Migliori pratiche per una Password Policy efficace per la sicurezza in AD

Una solida politica delle password è la prima linea di difesa di qualsiasi organizzazione per proteggere i dati importanti e i sistemi dagli intrusi. Questo documento dettaglia le migliori pratiche e altre raccomandazioni per una sicurezza delle password efficace.

Impostazione delle policy di password in un ambiente Active Directory

In un ambiente Microsoft Active Directory, puoi utilizzare Group Policy per imporre e controllare i requisiti della password come la complessità, la lunghezza e la durata. La policy di password di dominio predefinita si trova nel seguente oggetto Group Policy (GPO):

Configurazione del computer → Criteri → Impostazioni Windows → Impostazioni di sicurezza → Criteri account → Criteri password

A partire dal livello funzionale di dominio di Windows Server 2008, è possibile definire criteri dettagliati per diverse unità organizzative utilizzando il Centro amministrativo di Active Directory (DSAC) o PowerShell.

Linee guida per le password NIST

L'Istituto Nazionale di Standard e Tecnologia (NIST) offre Digital Identity Guidelines per una solida politica delle password, che include quanto segue:

Migliori pratiche per la complessità delle password

Molte organizzazioni richiedono che le password includano una varietà di simboli, come almeno un numero, lettere maiuscole e minuscole, e uno o più caratteri speciali. Tuttavia, tali regole rendono le password molto più difficili da ricordare e digitare per gli utenti, il che può portare a pratiche di sicurezza scadenti come scrivere le password su un foglio e ad un aumento delle chiamate all'helpdesk per il reset delle password.

Di conseguenza, il NIST non raccomanda più rigide complessità delle password e si concentra invece sulla lunghezza delle password. Tuttavia, è importante tenere presente che fornire agli utenti un password manager consente ad un'azienda di mantenere i propri requisiti di complessità senza compromettere la sicurezza o la produttività.

Migliori pratiche per la lunghezza delle password

La lunghezza della password è uno dei fattori più importanti per la forza della password. Infatti, una frase coerente lunga è in realtà migliore di una password corta che utilizza molti tipi di caratteri, poiché le password corte possono essere indovinate o violate molto più velocemente. Inoltre, le passphrase lunghe sono più facili da ricordare rispetto a brevi sequenze di nonsenso, riducendo il rischio che gli utenti le scrivano o subiscano blocchi dell'account.

Di conseguenza, le raccomandazioni sulla lunghezza delle password del NIST affermano che le password dovrebbero essere lunghe almeno 64 caratteri lunghe.

Migliori pratiche per la scadenza delle password

Le precedenti migliori pratiche per la politica di cambio password del NIST raccomandavano di costringere gli utenti a cambiare le loro password ogni 90 giorni (180 giorni per le passphrase). Tuttavia, il NIST non raccomanda più questa politica perché obbligare gli utenti a cambiare le password continuamente può portarli a scegliere password deboli o a scrivere le loro password, il che danneggia la postura di sicurezza delle informazioni.

Invece, il NIST raccomanda di richiedere agli utenti di creare nuove password solo in casi di sospetto accesso non autorizzato o violazioni che comportano la pubblicazione delle credenziali personali sul dark web, dove possono essere utilizzate in futuri attacchi informatici.

Gestori di password

NIST non raccomanda esplicitamente l'uso di gestori di password ma ne riconosce i benefici. Utilizzare un gestore di password per creare, memorizzare e inserire le credenziali rende più semplice applicare politiche di gestione delle password sicure, poiché le persone non hanno bisogno di conoscere le proprie password.

Integrare le password con MFA

L'implementazione dell'autenticazione multifattore (MFA) migliora la sicurezza rendendo le password rubate o violate molto meno utili per gli avversari. Tuttavia, ricorda che il NIST raccomanda di implementare MFA solo quando l'azienda può utilizzare Google Authenticator o un altro processo di autenticazione che non coinvolga SMS.

Le password sono particolarmente vulnerabili agli attacchi di forza bruta

È saggio scoraggiare o proibire l'uso delle seguenti password:

• Le password facili da indovinare, specialmente la stringa "password"
• Una serie di numeri o lettere in ordine, come “1234” o “abcd”
• Una serie di caratteri nell'ordine in cui appaiono sulla tastiera, come “@#$%^&”
• Lo stesso carattere digitato più volte, come “zzzzzz”
• Il nome di battesimo di un utente, il nome di un partner o di un figlio, o altri nomi
• Altre informazioni facilmente ottenibili su un utente, come il suo indirizzo, numero di telefono, numero di targa, alma mater o data di nascita di un membro della famiglia
• Parole che si possono trovare in un dizionario
• Password predefinite o suggerite, anche se sembrano robuste
• Nomi utente o nomi host
• Qualsiasi dei termini sopra seguiti o preceduti da una singola cifra
• Una nuova password che semplicemente incrementa un numero o un carattere all'inizio o alla fine della password precedente

Migliori pratiche per i requisiti delle password

Gli amministratori dovrebbero assicurarsi di:

