Jednym z podstawowych elementów audytu bezpieczeństwa systemów operacyjnych jest ocena polityki haseł oraz mechanizmów blokowania kont użytkowników. Pomimo rosnącej popularności uwierzytelniania wieloskładnikowego (MFA), hasła nadal pozostają najczęściej wykorzystywanym mechanizmem uwierzytelniania w systemach Windows i Linux. Oznacza to, że ich jakość, sposób zarządzania oraz konfiguracja polityk bezpieczeństwa mają bezpośredni wpływ na poziom ochrony organizacji.
Celem kontroli jest zweryfikowanie, czy organizacja wdrożyła odpowiednie wymagania dotyczące tworzenia, przechowywania i zmiany haseł oraz czy mechanizmy blokowania kont skutecznie ograniczają możliwość przeprowadzania ataków polegających na odgadywaniu danych uwierzytelniających. Audyt powinien również ocenić, czy stosowane ustawienia są zgodne z obowiązującymi standardami bezpieczeństwa oraz adekwatne do poziomu ryzyka związanego z przetwarzanymi informacjami.
Znaczenie polityki haseł dla bezpieczeństwa organizacji
Hasło stanowi pierwszą linię ochrony przed nieautoryzowanym dostępem do systemów informatycznych. W praktyce większość prób naruszenia bezpieczeństwa rozpoczyna się od próby przejęcia konta użytkownika poprzez odgadnięcie hasła, wykorzystanie wyciekłych danych uwierzytelniających, przeprowadzenie ataku słownikowego lub zastosowanie technik brute force.
Cyberprzestępcy wykorzystują zautomatyzowane narzędzia, które w bardzo krótkim czasie potrafią sprawdzić tysiące lub nawet miliony kombinacji haseł. Dodatkowo korzystają z publicznie dostępnych baz danych zawierających hasła pochodzące z wcześniejszych wycieków. Jeżeli użytkownik stosuje identyczne hasło w wielu systemach lub wykorzystuje łatwe do odgadnięcia kombinacje, prawdopodobieństwo skutecznego przejęcia konta znacząco wzrasta.
Odpowiednio skonfigurowana polityka haseł oraz mechanizmy blokowania kont utrudniają przeprowadzenie takich ataków, ograniczając liczbę prób logowania oraz wymuszając stosowanie silniejszych danych uwierzytelniających.
Zakres kontroli audytowej
Podczas audytu należy przeanalizować wszystkie ustawienia związane z uwierzytelnianiem użytkowników oraz ochroną kont przed nieuprawnionym dostępem. Kontrola powinna obejmować zarówno stacje robocze, jak i serwery, urządzenia administracyjne oraz systemy działające w środowiskach chmurowych.
W środowisku Windows analizowane są przede wszystkim ustawienia zasad grup (Group Policy), lokalnych polityk bezpieczeństwa oraz konfiguracja usług katalogowych, takich jak Active Directory. W systemach Linux weryfikacji podlegają moduły PAM (Pluggable Authentication Modules), konfiguracja plików systemowych odpowiedzialnych za uwierzytelnianie oraz ustawienia związane z blokowaniem kont.
Audyt powinien uwzględniać zarówno konta użytkowników standardowych, jak i konta administracyjne, techniczne oraz usługowe.
Weryfikacja polityki haseł
Jednym z pierwszych etapów kontroli jest analiza obowiązujących wymagań dotyczących tworzenia haseł.
Audytor powinien zweryfikować:
- minimalną długość hasła,
- wymagania dotyczące złożoności,
- możliwość stosowania prostych i przewidywalnych haseł,
- historię zapamiętywanych haseł,
- możliwość ponownego wykorzystania poprzednich haseł,
- okres ważności haseł,
- zasady dotyczące pierwszego logowania,
- sposób przechowywania haseł.
Nowoczesne podejście do bezpieczeństwa odchodzi od wymuszania bardzo częstych zmian haseł bez uzasadnienia. Zgodnie z zaleceniami NIST oraz wielu producentów bezpieczeństwa większe znaczenie ma stosowanie długich, unikalnych haseł oraz ich zmiana wyłącznie w przypadku podejrzenia kompromitacji lub naruszenia bezpieczeństwa.
Organizacja powinna również stosować mechanizmy uniemożliwiające wykorzystywanie haseł znajdujących się w publicznych bazach wycieków oraz słownikach najczęściej używanych haseł.
Weryfikacja blokowania kont
Mechanizm blokowania kont stanowi skuteczne zabezpieczenie przed automatycznym odgadywaniem haseł.
