Active Directory のパスワードポリシーのベストプラクティス

強固なパスワードポリシーは、侵入者から重要なデータとシステムを守るための、あらゆる組織の最初の防衛線です。本書では、強固なパスワードセキュリティに関するベストプラクティスとその他の推奨事項を詳しく説明します。

Active Directory 環境でのパスワード ポリシーの設定

Microsoft Active Directory 環境では、グループ ポリシーを使用して、複雑さ、長さ、有効期限などのパスワード要件を強制し、制御できます。デフォルトのドメイン パスワード ポリシーは、次のグループ ポリシー オブジェクト (GPO) にあります:

コンピューターの構成 → ポリシー → Windows の設定 → セキュリティの設定 → アカウント ポリシー → パスワード ポリシー

Windows Server 2008 のドメイン機能レベル以降は、Active Directory 管理センター (DSAC) または PowerShell を使用して、組織単位ごとにきめ細かなポリシーを定義できます。

NIST のパスワード ガイドライン

米国国立標準技術研究所（NIST）は、 Digital Identity Guidelines の一環として、健全なパスワードポリシーのための指針を提供しており、以下が含まれます。

パスワードの複雑性に関するベストプラクティス

多くの組織では、少なくとも1つの数字、大文字と小文字の両方、さらに1つ以上の特殊文字など、さまざまな記号をパスワードに含めることを求めています。しかし、このようなルールはパスワードを覚えて入力することをユーザーにとって大幅に難しくし、その結果、パスワードを書き留めるといった不適切なセキュリティ慣行につながったり、パスワード再設定のためのヘルプデスクへの問い合わせが増えたりする可能性があります。

そのため、NISTはもはや厳格なパスワードの複雑性を推奨せず、代わりにパスワードの長さに注目しています。ただし覚えておくべきこととして、ユーザーに password manager を提供することで、セキュリティや生産性を損なうことなく複雑性の要件を維持できる点があります。

パスワードの長さに関するベストプラクティス

パスワードの長さは、パスワードの強度において最も重要な要素の1つです。実際には、複数種類の文字を使う短いパスワードよりも、長く一貫したフレーズのほうが効果的です。短いパスワードは、はるかに速く推測されたり解読されたりしてしまうためです。さらに、長いパスフレーズは、意味のない短い文字列よりも覚えやすく、ユーザーが書き留めてしまうリスクや、アカウントのロックアウト（アカウント停止）につながるリスクを減らします。

それに従って、NIST のパスワード長に関する推奨では、パスワードは少なくとも 64 文字 の長さであるべきだとされています。

パスワード有効期限のベストプラクティス

以前の NIST におけるパスワード変更ポリシーのベストプラクティスでは、ユーザーに対して 90 日ごとにパスワードを変更させること（パスフレーズは 180 日ごと）を推奨していました。しかし NIST は、このポリシーをもはや推奨していません。ユーザーに常にパスワードを変更させることは、弱いパスワードを選ばせたり、パスワードを書き留めさせたりする原因となり、それが情報セキュリティの態勢を損なうためです。

その代わりに NIST は、疑わしい不正アクセスや、個人の認証情報がダークウェブ（dark web）に公開され、将来のサイバー攻撃で悪用され得るような侵害が発生した場合に限って、新しいパスワードの作成をユーザーに要求することを推奨しています。

パスワードマネージャー

NIST はパスワードマネージャーの使用を明確には推奨していませんが、その利点は認めています。パスワードマネージャーを使って認証情報を作成・保存・入力することで、人が自分のパスワードを知っている必要すらなくなるため、強力なパスワード管理ポリシーを適用しやすくなります。

MFA でパスワードを補強する

多要素認証（MFA）の導入は、盗まれた、または解読されたパスワードが攻撃者にとってほとんど役に立たなくなることでセキュリティを向上させます。とはいえ、NIST は、企業が Google Authenticator または 含ま れない SMS を使わない別の認証プロセスを利用できる場合にのみ MFA を導入することを推奨している点に留意してください。

総当たり攻撃に特に弱いパスワード

次のパスワードは使用を避けるか、使用を禁止するのが賢明です：

• 推測されやすいパスワード（特に文字列 "password"）
• “1234”や“abcd”のように、数字や文字を順番に並べたもの
• “@#$%^&”のように、キーボード上で表示される順番どおりに並んだ文字列
• “zzzzzz”のように同じ文字を複数回入力したもの
• ユーザーの名（名前）、配偶者や子どもの名前、またはその他の名前
• 住所、電話番号、ナンバープレートの番号、出身校、家族の生年月日など、ユーザーに関して容易に入手できるその他の情報
• 辞書に載っている単語
• デフォルトまたは推奨されているパスワード（強そうに見えても）
• ユーザー名またはホスト名
• 上記のいずれかの前後に、単一の数字が付く場合
• 前のパスワードの先頭または末尾の数字または文字を単にインクリメント（増加）しただけの新しいパスワード

