Это интересно
- ОКД
- ЗКС
- ИПО
- КНПВ
- Мондиоринг
- Большой ринг
- Французский ринг
- Аджилити
- Фризби
Опрос
Полезные ссылки
РКФ
Все о дрессировке собак
Стрижка собак в Коломне
Поиск по сайту
Постоянная смена паролей не такая уж и хорошая затея. Журнал смены паролей
Журнал учета паролей по информационной системе персональных данных (ИСПДн)
ЖУРНАЛ учета паролей по информационной системе персональных данных (ИСПДн)
начат "___"________ ____ г.
окончен "___"________ ____ г.
г. __________
Требования к системе защиты информации информационной системы установлены ________________________ от "___"________ ____ г. N ___.
N п/п |
Дата записи |
Должность, Ф.И.О. сотрудника |
Уровень полномочий <1> на доступ к разделам ИСПД |
Условия доступа к ИСПД |
Номер и дата распорядительного документа на предоставление полномочий |
Срок реализации полномочий |
Пароль |
1 |
2 |
3 |
4 |
5 |
6 |
7 |
8 |
1. Раздел "4-й уровень <2>" |
|||||||
2. Раздел "3-й и 4-й уровни" |
|||||||
3. Раздел "2 - 4-й уровни" |
|||||||
4. Раздел "Все уровни" |
|||||||
Субъект генерации пароля |
Условия действия пароля |
Сроки планового или условия экстренного обновления пароля |
Уровень сложности пароля |
Условия блокировки, аннулирования пароля |
Роспись владельца пароля |
Роспись ответственного лица |
Примечания |
|||||
9 |
10 |
11 |
12 |
13 |
14 |
15 |
16 |
|||||
1. Раздел "4-й уровень" |
||||||||||||
2. Раздел "3-й и 4-й уровни" |
||||||||||||
3. Раздел "2 - 4-й уровни" |
||||||||||||
4. Раздел "Все уровни" |
||||||||||||
Примечания:
1. Журнал паролей является документом строгой отчетности. Он должен быть пронумерован, прошнурован, подписан руководителем организации, заверен печатью и храниться все время хранения персональных данных.
2. Карандашные записи и подчистки в журнале запрещаются. Допущенные исправления оговариваются и скрепляются печатью организации.
--------------------------------
Информация для сведения:
<1> Доступ субъектов доступа к объектам доступа управляется в соответствии с разд. II Приложения N 2 к Требованиям о защите информации, не составляющей государственную тайну, содержащейся в государственных информационных системах (утверждены Приказом ФСТЭК России от 11.02.2013 N 17).
<2> Уровни защищенности персональных данных определяются в соответствии с п. п. 9 - 12 Постановления Правительства Российской Федерации от 01.11.2012 N 1119 "Об утверждении требований к защите персональных данных при их обработке в информационных системах персональных данных".
Политики паролей Windows
Как настроить политики паролей в Windows?
Политики паролей операционной системы Windows позволяют довольно гибко настроить возможность выбора паролей для пользователей данной системы. А если выразиться точнее, то данные политики позволяют довольно гибко настроить ограничения по выбору паролей для пользователей Windows. Политики паролей Windows позволяют настроить минимальную длину паролей, их сложность и многие другие параметры. В данной статье мы попробуем разобраться с данными политиками.
Где найти политики паролей Windows?
Все политики, которые позволяют настроить использование паролей в операционной системе от Microsoft хранятся в одном месте, которое гордо носит имя Редактор локальной групповой политики. Стоит отметить, что данный инструмент имеется только в трех самых развитых изданиях Windows. Чтобы открыть данный инструмент Вы можете воспользоваться командной быстрого вызова — gpedit.msc, которую необходимо ввести в окно меню Выполнить. После того как Редактор откроется, необходимо последовательно перейти по узлам
- Конфигурация компьютера
- Конфигурация Windows
- Параметры безопасности
- Политики учетных записей
- Политика паролей
Тут Вы найдете несколько политик. Их количество может отличаться в зависимости от версии операционной системы. Я ознакомлю Вас с 6 политиками паролей Windows, которые имеются в операционной системы Windows 7.