Podczas audytu należy sprawdzić:
- po ilu nieudanych próbach logowania konto zostaje zablokowane,
- jak długo trwa blokada,
- czy blokada wymaga interwencji administratora,
- w jaki sposób licznik błędnych prób jest resetowany po określonym czasie,
- czy polityka obejmuje wszystkie typy kont.
Brak mechanizmu blokowania kont umożliwia prowadzenie nieograniczonych prób logowania, co znacząco zwiększa skuteczność ataków brute force.
Jednocześnie ustawienia nie powinny być zbyt restrykcyjne. Zbyt niski próg blokady może prowadzić do ataków typu Denial of Service, polegających na celowym blokowaniu kont legalnych użytkowników poprzez wielokrotne podawanie błędnego hasła.
Weryfikacja kont administracyjnych
Polityka haseł dla kont uprzywilejowanych powinna być bardziej restrykcyjna niż dla standardowych użytkowników.
Audytor powinien sprawdzić czy:
- administratorzy stosują unikalne hasła,
- wykorzystywane są menedżery haseł,
- wdrożone MFA,
- lokalni administratorzy posiadają różne hasła na poszczególnych urządzeniach,
- stosowane są rozwiązania Windows LAPS lub inne systemy zarządzania hasłami uprzywilejowanymi.
Szczególną uwagę należy zwrócić na konta administratorów lokalnych posiadających identyczne hasła na wielu komputerach. Taka konfiguracja umożliwia przeprowadzanie ataków typu Pass-the-Hash oraz ułatwia przemieszczanie się atakującego pomiędzy urządzeniami.
Weryfikacja kont usługowych
Podczas kontroli należy również przeanalizować politykę haseł dla kont wykorzystywanych przez usługi systemowe.
Audytor powinien ustalić czy:
- hasła są regularnie zmieniane,
- konta posiadają minimalny wymagany zakres uprawnień,
- stosowane są konta zarządzane,
- możliwe jest interaktywne logowanie na konto usługowe,
- hasła nie są zapisane w plikach konfiguracyjnych w postaci jawnej.
Konta usługowe często pozostają niezmieniane przez wiele lat, co czyni je atrakcyjnym celem dla cyberprzestępców.
Metody prowadzenia kontroli
Ocena polityki haseł powinna obejmować zarówno analizę dokumentacji organizacyjnej, jak i konfiguracji technicznej systemów.
Środowiska Windows wykorzystują między innymi:
- Group Policy Management,
- Local Security Policy,
- PowerShell,
- Microsoft Security Compliance Toolkit,
- Microsoft Defender Vulnerability Management,
- Microsoft Intune.
W systemach Linux analiza obejmuje konfigurację modułów PAM, plików /etc/login.defs, /etc/security/, ustawień SSH oraz lokalnych zasad uwierzytelniania.
W dużych środowiskach organizacje coraz częściej wykorzystują narzędzia klasy Identity Governance oraz Privileged Access Management umożliwiające centralne zarządzanie politykami haseł.
Typowe niezgodności wykrywane podczas audytu
Do najczęściej spotykanych problemów należą:
- minimalna długość hasła wynosząca 6–8 znaków,
- brak wymagań dotyczących złożoności,
- możliwość ponownego wykorzystania poprzednich haseł,
- brak historii haseł,
- brak blokowania kont,
- bardzo wysoki próg blokady (np. 50 nieudanych prób),
- identyczne hasła administratorów lokalnych,
- współdzielone hasła administracyjne,
- konta usługowe z hasłami niezmienianymi od wielu lat,
- przechowywanie haseł w dokumentach lub arkuszach kalkulacyjnych,
- wykorzystywanie haseł znajdujących się w publicznych bazach wycieków.
Takie niezgodności znacząco zwiększają ryzyko przejęcia kont użytkowników oraz uzyskania nieautoryzowanego dostępu do systemów.
Ocena ryzyka
Nieprawidłowo skonfigurowana polityka haseł zwiększa prawdopodobieństwo skutecznego przeprowadzenia ataków polegających na odgadywaniu danych uwierzytelniających, wykorzystaniu wyciekłych haseł lub przejęciu kont administracyjnych.
Ryzyko należy uznać za wysokie szczególnie wtedy, gdy:
- brak jest blokowania kont,
- administratorzy stosują identyczne hasła,
- nie funkcjonuje uwierzytelnianie wieloskładnikowe,
- hasła są krótkie i przewidywalne,
- organizacja nie kontroluje jakości stosowanych haseł.
