passe incluent une variété de symboles, tels qu'au moins un chiffre, des lettres majuscules et minuscules, et un ou plusieurs caractères spéciaux. Cependant, de telles règles rendent les mots de passe beaucoup plus difficiles à retenir et à taper pour les utilisateurs, ce qui peut conduire à de mauvaises pratiques de sécurité telles que noter les mots de passe et à une augmentation des appels au service d'assistance pour la réinitialisation des mots de passe.

En conséquence, le NIST ne recommande plus une complexité de mot de passe stricte et se concentre plutôt sur la longueur du mot de passe. Cependant, il faut garder à l'esprit que fournir aux utilisateurs un password manager permet à une entreprise de maintenir ses exigences de complexité sans nuire à la sécurité ou à la productivité.

Meilleures pratiques pour la longueur des mots de passe

La longueur du mot de passe est l'un des facteurs les plus importants de la force d'un mot de passe. En effet, une phrase cohérente et longue est en réalité meilleure qu'un mot de passe court qui utilise de nombreux types de caractères, car les mots de passe courts peuvent être devinés ou craqués beaucoup plus rapidement. De plus, les phrases secrètes longues sont plus faciles à retenir que de courtes séries de charabia, réduisant ainsi le risque que les utilisateurs les notent ou subissent des verrouillages de compte.

Ainsi, les recommandations de longueur de mot de passe du NIST indiquent que les mots de passe doivent avoir au moins 64 caractères longs.

Meilleures pratiques pour l'expiration des mots de passe

Les meilleures pratiques précédentes de la politique de changement de mot de passe du NIST recommandaient d'obliger les utilisateurs à changer leurs mots de passe tous les 90 jours (180 jours pour les phrases de passe). Cependant, le NIST ne recommande plus cette politique car obliger les utilisateurs à changer constamment leurs mots de passe peut les amener à choisir des mots de passe faibles ou à noter leurs mots de passe, ce qui nuit à la posture de sécurité de l'information.

Au lieu de cela, le NIST recommande d'exiger des utilisateurs de créer de nouveaux mots de passe uniquement en cas de suspicion d'accès non autorisé ou de violations entraînant la publication des informations d'identification personnelles sur le dark web, où elles peuvent être utilisées dans de futures cyberattaques.

Gestionnaires de mots de passe

Le NIST ne recommande pas explicitement l'utilisation de gestionnaires de mots de passe mais reconnaît leurs avantages. L'utilisation d'un gestionnaire de mots de passe pour créer, stocker et saisir les identifiants facilite l'application de politiques de gestion de mots de passe robustes, puisque les personnes n'ont même pas besoin de connaître leurs mots de passe.

Compléter les mots de passe avec MFA

L'implémentation de l'authentification multifacteur (MFA) améliore la sécurité en rendant les mots de passe volés ou craqués beaucoup moins utiles aux adversaires. Cependant, gardez à l'esprit que le NIST recommande de mettre en œuvre la MFA uniquement lorsque l'entreprise peut utiliser Google Authenticator ou un autre processus d'authentification qui ne implique pas de SMS. 

Les mots de passe sont particulièrement vulnérables aux attaques par force brute

Il est judicieux de décourager ou d'interdire les mots de passe suivants :

• Les mots de passe faciles à deviner, en particulier la chaîne "password"
• Une série de chiffres ou de lettres dans l'ordre, comme “1234” ou “abcd”
• Une chaîne de caractères dans l'ordre où ils apparaissent sur le clavier, comme “@#$%^&”
• Le même caractère tapé plusieurs fois, comme “zzzzzz”
• Le prénom d'un utilisateur, le nom d'un partenaire ou d'un enfant, ou d'autres noms
• D'autres informations facilement obtenues à propos d'un utilisateur, telles que son adresse, numéro de téléphone, numéro de plaque d'immatriculation, alma mater ou la date de naissance d'un membre de sa famille
• Des mots que l'on peut trouver dans un dictionnaire
• Les mots de passe par défaut ou suggérés, même s'ils semblent robustes
• Noms d'utilisateur ou noms d'hôte
• Tout ce qui précède suivi ou précédé d'un seul chiffre
• Un nouveau mot de passe qui se contente d'incrémenter un chiffre ou un caractère au début ou à la fin du mot de passe précédent

Meilleures pratiques pour les exigences de mot de passe

Les administrateurs doivent s'assurer de :

• Configurez une longueur minimale de mot de passe.
• Appliquez une politique d'historique de mots de passe en mémorisant au moins les 10 derniers utilisés.
• Définissez un âge minimum de mot de passe de 3 jours.
• Exigez que les mots de passe répondent aux exigences de complexité. Ce paramètre peut être désactivé pour les phrases secrètes, mais cela n'est pas recommandé.
• Réinitialisez les mots de passe des administrateurs locaux tous les 180 jours. Cela peut être fait avec l'outil gratuit Netwrix Bulk Password Reset.
• Réinitialisez les mots de passe des comptes de service une fois par an lors de la maintenance.
• Pour les comptes d'administrateurs de domaine, utilisez des phrases secrètes fortes d'au moins 15 caractères.
• Suivez tous les changements de mot de passe en utilisant une solution telle que Netwrix Auditor for Active Directory.
• Créez des notifications par e-mail pour l'expiration des mots de passe. Ceci peut être réalisé avec l'outil gratuit Netwrix Password Expiration Notifier.
• Au lieu de modifier les paramètres par défaut dans la stratégie de domaine, créez des politiques de mots de passe granulaires et associez-les à des unités organisationnelles spécifiques.