パスワード要件のベストプラクティス

管理者は次の点を必ず確認してください：

• パスワードの最小文字数を設定します。
• 少なくとも過去 10 個のパスワードを記憶するパスワード履歴ポリシーを適用します。
• パスワードの最小有効期間を 3 日に設定します。
• パスワードが複雑性要件を満たすことを求めます。この設定はパスフレーズでは無効にできますが、推奨されません。
• ローカル管理者のパスワードを 180 日ごとにリセットします。これは無料の Netwrix Bulk Password Reset ツールで実行できます。
• メンテナンス時に、サービス アカウントのパスワードを年 1 回リセットします。
• ドメイン管理者（Domain Admin）アカウントには、最低15文字以上の強力なパスフレーズを使用してください。
• すべてのパスワード変更を追跡する たとえば Netwrix Auditor for Active Directory を使用します。
• password expiration のメール通知を作成します。これは無料の Netwrix Password Expiration Notifier ツールで実行できます。
• ドメイン ポリシーの既定の設定を編集する代わりに、きめ細かなパスワード ポリシー を作成し、特定の組織単位にリンクしてください。

パスワードと認証に関する追加のベストプラクティス

• 企業アプリケーションは、グループではなく個々のユーザーアカウントに対する認証をサポートする必要があります。
• 企業アプリケーションは、保存および転送されるパスワードを暗号化によって保護し、ハッカーによる解読（クラッキング）を防ぐ必要があります。
• ユーザー（およびアプリケーション）は、パスワードを平文で、または容易に元に戻せる形式で保存してはならず、ネットワーク経由でパスワードを平文のまま送信してはなりません。
• 盗まれたり不適切に取り扱われたりしたパスワードによるセキュリティリスクを軽減するために、MFAを適切に活用してください。
• 従業員が組織を退職したら、アカウントを無効化する場合でも、そのアカウントのパスワードを変更してください。
• ユーザーの不満を減らし、ヘルプデスクの負荷を軽減するには、まず ユーザーが新しいパスワードを選べるように支援し 要件を満たすパスワードを選択できるようにし、今後迫るパスワードの有効期限切れを事前にリマインドし、さらにWebブラウザーでパスワードを変更できるようにします。

ユーザー教育

加えて、ユーザーに対して次の点も必ず教育してください。

• パスワードはどこかに書き留めずに覚えておくことが重要です。そのため、簡単に覚えられる強力なパスワードまたはパスフレーズを選びましょう。パスワード管理ツールを使っている場合は、強力なマスターキーを選び、忘れないようにしてください。
• パスワードがインターネット上でどのように送信されるかに注意しましょう。“http://”ではなく“https://”で始まるURL（Webアドレス）は、パスワードの使用においてより安全である可能性が高いです。
• ほかの誰かが現在のパスワードを知っている可能性があると感じたら、すぐに変更してください。
• 誰かが見ている状態でパスワードを入力しないでください。
• 機密情報を含む複数のWebサイトで同じパスワードを使い回さないでください。

Netwrix がどのように役立てるか

強固なパスワードポリシーを適用する

ユーザーの認証情報が高い基準を満たし、安全に管理されていることを確実にするのは、エンタープライズ セキュリティの土台であり、そのため多くのコンプライアンス要件における中核的な必須事項です。 Netwrix Password Secure は、パスワードを安全に管理し、弱いパスワードをより強力な代替手段に置き換え、チームごとに適切なパスワード ポリシーを適用し、特権アクセスを管理し、パスワードの利用状況を監査できるようにします。さらに、パスワードを各種プラットフォームやデバイス間で同期するため、ユーザーはオフラインでもどこからでも安全にアクセスでき、ブラウザー拡張機能をクリックするだけで簡単にログインできます。これにより、回避策を探すことなく、強力なパスワード ポリシーを容易に遵守できるようになります。その結果、セキュリティとコンプライアンスを強化しながら、生産性も向上させられます。 

複雑な環境では、通常ユーザーと特権ユーザーの両方に対してきめ細かなパスワード ポリシーを適用することをおすすめします。これにより、IT 管理者は新しい要件に迅速に対応でき、弱いパスワードや盗まれたパスワードによる侵害リスクを最小限に抑えられます。 Netwrix Password Policy Enforcer は管理者が強力なパスワード ポリシーを簡単に適用できるようにし、技術スタッフのポリシー管理にかかる負荷を大幅に削減します。 

パスワード ポリシーに関連するアクティビティの監査

イベントを定期的に監査することで、パスワード ポリシーがシステムを攻撃から守れているかを確認できます。Windows Server のパスワード ポリシーに関連するイベントは、既定のドメイン コントローラー上の Security Event Log に記録されます。これらのログを確認することで、システム管理者はパスワード ポリシー設定を誰が変更したのか、また各変更がいつ、どこで（どのドメイン コントローラーで）行われたのかを特定できます。パスワード ポリシー GPO を監査するための追加の重要なヒントは、次の Active Directory Group Policy Auditing Quick Reference Guide。

しかし、ネイティブの監査ツールでは、パスワード ポリシーが変更されたグループ ポリシー オブジェクトの名前や、実行された操作の種類といった最も重要な詳細は表示されません。さらに、どのポリシーがどのグループに適用されるのかを理解したり、不一致を特定したりすることはほぼ不可能です。有効なパスワード ポリシー管理のためには、たとえば Netwrix Auditor for Active Directory。