Design da política de senhas

Sua organização tem requisitos complexos de senha, e os usuários ainda encontram uma forma de contorná-los. É necessária uma letra maiúscula, um número e um caractere especial, então você altera

Jaroslaw102026!

para

Jaroslaw112026!

Sim, Jaroslaw é meu nome, caso você não tenha percebido.

Quem escreveu as regras de senha fez isso há muito tempo e nunca voltou para verificá-las contra bancos de dados de senhas violadas ou padrões atuais.

Regras de complexidade

Muitas organizações basearam sua política nas antigas diretrizes do NIST. Foi escrito para sistemas federais de autenticação, mas organizações privadas podiam adotá-lo voluntariamente, e muitas o fizeram. As pessoas então encontraram a maneira mais fácil de cumprir cada requisito. Quando as senhas ficaram complexas demais para lembrar, as pessoas as anotavam em um papel. Trocar caracteres em algo memorável tornou-se o novo normal.

Os atacantes sabem disso e constroem suas ferramentas com base nisso. A orientação atual do NIST (SP 800-63B) afastou-se das regras de composição e passou a filtrar senhas contra listas comuns e comprometidas.

Ataques que uma política de senha pode prevenir

Uma política não impedirá todos os ataques, mas elimina as vitórias fáceis. São essas que ela afeta diretamente.

Ataques de dicionário. Os atacantes usam listas enormes de palavras comuns e senhas conhecidas contra uma conta. Uma política que bloqueia palavras do dicionário faz com que essas tentativas falhem antes de começar.

Ataques baseados em regras e mutações. Ferramentas de cracking não tentam apenas "password." Elas tentam também Password1!, P@ssw0rd, e toda troca comum de uma letra por um número ou símbolo. Se sua política apenas verifica a existência de um caractere especial, essas senhas passam. Uma política que detecta substituição de caracteres as rejeita.

Password spraying. Em vez de atacar uma conta, os invasores tentam algumas senhas comuns em milhares de contas para ficar abaixo dos limites de bloqueio. Padrões como Winter2026! ou Company123! são os alvos habituais. Bloquear padrões previsíveis elimina as senhas das quais o password spraying depende.

Credential stuffing. Os atacantes usam nomes de usuário e senhas de vazamentos anteriores e os testam em seus sistemas, apostando que as pessoas os reutilizam. Verificar novas senhas contra dados de vazamentos bloqueia as que já circulam.

Adivinha direcionada. Se seu nome é Jaroslaw, um atacante que o encontrar no LinkedIn tentará Jaroslaw mais um ano. Bloquear nomes pessoais e nomes de usuário elimina os palpites mais óbvios.

Cracking offline. Quando atacantes roubam hashes de senha, senhas fracas caem primeiro. Uma política não pode impedir o roubo, mas rejeitar senhas previsíveis faz o cracking demorar muito mais.

O que a sua política de senhas deve rejeitar

Ao redesenhar sua política, decida qual é sua posição em cada um destes pontos:

• Nomes pessoais e nomes de usuário: bloqueie-os.
• Padrões repetitivos: rejeitar Jarojaro e Jaaaaaro.
• Padrões de teclado: rejeitar ASDFG e sequências semelhantes.
• Substituições de caracteres: detectá-las, para que um padrão como abcd não possa ser embaralhado em algo que passe.
• Senhas comprometidas: verifique contra dados de violações conhecidas, na criação e periodicamente.

Requisitos de maiúsculas, minúsculas, números e caracteres especiais ainda são importantes. Construa as regras de padrão sobre eles.

Como Netwrix Password Policy Enforcer ajuda

As políticas nativas de senha do Active Directory não conseguem fazer a maior parte do que foi mencionado. Netwrix Password Policy Enforcer adiciona:

• Múltiplas políticas de senha para usuários, grupos e OUs
• Controles personalizados de complexidade para comprimento, conjuntos de caracteres e frases de senha
• Proteção por dicionário e padrões que bloqueia palavras comuns, substituições e padrões previsíveis
• Bloqueio de nome de usuário, para que as pessoas não possam criar uma senha a partir do nome da própria conta
• Bloqueio de padrão de teclado, como ASDFG
• Verificações de senhas comprometidas contra dados de violação, como Have I Been Pwned, durante a criação da senha ou varreduras agendadas
• Feedback em tempo real para que os usuários saibam se a nova senha que estão digitando atende aos requisitos designados pela política
• Teste de políticas antes da implantação, para que você veja o impacto antes dos usuários
• Modelos de conformidade integrados para CIS, HIPAA, NERC CIP, NIST, PCI DSS e CJIS

Mais duas coisas a fazer

Ative MFA. Ferramentas de IA podem adivinhar uma senha de 15 caracteres se for previsível. MFA protege a conta quando a senha falha de qualquer forma.

Armazene senhas em um cofre. Um cofre oferece às pessoas um lugar seguro para credenciais em vez de papel ou planilha. Netwrix Password Secure cobre isso.