密码策略设计

您的组织有复杂的密码要求，但用户仍然找到绕过的方法。需要大写字母、数字和特殊字符，因此您更改了

Jaroslaw102026!

到

Jaroslaw112026!

是的，我叫Jaroslaw，如果你还没猜到的话。

编写密码规则的人是在很久以前完成的，从未回头检查过这些规则是否符合泄露的密码数据库或当今的模式。

复杂性规则

许多组织基于较早的NIST 指南制定了政策。该指南为联邦认证系统编写，但私营组织可以自愿采用，且许多组织确实采用了。人们随后找到了满足所有要求的最简单方法。当密码变得过于复杂难以记忆时，人们会将密码写在纸上。在易记的内容中交换字符成为了新常态。

攻击者知道这一点，并围绕它构建他们的工具。当前的NIST指南（SP 800-63B）已不再强调组成规则，而是转向对密码进行常见和泄露列表的筛查。

密码策略可以防止的攻击

策略无法阻止所有攻击，但它消除了轻松得手的机会。受其直接影响的就是这些。

字典攻击。 攻击者会对账户尝试大量常见词汇和已知密码。阻止字典词汇的策略意味着这些猜测在开始前就失败了。

基于规则和变异的攻击。 破解工具不仅尝试“password”，还尝试 Password1!，P@ssw0rd 以及所有常见的字母替换为数字或符号的变体。如果您的策略只检查是否存在特殊字符，这些密码将通过。检测字符替换的策略会拒绝它们。

密码喷洒攻击。 攻击者不是集中攻击一个账户，而是在成千上万个账户中尝试一些常见密码，以保持在锁定阈值以下。像 Winter2026! 或 Company123! 这样的模式是常见目标。阻止可预测的模式可以消除密码喷洒所依赖的密码。

Credential stuffing。 攻击者利用早期泄露的用户名和密码尝试登录您的系统，赌用户会重复使用密码。将新密码与泄露数据比对，可阻止已流传的密码。

有针对性的猜测。 如果你的名字是Jaroslaw，攻击者在LinkedIn上找到后会尝试Jaroslaw加上一个年份。阻止个人姓名和用户名可以排除最明显的猜测。

离线破解。当攻击者窃取密码哈希时，弱密码最先被破解。策略无法阻止窃取，但拒绝可预测密码会使破解时间大大延长。

您的密码策略应拒绝的内容

在重新设计您的策略时，决定您在以下每一项中的立场：

• 个人姓名和用户名： 阻止它们。
• 重复模式： 拒绝 Jarojaro 和 Jaaaaaro。
• 键盘模式： 拒绝 ASDFG 及类似顺序。
• 字符替换： 侦测它们，以防像 abcd 这样的模式被混淆成可通过的形式。
• 泄露密码： 在创建时及定期检查已知泄露数据。

大写字母、小写字母、数字和特殊字符的要求仍然重要。在此基础上构建模式规则。

Netwrix Password Policy Enforcer 的帮助方式

本地 Active Directory 密码策略无法完成上述大部分功能。 Netwrix Password Policy Enforcer 补充了：

• 针对用户、组和OUs的多重密码策略
• 针对长度、字符集和密码短语的自定义复杂性控制
• 字典和模式保护，可阻止常见词汇、替代词和可预测的模式
• 用户名阻止，防止用户从自己的账户名创建密码
• 键盘模式阻止，例如 ASDFG
• 在创建密码或计划扫描期间，对泄露数据（如 Have I Been Pwned）进行泄露密码检查
• 实时反馈，让用户知道他们输入的新密码是否满足策略指定的要求
• 部署前进行策略测试，让您在用户之前看到影响
• 内置的CIS、HIPAA、NERC CIP、NIST、PCI DSS和CJIS合规模板

还有两件事要做

启用 MFA。 如果密码可预测，AI 工具可以猜出15字符密码。 MFA 即使密码泄露，也能保护账户。

将密码存储在保险库中。 保险库为用户提供了一个安全存放凭据的地方，而不是纸张或电子表格。 Netwrix Password Secure 负责这部分。