auditorías y mitigaciones de seguridad de contraseñas

0

Al leer este artículo sobre la detección de contraseñas incorrectas en la empresa , quería preguntarle si alguien aquí ha intentado realizar una auditoría como esta. Sería un ataque efectivo: puede haber una buena política de complejidad de contraseña y una buena política de bloqueo de cuenta, pero si alguien solo quiere probar las 100 contraseñas peores que aún coinciden con la política y cambiar el nombre de usuario con cada intento de inicio de sesión en lugar de contraseña, entonces parece que dado que eventualmente encontrarán un usuario con una contraseña incorrecta. Así que mis preguntas son:

  1. ¿Alguien ha intentado esto en sus hashes de Active Directory? ¿Cómo lo vendiste a la gerencia?
  2. ¿Alguien ha utilizado algunas estrategias de mitigación, como mantener una lista de 100 a 500 hashes de contraseñas fáciles que aún cumplen con la política de contraseñas y bloquean a los usuarios para que no las usen? ¿Qué tan efectivo sería esto?
pregunta mcgyver5 08.10.2015 - 19:03
fuente

2 respuestas

3

Sí, regularmente. Para muchos de mis clientes, creamos políticas que requieren al menos auditorías anuales de las contraseñas en todos los dispositivos, incluido Windows AD, que comprueban las cuentas con las 500 contraseñas más populares (y también una lista de contraseñas derivadas de sus nombres, etc. usando varias codificaciones ). Las cuentas en incumplimiento se marcan como obligatorias en el próximo inicio de sesión y se recuerda a los usuarios la política de seguridad de la contraseña.

La administración, en todos los casos, ha comprendido los riesgos de no verificar este tipo de contraseña débil y ha sido de apoyo. Dado que el número de violaciones casi siempre disminuye año tras año, la "venta" a la gerencia parece ser más fácil.

    
respondido por el David Scholefield 08.10.2015 - 19:47
fuente
0

El episodio 436 de Security Weekly tenía una sección sobre descifrado de contraseñas que vale la pena revisar si esto es Nuevo terreno para ti. Sobre la efectividad, puedes tener largas discusiones, como lo han demostrado los hackeos recientes. Todas las políticas de contraseña básicamente obligan a las personas a crear contraseñas en un espacio de nombres más pequeño y luego sin políticas de contraseña estrictas. Hoy en día, la mayoría de las contraseñas comienzan con un carácter de capital y terminan con uno o más números que en la mayoría de los casos reflejan el mes o el año.

Y venderlo a la gerencia depende de la organización. Hacia mi cliente actual fue más fácil venderlos y detectar antes un (posible) abuso con un desbloqueo y restablecimiento más sencillo de las cuentas, y agregar dos factores de autenticación para servicios públicos o servicios con datos / procesos / cuentas de alto riesgo. Además, un buen proceso de unión y abandono automatizado redujo mucho el riesgo.

¿Todavía hacemos una contraseña de crack? Sí, pero en su mayoría incidental durante una auditoría. La razón principal fue que asignamos el dinero a otras medidas preventivas ya que no pudimos verificar si las contraseñas no se reutilizaron fuera de la empresa, por ejemplo. Nosotros, desde "seguridad y cumplimiento", pasamos del departamento sin cargo al departamento que le permite a la empresa hacer sus negocios de forma segura y con menos riesgos. Esto resultó en horas más productivas y menos interrupciones para los clientes y usuarios.

Así que descubra cómo puede motivar a su administración, ya que algunos quieren tener todas las garrapatas que deben tener para el auditor / contador y no quieren pagar de más. Otros pueden estar dispuestos a arriesgarse y poner algo de dinero en efectivo, siempre y cuando puedan obtener mayores ganancias.

Desde un punto de vista técnico, es genial tener más conciencia y llevar a su organización a un nivel superior.

    
respondido por el hspaans 09.10.2015 - 15:49
fuente