パスワード監視のためのグループポリシー

管理者として、ネットワークが安全であることを確実にする必要があります。これには、ユーザー アカウントおよび管理者アカウントのパスワード戦略を決定することが大きく関わります。ユーザーに対してパスワード作成のベストプラクティスを教育することもできますが、ベストプラクティスを遵守するようユーザーに強制するポリシーを有効にすることもできます。さらに、パスワードの変更やアカウントのロックアウトについて、ネットワークを監視することも可能です。

ユーザーの教育

• 強力なパスワードの使用を求めます。以下は Windows で定義されている「強力なパスワード」の定義です：
  1. パスワードは少なくとも 8 文字である必要があります。
  2. ユーザー名、実名、または会社名を含んでいないこと。
  3. 完全な単語を含んでいないこと。
  4. 以前のパスワードと比べて大幅に異なること。
  5. 以下の4つのカテゴリそれぞれの文字を含めます。最小パスワード長のポリシー設定を定義し、パスワードが少なくとも指定された数の文字で構成されるようにします。長いパスワード（7文字以上）は、短いパスワードよりも通常は強力です。このポリシー設定により、ユーザーは空のパスワードを使用できず、一定の文字数のパスワードを作成する必要があります。
• パスワードは絶対に紙に書き留めてはいけない、とよく言われます。ですが、状況によってはパスワードが複雑すぎて暗記できない場合があります。その場合は、紙を安全な場所に保管し、もう必要がなくなったら必ず破棄してください。
• パスワードを共有しないでください。
• すべてのユーザーアカウントに対して、異なるパスワードを使用してください。
• パスワードが侵害（漏えい）された可能性がある場合は、すぐに変更してください。
• アプリケーションに「パスワードを記憶する」オプションがある場合、ユーザーは「しない（never）」を選択してください。
• 以前のパスワードの再利用を許可しないでください。
• ユーザーに対して、定期的にパスワードを変更することを求めます。組織の状況によりますが、目安としては、ユーザーは 90 日ごとに、管理者は 30 日ごとにパスワードを変更するのがよいでしょう。
• ユーザーがパスワード履歴の強制（enforce password history）ポリシーを回避するために、パスワードを繰り返し変更できないようにするには、最小パスワード有効期間を定義します。

パスワード変更を監視するグループ ポリシー

パスワードの変更を監視するために有効にする必要がある Group Policy は「ユーザー アカウント管理」の 監査ポリシー（Audit Policy） です。このポリシー設定により、ユーザー アカウントへの変更を監査 できるようになります。ユーザー アカウントが作成、変更、削除された場合、また、名前の変更、無効化、有効化、ロックアウト、またはロック解除された場合を含みます。さらに、ユーザー アカウントのパスワードが設定または変更されたときも監視します。

この設定は、次の場所から開くことができます：コンピューターの構成 | Windows の設定 | セキュリティの設定 | 詳細な監査ポリシー構成 | アカウント管理 | ユーザー アカウント管理。

「ユーザー アカウント管理の監査」で成功と失敗を有効にすると、イベント ビューアーの「セキュリティ」ログでイベント 4273 と 4274 を確認できます。イベント 4273 は、アカウントのパスワードを変更しようとする試みが行われたことを示し、イベント 4274 は、アカウントのパスワードをリセットしようとする試みが行われたことを示します。