Minimālā paroles garuma auditēšana un ieviešana noteiktās programmas Windows

Kopsavilkums

Windows 10 atjauninājumiem, kas izlaisti 2020. gada 18. augustā, tiek pievienots atbalsts:

• Audita notikumi, lai noteiktu, vai lietojumprogrammas un pakalpojumi atbalsta 15 rakstzīmju vai garākas paroles.

• Minimālo paroles garumu 15 rakstzīmju un vairāk paroļu izpildei Windows Server 2004 domēna kontrolleros (DC).

Atbalstītās Windows

Paroles garuma auditēšana tiek atbalstīta tālāk norādītās Windows. Minimālā paroles garuma 15 un vairāk rakstzīmju ieviešana tiek atbalstīta Windows Server 2004 versijā, kā arī jaunākās Windows.

Ieteiktā izvietošana

Izvietošanas vadlīnijas

Lai pievienotu atbalstu minimālā paroles garuma auditēšana un ieviešana, veiciet tālāk norādītās darbības.

1. Izvietojiet atjauninājumu visās atbalstītās Windows versijās visās domēnu kontrolleros.

   1. Domēna kontrolleris: atjauninājumi un jaunāki atjauninājumi nodrošina atbalstu visiem DC, lai autentificētu lietotāju vai pakalpojumu kontus, kas ir konfigurēti izmantot vairāk nekā 14 rakstzīmju paroles.

   2. Administratīvās darbstacijas: izvietojiet administratīvo darbstaciju atjauninājumus, lai atļautu lietot jaunos grupas politikas iestatījumus DC.

2. Iespējojiet Grupas politikas iestatījumu MinimumPasswordLengthAudit domēnā vai mežā, ja ir nepieciešamas garākas nepieciešamās paroles. Šis politikas iestatījums ir jāiespējo noklusējuma domēna kontrollera politikā, kas saistīta ar domēna kontrolleru organizācijas vienību (OU).

3. Mēs iesakām trīs līdz sešus mēnešus atstāt auditēšanas politiku iespējotu, lai noteiktu visu programmatūru, kas neatbalsta paroles, kas lielākas par 14 rakstzīmēm.

4. Pārraugiet domēnus Directory-Services-SAM 16978 notikumiem, kas reģistrēti programmatūrai, kura pārvalda paroles trīs līdz sešus mēnešus. Jums nav jāpārrauga Direktorija pakalpojumi-Services-SAM 16978 notikumi, kas reģistrēti lietotāju kontos.

   1. Ja ir iespējams, konfigurējiet programmatūru tā, lai izmantotu ilgāku paroles garumu.

   2. Strādājiet ar programmatūras ražotāju, lai atjauninātu programmatūru un izmantotu garākas paroles.

   3. Izvietojiet šajā kontā precīzas paroļu politikas, izmantojot vērtību, kas atbilst programmatūrai izmantotā paroles garumam.

   4. Programmatūrai, kas pārvalda konta paroles, bet automātiski neizmanto garas paroles, un to nevar konfigurēt, lai izmantotu garas paroles, šiem kontiem var izmantot precīzas paroļu politikas.

5. Pēc tam, kad visi Directory-Services-SAM 16978 notikumi ir izskatīti, iespējojiet minimālo paroli. Lai to izdarītu, veiciet tālāk norādītās darbības.

   1. Izvietojiet Windows Server versiju, kas atbalsta ieviešanu visos DC (tostarp Read-Only DC).

   2. Iespējojiet RelaxMinimumPasswordLengthLimits grupas politiku visos DC.

   3. Konfigurējiet MinimumSPasswordLength grupas politiku visos DC.

Grupas politika

Windows žurnāla ziņojumu skatīšana

Kā daļa no pievienotā atbalsta tiek iekļauti trīs jauni notikumu ID žurnāla ziņojumi.

Norādījumi par programmatūras paroles maiņu

Iestatot paroli programmatūrā, izmantojiet maksimālo paroles garumu.

Vēsture

Lai gan vispārējā Microsoft drošības stratēģija ir stingri vērsta uz to, lai nākotnē būtu pieejams mazāk paroļu, daudzi klienti nevar migrēt prom no parolēm īsā vai vidējā termiņā. Daži lietotāji, kas nepieciešami drošības apsvērumu dēļ, vēlas konfigurēt noklusējuma domēna minimālo paroles garuma iestatījumu, kas ir lielāks par 14 rakstzīmēm (piemēram, klienti to var darīt pēc tam, kad lietotāji ir informējuši izmantot garākas ieejas frāzes, nevis tradicionālās īsās, viena marķiera paroles). Lai atbalstītu šo pieprasījumu, Windows 2018. gada aprīlī atjauninājumi sistēmai Windows Server 2016 iespējoja grupas politikas maiņu, kas palielināja minimālo paroles garumu no 14 līdz 20 rakstzīmēm. Lai gan bija redzams, ka šīs izmaiņas atbalsta ilgāku paroli, tās bija pilnīgi nepietiekamas un noraidītas, kad tika lietota grupas politika. Šīs noraidījumi bija klusi, un bija nepieciešama detalizēta testēšana, lai noteiktu, ka sistēma neatbalsta garākas paroles. Drošības konta pārvaldnieka (SAM) slāņa sekojuma atjauninājums tika iekļauts gan Windows Server 2016, gan Windows Server 2019, lai nodrošinātu, ka sistēma pareizi darbojas līdz beigām ar minimālo paroles garumu, kas ir lielāks par 14 rakstzīmēm. Drošības konta pārvaldnieka (SAM) slāņa sekojuma atjauninājums tika iekļauts gan Windows Server 2016, gan Windows Server 2019, lai nodrošinātu, ka sistēma pareizi darbojas līdz beigām ar minimālo paroles garumu, kas ir lielāks par 14 rakstzīmēm.