W przypadku systemów krytycznych nieprawidłowa polityka haseł może prowadzić do całkowitej kompromitacji infrastruktury oraz utraty poufności, integralności i dostępności danych.
Zalecenia audytowe
Organizacja powinna wdrożyć jednolitą politykę zarządzania hasłami obejmującą wszystkie systemy operacyjne oraz usługi informatyczne. Polityka ta powinna określać minimalne wymagania dotyczące długości i jakości haseł, zasady ich przechowywania oraz procedury postępowania w przypadku podejrzenia kompromitacji.
Zaleca się stosowanie długich haseł lub fraz hasłowych (passphrases), których długość wynosi co najmniej 14–16 znaków. Hasła powinny być unikalne dla każdego systemu i nie mogą pochodzić z publicznie dostępnych słowników ani baz wycieków.
Dla wszystkich kont uprzywilejowanych należy wdrożyć uwierzytelnianie wieloskładnikowe (MFA), a hasła administratorów lokalnych powinny być unikalne dla każdego urządzenia i zarządzane automatycznie z wykorzystaniem rozwiązań takich jak Windows LAPS lub systemy klasy Privileged Access Management.
Mechanizmy blokowania kont powinny być skonfigurowane w sposób ograniczający możliwość przeprowadzania ataków brute force, przy jednoczesnym zachowaniu równowagi pomiędzy bezpieczeństwem a dostępnością systemów. Organizacja powinna również regularnie analizować zdarzenia związane z nieudanymi próbami logowania oraz wykorzystywać je jako źródło informacji o potencjalnych próbach ataków.
Powiązanie z normami i dobrymi praktykami
Kontrola polityki haseł i blokowania kont jest zgodna z wymaganiami normy ISO/IEC 27001:2022 dotyczącymi zarządzania tożsamością, uwierzytelnianiem oraz kontrolą dostępu. Wspiera funkcję Protect w NIST Cybersecurity Framework 2.0, realizuje wymagania NIST SP 800-63 Digital Identity Guidelines dotyczące bezpiecznego uwierzytelniania oraz odpowiada zaleceniom CIS Controls v8 w zakresie zarządzania kontami użytkowników i ochrony danych uwierzytelniających. Dodatkowo uwzględnia rekomendacje CIS Benchmarks dla systemów Windows i Linux dotyczące konfiguracji zasad haseł oraz blokowania kont.
Podsumowanie
Polityka haseł oraz mechanizmy blokowania kont stanowią jeden z najważniejszych filarów bezpieczeństwa systemów operacyjnych. Nawet zaawansowane rozwiązania ochronne, takie jak systemy EDR, zapory sieciowe czy mechanizmy wykrywania włamań, nie zapewnią odpowiedniego poziomu bezpieczeństwa, jeżeli dane uwierzytelniające użytkowników będą łatwe do odgadnięcia lub możliwe do wielokrotnego sprawdzania bez żadnych ograniczeń.
Skuteczna polityka bezpieczeństwa powinna opierać się na stosowaniu długich i unikalnych haseł, wykorzystaniu uwierzytelniania wieloskładnikowego, odpowiednio skonfigurowanych mechanizmach blokowania kont oraz regularnym monitorowaniu prób logowania. Takie podejście znacząco ogranicza ryzyko przejęcia kont użytkowników i administratorów, zwiększając odporność organizacji na współczesne zagrożenia cybernetyczne.
W kolejnym podrozdziale zostanie omówione uwierzytelnianie wieloskładnikowe (MFA) oraz bezpieczeństwo logowania uprzywilejowanego, które stanowi naturalne uzupełnienie polityki zarządzania hasłami i tożsamością użytkowników.
Dziękuję Ci, za poświęcony czas na przeczytanie tego artykułu. Jeśli był on dla Ciebie przydatny, to gorąco zachęcam Cię do zapisania się na mój newsletter, jeżeli jeszcze Cię tam nie ma. Proszę Cię także o “polubienie” mojego bloga na Facebooku oraz kanału na YouTube – pomoże mi to dotrzeć do nowych odbiorców. Raz w tygodniu (niedziela punkt 17.00) otrzymasz powiadomienia o nowych artykułach / projektach zanim staną się publiczne. Możesz również pozostawić całkowicie anonimowy pomysł na wpis/nagranie.
Link do formularza tutaj: https://beitadmin.pl/pomysly
Pozostaw również komentarz lub napisz do mnie wiadomość odpisuję na każdą, jeżeli Masz jakieś pytania:).