Политики паролей Windows
- Вести журнал паролей. Самая первая политика позволяет настроить количество паролей, которые будут храниться в памяти компьютера. Нужно это для того чтобы пользователь не использовал один и тот же пароль несколько раз. Журнал паролей может хранить от 0 до 24 паролей. И чисто теоретически, пользователь может один и тот же пароль выставить только через несколько лет. В этом ему может помощь следующая политика.
- Максимальный срок действия пароля. Думаю что объяснять на пальцах суть данной политики не нужно. Скажу только то, что по умолчанию в данном параметре пароли должны меняться раз в 42 дня. И попрошу никого не бояться — система автоматически будет предупреждать пользователей о том, что необходимо поменять пароль. Предупреждения выходят на протяжении 7 дней.
- Минимальная длина пароля. Название данной политики так же предельно ясно описывает назначение самой политики: тут Вам необходимо задать минимальное количество символов, которое должно быть в пароле. Чтобы понять всю важность этой политики необходимо прочитать статью Время перебора паролей.
- Минимальный срок действия пароля. Использование данной политики оправдано только в связке с первой политикой. Данная политика не позволит особенно умным «хакерам» прокрутить журнал паролей за несколько минут и снова поставить свой старый пароль.
- Пароль должен отвечать требованиям сложности.5-ая политика паролей позволяет одним действием выставить сразу несколько ограничений для выбираемых паролей:
- Пароль не будет содержать в себе имени учетной записи или частей полного имени пользователя длиной более двух рядом стоящих знаков.
- Пароли должны будут иметь минимальную длину в 6 символов.
- Содержать в себе 3 из 4 ниже перечисленных категорий символов.
- Латинские заглавные буквы (от A до Z)
- Латинские строчные буквы (от a до z)
- Цифры (от 0 до 9)
- Отличающиеся от букв и цифр символы (например, !, $, #, %)
- Хранить пароли используя обратимое шифрование. Включать данную политику следует только для совместимости со старыми приложениями. Если у Вас нет в этом надобности, то настоятельно прошу не включать данную политику, так как это отрицательным образом скажется на безопасности компьютера.
Настройка политик выбора паролей для отдельных пользователей
Все вышеперечисленные политики паролей Windows скажутся на жизни всех пользователей данного компьютера. Но кроме вышеперечисленных способов настройки есть еще один инструмент, который позволяет настроить ограничения в выборе пароля для отдельных пользователей или групп пользователей Windows — оснастка Управление компьютером. Если открыть данный инструмент и перейти в узел Локальные пользователи и группы, а после чего открыть Свойства какой-либо группы или пользователя, то мы сможем выбрать следующие параметры:
- Запретить смену пароля пользователем. Данный параметр особенно полезен для общедоступных учетных данных. Другими словами, если под одной и той же учетной записью сидят сразу несколько человек, то вся эта тема может накрыться сразу после того, как один умник сменит пароль. Чтобы избежать такой радости необходимо активировать данный пункт.
- Срок действия пароля неограничен. Что делает данный пункт, думаю, всем понятно. Особенной честью его обделяют администраторы, которым глубоко по-барабану на корпоративную политику.
Вот такими способами можно настроить политики паролей в операционной системе Windows.
about-windows.ru
Вести журнал паролей (Windows)
Описаны рекомендации, расположение, значения, управление политикой и соображения безопасности для параметра политики безопасности Вести журнал паролей.
Справка
Параметр политики Вести журнал паролей указывает количество уникальных новых паролей, которые должны быть сопоставлены с учетной записью пользователя, прежде чем можно будет повторно использовать старый пароль.
Повторное использование пароля — важный вопрос в любой организации. Многие пользователи хотят повторно использовать один и тот же пароль для своей учетной записи в течение длительного времени. Чем больше времени один и тот же пароль используется для конкретной учетной записи, тем выше вероятность, что злоумышленник сможет определить его методом подбора. Если требуется, чтобы пользователи изменяли свои пароли, но при этом они имеют возможность повторно использовать старые пароли, эффективность хорошей политики паролей значительно уменьшается.