• Configura una lunghezza minima per la password.
• Applica una politica di cronologia delle password che ricordi almeno le ultime 10 password utilizzate.
• Imposta un'età minima della password di 3 giorni.
• Richiedere che le password soddisfino i requisiti di complessità. Questa impostazione può essere disabilitata per le passphrase, ma non è consigliato.
• Reimposta le password degli amministratori locali ogni 180 giorni. Questo può essere fatto con il tool gratuito Netwrix Bulk Password Reset.
• Reimposta le password degli account di servizio una volta all'anno durante la manutenzione.
• Per gli account di Domain Admin, utilizzare passphrase complesse di almeno 15 caratteri.
• Traccia tutti i cambiamenti delle password utilizzando una soluzione come Netwrix Auditor for Active Directory.
• Crea notifiche email per la scadenza della password. Questo può essere fatto con lo strumento gratuito Netwrix Password Expiration Notifier.
• Invece di modificare le impostazioni predefinite nella policy di dominio, crea granular password policies e collegale a specifiche unità organizzative.

Ulteriori migliori pratiche per password e autenticazione

• Le applicazioni aziendali devono supportare l'autenticazione di singoli account utente, non di gruppi.
• Le applicazioni aziendali devono proteggere le password memorizzate e trasferite con la crittografia per aiutare a prevenire che gli hacker le scoprano.
• Gli utenti (e le applicazioni) non devono memorizzare le password in chiaro o in qualsiasi forma facilmente reversibile e non devono trasmettere le password in chiaro sulla rete.
• Usa con giudizio MFA per mitigare i rischi di sicurezza derivanti da password rubate e gestite in modo inappropriato.
• Quando i dipendenti lasciano l'organizzazione, cambiate le password dei loro account anche se disabilitate gli account.
• Riduci la frustrazione degli utenti e il carico di lavoro dell'helpdesk aiutando gli utenti a scegliere nuove password che soddisfano i requisiti, ricordando loro in modo proattivo la prossima scadenza della password e permettendo loro di cambiarla tramite un browser web.

Educazione degli utenti

Inoltre, assicurati di educare i tuoi utenti sui seguenti punti:

• È fondamentale ricordare la propria password senza scriverla da qualche parte, quindi scegli una password o una frase d'accesso forte che ti sarà facile ricordare. Se utilizzi uno strumento di gestione delle password, scegli una chiave principale forte e ricordala.
• Fate attenzione al modo in cui le password vengono inviate attraverso internet. Gli URL (indirizzi web) che iniziano con “https://” piuttosto che “http://” sono più probabilmente sicuri per l'uso della vostra password.
• Se sospetti che qualcun altro possa conoscere la tua password attuale, cambiala immediatamente.
• Non digitare la tua password mentre qualcuno sta guardando.
• Non utilizzare la stessa password per più siti web che contengono informazioni sensibili.

Come Netwrix può aiutare

Applica politiche di password forti

Assicurare che le credenziali degli utenti soddisfino standard elevati e siano gestite in modo sicuro è fondamentale per la sicurezza aziendale ed è quindi un requisito essenziale di molte normative di conformità. Netwrix Password Secure ti consente di gestire in modo sicuro le password, sostituire quelle deboli con alternative più robuste, imporre politiche di password appropriate per diversi team, gestire l'accesso privilegiato e verificare l'utilizzo delle password. Inoltre, sincronizza le password su piattaforme e dispositivi in modo che gli utenti possano accedervi in modo sicuro da qualsiasi luogo, anche offline, e accedere semplicemente cliccando sull'estensione del browser, consentendo loro di conformarsi facilmente a politiche di password rigorose invece di cercare soluzioni alternative. Di conseguenza, puoi rafforzare la sicurezza e la conformità migliorando al contempo la produttività. 

In ambienti complessi, si raccomanda di applicare politiche di password granulari sia per gli utenti regolari che per quelli privilegiati, in modo che gli amministratori IT possano rispondere rapidamente a nuove esigenze e minimizzare i rischi di compromissioni dovute a password deboli o rubate. Netwrix Password Policy Enforcer consente agli amministratori di imporre facilmente politiche di password robuste e riduce significativamente il carico di lavoro sulla gestione delle politiche per il personale tecnico. 

Attività di audit relative alla politica delle password

L'audit regolare degli eventi può aiutarti a garantire che le tue politiche delle password proteggano i tuoi sistemi dagli attacchi. Gli eventi relativi alla politica delle password di Windows Server vengono registrati nel Security Event Log sul controller di dominio predefinito. Esaminando questi log, gli amministratori di sistema possono determinare chi ha apportato modifiche alle impostazioni della politica delle password, e quando e dove (su quale controller di dominio) è avvenuta ogni modifica. Per ulteriori suggerimenti importanti sull'audit delle GPO della politica delle password, consulta la guida di riferimento rapido Active Directory Group Policy Auditing Quick Reference Guide.

Tuttavia, gli strumenti di auditing nativi non mostreranno i dettagli più critici, come il nome dell'oggetto Criteri di Gruppo in cui è stata modificata la policy della password e il tipo di azione che è stata eseguita. Inoltre, è quasi impossibile capire quali policy si applicano a quali gruppi e identificare discrepanze. Per una gestione efficace delle policy delle password, hai bisogno di un software che fornisca più informazioni sulle modifiche delle policy delle password, come Netwrix Auditor for Active Directory.