あなたの組織は複雑なパスワード要件を持っていますが、ユーザーはそれを回避する方法を見つけます。大文字、数字、特殊文字が必要なので、変更します
Jaroslaw102026!
へ
Jaroslaw112026!
ええ、私の名前はJaroslawです、もし気づいていなければ。
パスワードルールを書いた人はずっと前に作成し、漏洩したパスワードデータベースや現在のパターンと照合することはありませんでした。
複雑性のルール
多くの組織は、古いNISTのガイダンスに基づいてポリシーを構築しました。これは連邦認証システム向けに書かれましたが、民間組織も自主的に採用でき、多くがそうしました。人々はすべての要件を満たす最も簡単な方法を見つけました。パスワードが複雑すぎて覚えられなくなると、紙に書き留めるようになりました。覚えやすいものの文字を入れ替えることが新しい常識となりました。
攻撃者はこれを知っており、それに基づいてツールを構築しています。現在のNISTガイダンス（SP 800-63B）は、構成ルールから離れ、一般的かつ漏洩したパスワードリストとの照合に移行しています。
パスワードポリシーが防止できる攻撃
ポリシーはすべての攻撃を止めるわけではありませんが、簡単に成功する攻撃を防ぎます。直接影響を受けるのはそれらです。
辞書攻撃。 攻撃者はアカウントに対して一般的な単語や既知のパスワードの膨大なリストを試します。辞書単語をブロックするポリシーは、それらの推測を開始前に失敗させます。
ルールベースおよび変異攻撃。 クラッキングツールは「password」だけでなく、Password1!、P@ssw0rdや文字を数字や記号に置き換えた一般的なパターンも試します。ポリシーが特殊文字の存在のみをチェックする場合、これらのパスワードは通過します。文字の置換を検出するポリシーはこれらを拒否します。
パスワードスプレー攻撃. 攻撃者は1つのアカウントを集中攻撃する代わりに、ロックアウトの閾値を超えないように数千のアカウントに対していくつかの一般的なパスワードを試します。Winter2026! や Company123! のようなパターンがよく狙われます。予測可能なパターンをブロックすると、パスワードスプレー攻撃が依存するパスワードを排除できます。
Credential stuffing。 攻撃者は過去の漏洩からユーザー名とパスワードを取得し、ユーザーが使い回していると見込んでシステムで試します。新しいパスワードを漏洩データと照合し、既に流通しているものをブロックします。
ターゲットを絞った推測。 あなたの名前がJaroslawの場合、攻撃者はLinkedInでそれを見つけるとJaroslawに年を付け加えて試みます。個人名やユーザー名をブロックすると、最も明白な推測を排除できます。
オフラインクラック。攻撃者がパスワードハッシュを盗むと、弱いパスワードが最初に破られます。ポリシーは盗難を防げませんが、予測可能なパスワードを拒否するとクラックにかかる時間が大幅に長くなります。
パスワードポリシーが拒否すべきもの
ポリシーを再設計するときは、これらの各項目について自分の立場を決めてください。
- 個人名とユーザー名： ブロックしてください。
- 繰り返されるパターン: 拒否 Jarojaro と Jaaaaaro。
- キーボードパターン： 拒否 ASDFG および類似の連続。
- 文字の置換： それらを検出し、abcdのようなパターンが通過するものに混乱させられないようにします。
- 漏洩したパスワード： 作成時および定期的に既知の漏洩データと照合してください。
大文字、小文字、数字、特殊文字の要件は依然として重要です。それらの上にパターンルールを構築してください。
Netwrix Password Policy Enforcerが役立つ方法
ネイティブのActive Directoryパスワードポリシーでは、上記のほとんどを実行できません。 Netwrix Password Policy Enforcer は以下を追加します:
- ユーザー、グループ、およびOUs向けの複数のパスワードポリシー
- 長さ、文字セット、およびパスフレーズのカスタム複雑度制御
- 一般的な単語、置換、予測可能なパターンをブロックする辞書およびパターン保護
- ユーザー名のブロックにより、自分のアカウント名からパスワードを作成できなくします
- ASDFGのようなキーボードパターンのブロック
- パスワード作成時や定期スキャン中に、Have I Been Pwnedなどの漏洩データに対する侵害パスワードのチェック
- ユーザーが入力している新しいパスワードがポリシーで指定された要件を満たしているかどうかをリアルタイムでフィードバックします
- ユーザーより先に影響を確認できるよう、展開前にポリシーをテストします
- CIS、HIPAA、NERC CIP、NIST、PCI DSS、およびCJIS向けの組み込みコンプライアンステンプレート
あと2つやることがあります
MFAを有効にしてください。 AIツールは予測可能な場合、15文字のパスワードを推測できます。 MFAはパスワードが破られてもアカウントを保護します。
パスワードをボールトに保存します。 ボールトは、紙やスプレッドシートの代わりに資格情報の安全な保管場所を提供します。 Netwrix Password Secure が対応します。
Netwrix Password Policy Enforcerで弱く、再利用され、侵害された資格情報をブロックします。
詳細を見る共有する
もっと詳しく
著者について
Jarosław Bogalecki
プロダクトマネージャー
ジャロスワフ・ボガレツキはNetwrixのプロダクトマネージャーで、PolicyPakとPassword Policy Enforcerを担当しています。2019年から技術職に従事し、製品戦略、AI、実際の顧客課題に基づくソリューション構築に情熱を持っています。プロダクトマネジメント以前は、アプリケーションエンジニアリングと技術コンサルティングに従事していました。