Если вы укажете маленькое значение для параметра Вести журнал паролей, то пользователи смогут постоянно использовать небольшое количество одних и тех же паролей. Кроме того, если вы одновременно с этим не зададите значение для параметра Минимальный срок действия пароля, пользователи смогут изменять свои пароли столько раз подряд, сколько необходимо для повторного использования их исходных паролей.
Возможные значения
Рекомендации
-
Задайте для параметра Вести журнал паролей значение 24. Это позволит уменьшить опасность уязвимостей, вызванных повторным использованием паролей.
-
Задайте параметр Максимальный срок действия пароля так, чтобы срок действия пароля истекал через 60–90 дней. Попробуйте задать сроки действия паролей так, чтобы они заканчивались в промежутках между основными бизнес-циклами, чтобы не допустить возможные помехи работе.
-
Настройте параметр Минимальный срок действия пароля так, чтобы не разрешать пользователям изменять пароли немедленно.
Расположение
Конфигурация компьютера\Параметры Windows\Параметры безопасности\Политики учетных записей\Политика паролей
Значения по умолчанию
В следующей таблице приведены фактические и действующие значения по умолчанию для этой политики. Значения по умолчанию также указаны на странице свойств политики.
|
Политика домена по умолчанию |
24 сохраненных пароля |
|
Политика контроллера домена по умолчанию |
Не определено |
|
Параметры автономного сервера по умолчанию |
0 сохраненных паролей |
|
Действующие параметры контроллера домена по умолчанию |
24 сохраненных пароля |
|
Действующие параметры рядового сервера по умолчанию |
24 сохраненных пароля |
|
Действующие параметры объекта групповой политики по умолчанию на клиентских компьютерах |
24 сохраненных пароля |
Управление политикой
В этом разделе описаны компоненты, средства и рекомендации, которые помогут в управлении этой политикой.
Необходимость перезагрузки
Нет. Изменения этой политики вступают в силу без перезагрузки устройства после их локального сохранения или распространения через групповую политику.
Соображения безопасности
В этом разделе описывается, каким образом злоумышленник может воспользоваться компонентом или его конфигурацией, как применить меры противодействия и каковы возможные негативные последствия реализации этих мер.
Уязвимость
Чем больше времени пользователь применяет один и тот же пароль, тем выше вероятность, что злоумышленник сможет определить его методом подбора. Кроме того, злоумышленник может использовать все взломанные учетные записи, пока для них не будут изменены пароли. Если требуется изменять пароли, но при этом не запрещено повторно использовать их или пользователи постоянно используют небольшое количество паролей, то эффективность хорошей политики паролей значительно снижается.
Если вы укажете небольшое число для этого параметра политики, пользователи смогут постоянно использовать небольшое количество одних и тех же паролей. Кроме того, если вы не настроите параметр политики Минимальный срок действия пароля, пользователи смогут быстро сменить несколько паролей и в итоге задать необходимые им старые пароли.
ПримечаниеПосле взлома учетной записи может оказаться недостаточно просто сбросить пароль, чтобы ограничить возможности злоумышленника. Это связано с тем, что к этому моменту злоумышленник, возможно, уже изменил свою среду пользователя так, что через некоторое время будет автоматически задан известный ему пароль. Если учетная запись взломана, лучше всего удалить ее и назначить пользователю новую учетную запись после восстановления нормальной работы всех затронутых систем и проверки того, что они больше не скомпрометированы.
Меры противодействия
Задайте для параметра политики Вести журнал паролей значение 24 (максимально возможное значение для этого параметра), чтобы свести к минимуму количество уязвимостей, вызванных повторным использованием паролей.
Чтобы этот параметр политики вступил в силу, вам также следует настроить эффективные значения для параметров политик Минимальный срок действия пароля и Максимальный срок действия пароля.
Возможные последствия
Если задать для параметра Вести журнал паролей значение 24, то основным следствием этого станет то, что пользователям придется создавать новый пароль при каждом требовании изменить старый пароль. Если от пользователей требуется изменять свои пароли на новые уникальные пароли, возрастает риск того, что они будут записывать свои пароли, чтобы не забыть. Другой риск состоит в том, что пользователи могут создавать пароли, изменяющиеся последовательно (например, пароль01, пароль02 и т. д.), чтобы легче было запомнить их. Такой подход значительно упрощает для злоумышленника задачу по подбору паролей. Кроме того, если задать для параметра политики Максимальный срок действия пароля слишком маленькое значение, это может привести к увеличению управленческих издержек, так как пользователи, забывающие свои пароли, будут часто просить службу технической поддержки сбрасывать их.
