Melhores práticas para bloqueio de contas

Melhores práticas para configurar uma política de bloqueio de conta

Crie uma política de GPO para bloqueio de conta e edite-a em “Computer Configuration\Windows Settings\Security Settings\Account Policies\Account Lockout Policy” utilizando os seguintes parâmetros:

• Duração do bloqueio de conta: 1440 minutos
• Limite de bloqueio de conta: 10 tentativas inválidas de login
• Redefinir bloqueio de conta após: 0 minutos [a conta não é desbloqueada automaticamente]

Investigando todos os bloqueios de conta

Para investigar bloqueios de conta, você precisa capturar logs que ajudarão a rastrear a fonte deles. Siga os passos a seguir:

• Ative a auditoria de eventos de logon. Consulte o Logon Auditing Quick Reference Guide.
• Ative o registro do Netlogon. Consulte o Account Lockout Troubleshooting Quick Reference Guide.
• Ative o registro do Kerberos.
• Analise dados dos arquivos de log de eventos de Segurança e dos arquivos de log Netlogon para ajudar a determinar onde estão ocorrendo os bloqueios e por quê.
• Analise os logs de eventos no computador que está gerando os bloqueios de conta para determinar a causa.

Causas Comuns de Bloqueio de Contas

• Ataque de força bruta (verifique se a porta RDP 3389 está aberta para a internet)
• Replicação do Active Directory
• Programas com credenciais de usuário em cache
• Contas de serviço com senhas alteradas recentemente ou expiradas
• O limite de tentativas de senha incorreta está definido muito baixo
• Usuário fazendo login em vários computadores
• Nomes de usuário e senhas armazenados contêm credenciais redundantes
• Tarefas agendadas
• Mapeamentos de unidades compartilhadas
• Sessões de Terminal Server desconectadas
• Dispositivos móveis acessando o servidor Exchange via IIS

Ferramentas de Bloqueio e Gestão de Contas que Auxiliam em Investigações

• Netwrix Account Lockout Examiner
• Ferramentas de status de bloqueio de conta da Microsoft
• Utilitário de detecção de bloqueios de AD e senhas incorretas

Visão geral da Política de Bloqueio de Conta do Active Directory

Uma política de bloqueio de conta desativa uma conta de usuário se uma senha incorreta for inserida um número especificado de vezes durante um período especificado. Esta política ajuda a prevenir que atacantes adivinhem as senhas dos usuários, reduzindo a chance de ataques bem-sucedidos na sua rede. Quando a política está definida, cada tentativa de logon no domínio que falhar é registrada no controlador de domínio principal (PDC). Quando o limite é atingido, o PDC bloqueia a conta e impede que ela faça logon com sucesso. Quando a senha é redefinida por um administrador ou após o período de duração do bloqueio de conta do AD que você especificar, o usuário pode fazer logon com sucesso novamente, por exemplo, no Windows 7.

Investigando Bloqueios de Conta

Bloquear automaticamente contas após várias tentativas de login sem sucesso é uma prática comum, pois tentativas de login falhadas podem ser um sinal de um intruso ou malware tentando acessar seu sistema de TI. Antes de desbloquear uma conta, é prudente descobrir por que senhas incorretas foram fornecidas repetidamente; caso contrário, você aumenta o risco de acesso não autorizado aos seus dados sensíveis.

O primeiro passo no processo de resolução de problemas é identificar a origem das falhas de autenticação que causaram o bloqueio da conta. Existem várias ferramentas de account lockout management projetadas para auxiliar com esse processo.

Uma vez que o emulador PDC é responsável pelo processamento do bloqueio de conta, este deve ser o primeiro DC que você verifica no processo de resolução de problemas. Se você estiver executando o Windows Server 2008 R2 ou posterior, deve ativar a auditoria de gerenciamento de contas de usuário na configuração de Política de Auditoria Avançada. Em seguida, determine quais das seguintes modificações na política de bloqueio de conta já foram feitas no seu ambiente e reconfigure-as de acordo com este white paper de melhores práticas de bloqueio de conta.

Uma vez que os eventos de bloqueio de conta são registrados no log de eventos de segurança do Windows, você deve filtrar pelo eventID 4740. Revise os eventos para localizar a conta afetada. Os detalhes do evento conterão informações sobre o computador onde ocorreu o bloqueio da conta. O mesmo pode ser feito com o software de bloqueio de conta do Windows 7.

Então vá até a conta de destino bloqueada no Windows 7 ou outra máquina e verifique seus registros de segurança, aplicativos e sistema para anomalias. Se a máquina de destino for um servidor Exchange, verifique seus registros IIS para um endereço IP externo que está causando um bloqueio. Se as portas RDP estiverem abertas para a internet, bloqueie-as e, em seguida, verifique novamente os bloqueios futuros de conta.