비밀번호 정책 설계

귀하의 조직은 복잡한 비밀번호 요구사항이 있지만 사용자들은 여전히 이를 우회하는 방법을 찾습니다. 대문자, 숫자, 특수 문자가 필요하므로 변경합니다

Jaroslaw102026!

에게

Jaroslaw112026!

네, 제 이름은 Jaroslaw입니다, 혹시 못 알아채셨다면요.

비밀번호 규칙을 작성한 사람은 오래전에 작성했으며, 유출된 비밀번호 데이터베이스나 오늘날의 패턴과 대조해본 적이 없습니다.

복잡성 규칙

많은 조직이 이전 NIST 지침을 기반으로 정책을 수립했습니다. 이는 연방 인증 시스템을 위해 작성되었지만 민간 조직도 자발적으로 채택할 수 있었고, 많은 조직이 그렇게 했습니다. 사람들은 모든 요구 사항을 충족하는 가장 쉬운 방법을 찾았습니다. 비밀번호가 너무 복잡해 기억하기 어려워지자 사람들은 종이에 적기 시작했습니다. 기억하기 쉬운 것에서 문자를 바꾸는 것이 새로운 표준이 되었습니다.

공격자들은 이를 알고 있으며, 이에 맞춰 도구를 만듭니다. 현재 NIST 지침(SP 800-63B)은 구성 규칙에서 벗어나 일반적이고 유출된 비밀번호 목록과 대조하는 방식으로 전환했습니다.

비밀번호 정책이 방지할 수 있는 공격

정책이 모든 공격을 막지는 못하지만, 쉬운 성공을 없앱니다. 직접적으로 영향을 받는 것은 바로 그것들입니다.

사전 공격. 공격자는 계정에 대해 일반 단어와 알려진 비밀번호의 방대한 목록을 시도합니다. 사전 단어를 차단하는 정책은 이러한 시도가 시작되기 전에 실패하게 만듭니다.

규칙 기반 및 변형 공격. 크래킹 도구는 "password"만 시도하지 않습니다. 또한 Password1!, P@ssw0rd 및 문자 하나를 숫자나 기호로 흔히 바꾸는 모든 경우를 시도합니다. 정책이 특수 문자의 존재만 확인한다면 이 비밀번호들은 통과합니다. 문자 대체를 감지하는 정책은 이를 거부합니다.

패스워드 스프레이 공격. 공격자는 한 계정을 집중 공격하는 대신, 잠금 임계값을 넘지 않도록 수천 개 계정에 몇 가지 일반적인 비밀번호를 시도합니다. Winter2026! 또는 Company123! 와 같은 패턴이 주된 대상입니다. 예측 가능한 패턴을 차단하면 패스워드 스프레이 공격에 사용되는 비밀번호를 제거할 수 있습니다.

Credential stuffing. 공격자는 이전 유출에서 사용자 이름과 비밀번호를 가져와 시스템에서 시도하며, 사람들이 이를 재사용한다고 가정합니다. 새로운 비밀번호를 유출 데이터와 대조하여 이미 유포 중인 비밀번호를 차단합니다.

표적 추측. 이름이 Jaroslaw인 경우, 공격자가 LinkedIn에서 이를 찾으면 Jaroslaw에 연도를 더해 시도할 것입니다. 개인 이름과 사용자 이름을 차단하면 가장 명백한 추측을 제거할 수 있습니다.

오프라인 크래킹.공격자가 비밀번호 해시를 훔칠 때, 약한 비밀번호가 먼저 무너집니다. 정책은 도난을 막을 수 없지만, 예측 가능한 비밀번호를 거부하면 크래킹 시간이 훨씬 길어집니다.

비밀번호 정책에서 거부해야 하는 항목

정책을 재설계할 때 각 항목에 대해 자신의 입장을 결정하세요:

• 개인 이름 및 사용자 이름: 차단하세요.
• 반복되는 패턴: 거부 Jarojaro 그리고 Jaaaaaro.
• 키보드 패턴: 거부 ASDFG 및 유사한 연속.
• 문자 대체: 이를 감지하여 abcd와 같은 패턴이 통과할 수 있는 형태로 변형되지 않도록 합니다.
• 유출된 비밀번호: 생성 시 및 정기적으로 알려진 유출 데이터와 대조하세요.

대문자, 소문자, 숫자 및 특수 문자 요구 사항은 여전히 중요합니다. 이 위에 패턴 규칙을 만드세요.

Netwrix Password Policy Enforcer가 도움이 되는 방법

기본 Active Directory 암호 정책은 위의 대부분을 수행할 수 없습니다. Netwrix Password Policy Enforcer 는 다음을 추가합니다:

• 사용자, 그룹 및 OUs에 대한 여러 비밀번호 정책
• 길이, 문자 집합 및 암호 구문에 대한 맞춤 복잡성 제어
• 일반 단어, 대체어 및 예측 가능한 패턴을 차단하는 사전 및 패턴 보호
• 사용자 이름 차단으로 사람들이 자신의 계정 이름으로 비밀번호를 만들지 못하도록 합니다
• ASDFG와 같은 키보드 패턴 차단
• 비밀번호 생성 또는 예약된 검사 중에 Have I Been Pwned와 같은 유출 데이터에 대한 손상된 비밀번호 검사
• 사용자가 입력 중인 새 비밀번호가 정책에서 지정한 요구 사항을 충족하는지 실시간으로 알려줍니다
• 배포 전에 정책을 테스트하여 사용자가 보기 전에 영향을 확인할 수 있습니다
• CIS, HIPAA, NERC CIP, NIST, PCI DSS 및 CJIS용 내장 컴플라이언스 템플릿

해야 할 두 가지 더

MFA를 활성화하세요. AI 도구는 예측 가능하면 15자 비밀번호를 추측할 수 있습니다. MFA는 비밀번호가 유출되어도 계정을 보호합니다.

비밀번호를 금고에 저장하세요. 금고는 종이나 스프레드시트 대신 자격 증명을 안전하게 보관할 수 있는 장소를 제공합니다. Netwrix Password Secure 가 이를 지원합니다.