Связанные разделы
Политика паролей
technet.microsoft.com
Постоянная смена паролей не такая уж и хорошая затея / Geektimes
Многие из нас, работая в технологических компаниях различного масштаба не раз сталкивались с не самой комфортной политикой со стороны службы безопасности. И если ключ-карты, учет рабочего времени и мониторинг сетевой активности являются нормой, при условии, что компании есть что скрывать от конкурентов, то постоянная смена паролей — мероприятие весьма утомительное. Данное явление дошло до всех в различный период. Автор столкнулся c этой модой среди безопасников в уже далековатом 2013 году. Как гром среди ясного неба всю организацию оглушила новость: «в течении двух недель вы должны поменять пароли, а в дальнейшем его смена будет проводиться в принудительном порядке каждые три месяца». И я скажу вам, что это еще не слишком короткий период. В другой компании админ-самодур, иначе не назвать, который также выполнял и роль «службы безопасности» установил срок смены пароля в один месяц. Приятнее всего было, кстати, уйти в отпуск или на больничный и вернуться из него к заблокированной учетке (VPN отказывались давать даже под угрозой пыток), но это уже лирика.
Для тех, кто пользовался pass-менеджерами типа KeePass, это было не так уж и страшно, но та часть сотрудников, что помнила свои пароли наизусть, была немного (на самом деле много) опечалена. Постоянная смена паролей, вместо того, чтобы повысить уровень безопасности внутри организации приводит только к тому, что ее, безопасности, уровень понижается. И для этого есть целый ряд адекватных причин.
Большинство рядовых пользователей стремится свои пароли запоминать и pass-менеджерами пользуются далеко не все. Если вы рекомендуете своим родным или знакомым менять пароли раз в несколько месяцев, вы оказываете им медвежью услугу. Ведь постоянная смена пароля ведет:
- К его упрощению, ведь сразу запомнить сложный пароль тяжело, а пользоваться им придется, по всей видимости, постоянно;
- Как следствие, используются, например, только цифры, или буквы имени, даты и т.п;
- Если политика безопасности требует криптостойкий пароль с переменным регистром, цифрами и спец. символами, их начинают записывать на бумажки и клеить под клавиатуру. А некоторые еще и «ламинируют» скотчем. В особо тяжелых случаях клеится это дело на монитор.
Ярчайший пример «записывания», а в данном случае — распечатки паролей. В 2015 году на Хабре была статья о взломе французского телеканала, где в эфире в кадр попала обсуждаемая «памятка»
Окей. Если на персональном рабочем месте у нас есть возможность установить пасс-менеджер и не знать беды, то существуют ситуации, когда человек просто не может установить стороннее ПО на рабочий компьютер.
Вы никогда не задумывались, почему при проведении некоторых сложных операций в банке, кассир так долго, по вашему мнению, возится не пойми с чем?
В своей работе рядовой сотрудник (кассир) использует около десятка учетных записей в различном ПО или его сегментах. Кроме входа в учетную запись при проведении операции каждую нужно подтверждать собственным паролем плюс, достаточно часто — паролем старшего кассира или руководителя отделения (все мы слышали этот крик «КОНТРОЛЬ!»). От банка к банку все пароли могут меняться около раза в месяц, а некоторые и того чаще.
В теории, все выглядит прилично. Пароли везде, где это необходимо, не меньше восьми символов, везде разные. На практике все они повсеместно записываются на бумажках и хранятся в кармашках жилеток или под клавиатурой.
По итогу, вместо двухуровневой системы защиты мы получаем решето с уже упомянутыми «памятками» только потому, что бытует мнение о том, что «менять пароли просто так — это полезно».
Одним из наиболее распространенных путей запоминания пароля, если использование pass-менеджера невозможно, но пароль менять каждые N дней приходится, является его шаблонизация. Данный факт подтверждается исследованием в области безопасности сотрудниками Университета Северной Каролины еще за 2010 год.