Pratiques supplémentaires concernant les mots de passe et l'authentification

• Les applications d'entreprise doivent prendre en charge l'authentification des comptes utilisateurs individuels, et non des groupes.
• Les applications d'entreprise doivent protéger les mots de passe stockés et transférés avec un chiffrement pour aider à empêcher les pirates de les craquer.
• Les utilisateurs (et les applications) ne doivent pas stocker les mots de passe en clair ou sous une forme facilement réversible, et ne doivent pas transmettre les mots de passe en clair sur le réseau.
• Utilisez judicieusement MFA pour atténuer les risques de sécurité liés aux mots de passe volés et mal gérés.
• Lorsque les employés quittent l'organisation, changez les mots de passe de leurs comptes même si vous désactivez les comptes.
• Réduisez la frustration des utilisateurs et la charge de travail du service d'assistance en aidant les utilisateurs à choisir de nouveaux mots de passe qui répondent aux exigences, en les rappelant proactivement l'expiration imminente de leur mot de passe et en leur permettant de changer leur mot de passe dans un navigateur web.

Éducation des utilisateurs

De plus, assurez-vous d'informer vos utilisateurs sur ce qui suit :

• Il est essentiel de se souvenir de votre mot de passe sans l'écrire quelque part, alors choisissez un mot de passe ou une phrase secrète forte que vous vous rappellerez facilement. Si vous utilisez un outil de gestion de mots de passe, choisissez une clé principale forte et mémorisez-la.
• Soyez conscient de la manière dont les mots de passe sont envoyés sur Internet. Les URL (adresses Web) qui commencent par « https:// » plutôt que « http:// » sont plus susceptibles d'être sécurisées pour l'utilisation de votre mot de passe.
• Si vous soupçonnez que quelqu'un d'autre pourrait connaître votre mot de passe actuel, changez-le immédiatement.
• Ne tapez pas votre mot de passe lorsque quelqu'un regarde.
• N'utilisez pas le même mot de passe pour plusieurs sites web contenant des informations sensibles.

Comment Netwrix peut aider

Appliquez des politiques de mots de passe robustes

Il est fondamental pour la sécurité des entreprises de s'assurer que les identifiants des utilisateurs répondent à des normes élevées et sont gérés de manière sécurisée, ce qui constitue une exigence de base de nombreuses directives de conformité. Netwrix Password Secure vous permet de gérer les mots de passe de manière sécurisée, de remplacer les mots de passe faibles par des alternatives robustes, d'appliquer des politiques de mots de passe appropriées pour différentes équipes, de gérer l'accès privilégié et d'auditer l'utilisation des mots de passe. De plus, il synchronise les mots de passe sur les plateformes et les appareils afin que les utilisateurs puissent y accéder de manière sécurisée de n'importe où, même hors ligne, et se connecter simplement en cliquant sur l'extension de navigateur, ce qui leur permet de se conformer facilement à des politiques de mots de passe strictes au lieu de chercher des solutions de contournement. En conséquence, vous pouvez renforcer la sécurité et la conformité tout en améliorant la productivité. 

Dans des environnements complexes, il est recommandé d'appliquer des politiques de mots de passe granulaires tant pour les utilisateurs réguliers que pour les utilisateurs privilégiés afin que les administrateurs informatiques puissent répondre rapidement aux nouvelles exigences et minimiser les risques de compromissions dues à des mots de passe faibles ou volés. Netwrix Password Policy Enforcer permet aux administrateurs de facilement appliquer des politiques de mots de passe robustes et réduit considérablement la charge de travail de gestion des politiques sur le personnel technique. 

Auditez l'activité liée à la politique de mots de passe

L'audit régulier des événements peut vous aider à vous assurer que vos politiques de mot de passe protègent vos systèmes contre les attaques. Les événements liés à la politique de mot de passe de Windows Server sont enregistrés dans le journal des événements de sécurité sur le contrôleur de domaine par défaut. En examinant ces journaux, les administrateurs système peuvent déterminer qui a modifié les paramètres de la politique de mot de passe, ainsi que quand et où (sur quel contrôleur de domaine) chaque changement a eu lieu. Pour des conseils supplémentaires importants sur l'audit des GPO de politique de mot de passe, consultez le Active Directory Group Policy Auditing Quick Reference Guide.

Cependant, les outils d'audit natifs ne vous montreront pas les détails les plus critiques, tels que le nom de l'objet de stratégie de groupe dans lequel la politique de mot de passe a été modifiée et le type d'action qui a été effectué. De plus, il est presque impossible de comprendre quelles politiques s'appliquent à quels groupes et d'identifier les écarts. Pour une gestion efficace de la politique de mots de passe, vous avez besoin d'un logiciel qui offre plus de visibilité sur les modifications de la politique de mots de passe, tel que Netwrix Auditor for Active Directory.