MinimumsPasswordLength politikas iestatījumā ir atļauts diapazons no 0 līdz 14 ļoti ilgu laiku (daudzas desmitgades) visās Microsoft platformās. Šis iestatījums attiecas gan uz lokālajiem Windows iestatījumiem, gan Active Directory (un nt4 domēniem pirms tā). Nulles (0) vērtība nozīmē, ka nevienam kontam parole nav nepieciešama.

Iepriekšējās programmas versijās grupas Windows lietotāja interfeiss neiespējoja minimālo paroļu garumu, kas ir garāks par 14 rakstzīmēm. Tomēr 2018. gada aprīlī mēs izlaidām Windows 10 atjauninājumus, kas grupas politikas lietotāja interfeisā par vairāk nekā 14 rakstzīmēm tika atbalstīti kā daļa no atjauninājumiem, piemēram:

• KB 4093120: 2018.gada 17. aprīlis — KB4093120 (OS būvējumu 14393.2214)

Šajā atjauninājumā iekļauts šāds laidiena piezīmes teksts:

"Palielina grupas politikas minimālo paroles garumu līdz 20 rakstzīmēm."

Daži klienti, kuri instalēja 2018. gada aprīļa laidienus un aizstāj atjauninājumus, konstatēja, ka joprojām nevar izmantot vairāk par 14 rakstzīmju parolēm. Izmeklēšanas tika konstatēta, ka nepieciešami papildu atjauninājumi, kas jāinstalē DC lomu datoros, kuri apkalpo paroļu politikā definētās vairāk nekā 14 rakstzīmju paroles. Iespējoti šādi atjauninājumi: Windows Server 2016, Windows 10, versija 1607 un Windows 10 domēnu kontrolleru sākotnējais laidiens pakalpojumu pieteikšanās un autentifikācijas pieprasījumiem ar vairāk nekā 14 rakstzīmju parolēm.

• KB 4467684:2018. gada 27. novembris — KB4467684 (OS būvējumu 14393.2639)

Šajā atjauninājumā iekļauts šāds laidiena piezīmes teksts:

"Novērš problēmu, kas neļauj domēnu kontrolleriem lietot grupas politikas paroļu politiku, ja ir konfigurēts, ka minimālais paroles garums pārsniedz 14 rakstzīmes."

• KB 4471327:2018. gada 11. decembris — KB4471321 (OS būvējumu 14393.2665)

Daži klienti politikā ir definēuši vairāk nekā 14 rakstzīmju paroles pēc 2018. gada aprīļa instalēšanas līdz 2018. gada oktobra atjauninājumiem, kas būtībā paliek pasīva līdz 2018. gada novembra un 2018. gada decembra atjauninājumiem vai pakalpojumam ar 14 rakstzīmju parolēm lielāku par 14 rakstzīmju apkalpošanu, tādējādi tiek noņemta laika/causation saite starp līdzekļu iespējošanu un politikas lietojumprogrammu. Neatkarīgi no tā, vai esat instalējis grupas politiku un domēna kontrollera atjauninājumus vienlaikus, iespējams, redzēsit šādus blakus efektus:

• Atklājamās problēmas ar lietojumprogrammām, kas pašlaik nav saderīgas ar vairāk nekā 14 rakstzīmju parolēm.

• Atklājamās problēmas, ja domēni, kas sastāv no Windows Server 2019 laidiena versijas vai atjaunināti 2016. gada DC, kuri atbalsta vairāk nekā 14 rakstzīmju paroles un pirms Windows Server 2016 DC, kuri neatbalsta vairāk par 14 rakstzīmju parolēm (kamēr nav paroļu atpakaļ un nav instalētas programmatūrai Windows Server 2016).

• Pēc KB4467684instalēšanas klastera pakalpojumu var neizdoties startēt ar kļūdu "2245 (NERR_PasswordTooShort)", ja grupas politika "Minimālais paroles garums" ir konfigurēta ar vairāk nekā 14 rakstzīmēm.

  Norādījumi par šo zināmo problēmu bija iestatīt domēna noklusējuma politiku "Minimālais paroles garums", kas ir mazāka vai vienāda ar 14 rakstzīmēm. Mēs strādājam pie risinājuma un nodrošināsim atjauninājumu nākamajā laidienā.

2019. gada janvāra atjauninājumos dc puses atbalsts ir lielāks par 14 rakstzīmju parolēm, tāpēc šo līdzekli nevar izmantot.