В своей работе они сымитировали генерацию паролей пользователями исходя из принципа шаблонизации, а после, исходя из этого, провели «атаку» на счета с учетом перебора максимально вероятных паролей до того, как система безопасности среагирует на происходящее. По условиям задачи, в руках злоумышленников была «старая», неактуальная уже банковская база на 7700 учетных записей. На тот момент исследователям с учетом шаблонности паролей удалось получить доступ к 17% (!!!) банковских счетов менее чем за 5 попыток. Еще 41% процент счетов был взломан за, примерно, 3 секунды.
С более подробными алгоритмическими выкладками можно ознакомиться в самой работе.
Это исследование еще раз подтверждает то, что однажды созданный сложный пароль там, где у человека нет возможности использовать специализированное ПО для хранения ключей, лучше, чем постоянная замена более простыми вариантами.
Ведь наш мозг лентяй по природе своей, поэтому стремится все упростить и шаблонизировать. А это, в свою очередь, приводит к тому, что при попадании наших даже неактуальных данных в руки более-менее ушлых злоумышленников, постоянная смена пароля, если он шаблонный (а так чаще всего и происходит), нам не поможет, а только исключит возможность использования по-настоящему сложного для взлома ключа.
geektimes.ru
Политика паролей в Active Directory / PSO
Ввод пароля при входе на компьютер, является неотъемлемой составляющей безопасности в домене. Контроль за политикой паролей пользователей (сложность пароля, минимальная длина и т.д.) является одной из важных задач для администраторов. В этой статье я подробно опишу изменение политики паролей с помощью GPO для всех пользователей домена, а так же опишу способ как сделать исключения политик паролей для некоторых пользователей или группы пользователей.
Политика паролей домена конфигурируется объектом GPO- Default Domain Policy, которая применяется для всех компьютеров домена. Для того что бы посмотреть или внести изменения в политику паролей, необходимо запустить оснастку "Управление групповой политикой", найти Default Domain Policy, нажать на ней правой кнопкой мыши и выбрать "Изменить".
Зайти "Конфигурация компьютера"- "Политики"- "Конфигурация Windows"- "Параметры безопасности"- "Политики учетных записей"- "Политика паролей", в правом окне вы увидите параметры пароля, которые применяются в вашем домене.
| Политика | Краткое пояснение | Возможные значения |
| Вести журнал паролей/ Enforce password history | Определяет число новых уникальных паролей | 0-24 |
| Максимальный срок действия пароля/ Maximum password age | Определяет период времени (в днях), в течении которого можно использовать пароль, пока система не потребует сменить его. | 1-999 |
| Минимальная длина пароля / Minimum password lenght | Параметр определяет минимальное количество знаков, которое должно содержаться в пароле |
0- без пароля 1-14 |
| Минимальный срок действия пароля/ Minimum password age | Параметр определяет период времени (в днях)?в течении которого пользователь должен использовать пароль, прежде чем его можно будет изменить. | 0-998 |
| Пароль должен отвечать требованиям сложности / Password must meet complexity requirements |
Параметр определяет должен ли пароль отвечать сложности: -не содержать имени учетной записи - длина не менее 6 знаков - содержать заглавные буквы (F, G,R) - содержать строчные буквы (f,y,x) - содержать цифры - содержать спец знаки (#,@,$) |
Включена/ Отключена |
| Хранить пароли, используя обратимое шифрование / Store passwords using reversible encryption | Параметр указывает использовать ли операционной системой для хранения паролей обратимое шифрование. | Включена/ Отключена |
Для того что бы изменить параметр достаточно нажать на нем и указать значение. Напомню указанные параметры будут применяться на все компьютеры домена.
Трудности возникают, если у вас в домене должны быть исключение, т.е. пользователь или группа пользователей для которых необходимы иные условия политики пароля. Для этих целей необходимо использовать гранулированную политику пароля. Эти политики представляют отдельный класс объектов AD, который поддерживает параметры гранулированной политики паролей: объект параметров политики PSO (Password Settings Object). Гранулированные политики пароля не реализованы как часть групповой политики и не применяются объектами GPO их можно применить отдельно к пользователю или глобальной группе.
Для того, что бы настроить PSO необходимо запустить adsiedit.msc, для этого нажимаете кнопку "Пуск", в окне "Выполнить", введите "adsiedit.msc" и нажмите кнопку "Enter".
В оснастке "Редактор ADSI" щелкните правой кнопкой мыши Редактор ADSI и выберите команду Подключение к...
Нажмите на кнопку "OK", чтобы выбрать настройки по умолчанию в диалоговом окне "Параметры подключения" или в поле Имя введите полное доменное имя для того домена, в котором требуется создать объект параметров паролей, а затем нажмите кнопку "ОК".
Далее зайдите по пути "DC=<имя_домена>"- "CN=System"- "CN=Password Setings Container".
Щелкните правой кнопкой пункт "CN=Password Setings Container", выберите команду "Создать", а затем пункт "Объект".
В диалоговом окне Создание объекта в разделе Выберите класс щелкните атрибут msDS-PasswordSettings (выбора как такого у вас не будет, поскольку атрибут будет один), затем нажмите кнопку "Далее".
После этого мастер поможет создать объект настроек для пароля Password Settings Object. Необходимо будет указать значение для каждого из следующих 10 атрибутов. Ниже представлена таблица с кратким описанием и возможными значениями атрибутов.
| Имя атрибута | Краткое описание | Возможные значения |
| Cn | <Имя PSO> | Любое допустимое имя Windows |
| msDS-PasswordSettingsPrecedence | Параметр, используемый в качестве стоимости или приоритета для различных политик на тот случай, если для одного пользователя настраивается несколько политик PSO. Чем выше приоритет у настройки пароля PSO, тем меньше значение этого параметра. | Больше 0 |
| msDS-PasswordReversibleEncryptionEnabled | Статус обратимого шифрования пароля для учетных записей пользователей | FALSE / TRUE (рекомендуемое значение – FALSE) |
| msDS-PasswordHistoryLength | Длина журнала пароля для учетных записей пользователей | От 0 до 1024 |
| msDS-PasswordComplexityEnabled | Состояние сложности паролей учетных записей пользователей | FALSE / TRUE (рекомендуемое значение – TRUE) |
| msDS-MinimumPasswordLength | Минимальная длина паролей учетных записей пользователей | От 0 до 255 |
| msDS-MinimumPasswordAge | Минимальный срок действия паролей учетных записей пользователей | От 00:00:00:00 до значения атрибута msDS-MaximumPasswordAge (Например 1:00:00:00 -1 день) |
| msDS-MaximumPasswordAge | Максимальный срок действия паролей учетных записей пользователей |
(Например 90:00:00:00 - 90 дней) |
| msDS-LockoutThreshold | Количество попыток ввода неверного пароля после которого учетная запись будет заблокирована | От 0 до 65535 |
| msDS-LockoutObservationWindow | Через это время счетчик количества попыток ввода неверного пароля будет обнулен |
(Например 0:00:30:00 -30 минут) |
После того как создана PSO, необходимо добавить в него пользователя или группу пользователей, к которым будет применяться указанные настройки пароля. Для этого нажимаем правой кнопкой мыши на PSO и выбираем "Свойства".
В редакторе атрибутов находим и выбираем атрибут msDS-PSOAppliesTo и нажимаем кнопку "Изменить".
В открывшемся окне "Редактор многозначных различаемых имен субъектов безопасности" добавляем пользователей или глобальную группу безопасности, к которым должен применяться объект параметров паролей и нажимаем "Ок".
Теперь можно проверить действительно ли примерилась политика паролей PSO, для этого запустите Active Directory Пользователи и компьютеры, если у вас не включены дополнительные компоненты - включите их (нажмите "Вид" и поставьте галочку напротив Дополнительные компоненты), откройте свойства интересующего вас пользователя или группы, выберите вкладку "Редактор атрибутов", нажмите кнопку "Фильтр" в области Показать атрибуты, доступные только для чтения поставьте галочку Построенные. После этого найдите атрибут msDS-ResultantPSO в нем должен быть указан созданная вами или результирующая политика паролей Password Settings Object.
Если все указано верно настройку политик паролей PSO можно считать успешно завершенной.
Я очень надеюсь, моя статья помогла Вам! Просьба поделиться ссылкой с друзьями:
pk-help.com
