Como lidar com ataques maliciosos de senha e reduzir os custos envolvidos no atendimento a bloqueios legítimos de conta

Nesta era de TI, a rede é a chave para a maioria das operações comerciais. Todo acesso a qualquer sistema em um domínio de rede é, portanto, confiado por meio de contas de usuário e mediante a aprovação correta da senha do usuário. Como dados comerciais críticos e transações são compartilhados na rede, tentativas ilícitas de acesso a contas são uma perspectiva atraente para invasores que tentam superar suas próprias intenções criminosas. Assim, o bloqueio de contas e o uso de senhas ajudam a combater tais práticas abusivas.

A Microsoft recomenda usar o recurso de bloqueio de conta de acordo com os requisitos de segurança de sua organização para ajudar a desencorajar usuários mal-intencionados e ataques automatizados que tentam descobrir senhas de usuários. Isso porque a maioria dos ataques hoje em dia é automática e gerada por software; ter políticas de bloqueio de conta do Active Directory muito permissivas abre espaço para ameaças sérias.

Colocando os fundamentos em ordem

Usuários maliciosos tentarão adivinhar várias senhas durante um ataque baseado em senha. Portanto, a primeira e mais importante coisa a fazer seria reforçar configurações de senha complexas para desestimular oportunidades de ataque bem-sucedidas.

Por exemplo, se você impor a complexidade da senha com um comprimento de senha de 6 caracteres e definir o vencimento da senha para 60 dias, um usuário poderá escolher entre uma permutação de 26 caracteres minúsculos, 26 caracteres maiúsculos, 32 caracteres especiais e 10 números.

Isso significa que:

• 26 + 26 + 32 + 10=94 caracteres possíveis em uma senha
• Política de comprimento de senha=6
• 946=689.869.781.056 permutações únicas de senhas

Dentro do intervalo de expiração de senha definido de 60 dias, o usuário malicioso teria que fazer 133.076 tentativas de senha a cada segundo para tentar todas as senhas possíveis durante a vida útil limitada daquela senha.

Para diminuir ainda mais as chances de descoberta acidental de senhas, você pode escolher um comprimento de 7 caracteres. Com as mesmas configurações e o comprimento da senha de 7, as possíveis permissões de senha superam 64 trilhões (947=64.847.759.419.264). Assim, políticas rigorosas de senha podem desempenhar um papel significativo na defesa contra ataques maliciosos.

Configurações de Política de Senhas Recomendadas

(Fonte: http://technet.microsoft.com)

Verifique a tabela para ver as configurações de política de senha recomendadas para várias configurações de segurança:

Figura: 'Custo' aqui se refere ao custo de inatividade (perda de produtividade) para o usuário cuja conta foi bloqueada, bem como o custo de suporte para atender à conta bloqueada.

Mantenha-se informado sobre as atualizações

Além disso, você deve se certificar de aplicar os últimos pacotes de serviço e hotfixes a todos os controladores de domínio, servidores e clientes para confirmar que as configurações de segurança de conta esperadas estão aplicadas e garantir que os controladores de domínio e os sistemas operacionais estejam atualizados.

Assegure-se de que a auditoria esteja “ATIVADA”

Ao fazer login, existem dois protocolos de autenticação primários usados pelo Windows: NTLM e Kerberos. Portanto, para descobrir se os bloqueios de conta eram ameaças reais ou apenas bloqueios dentro de usuários designados, você deve ativar essas configurações antecipadamente:

1. Ative a auditoria no nível do domínio
2. Ativar o registro em log do Netlogon
3. Ativar o registro em log do Kerberos

A Microsoft recomenda que você revise frequentemente os logs de eventos de Segurança de todos os computadores para estar ciente de quaisquer padrões de bloqueio que possam indicar um ataque ou erro do usuário. Os valores necessários para identificar usuários maliciosos e alvos específicos podem ser obtidos somente após você implementar a auditoria previamente.

Assim, essas configurações podem ajudar a prevenir um ataque de força bruta nas senhas dos usuários.

Um fator dissuasor a considerar

Em um ambiente onde você define políticas de senha tão rigorosas e configurações de bloqueio de conta, é muito provável que muitos usuários reais possam esquecer suas senhas complexas ou que várias tentativas incorretas de senha levem a um grande número de bloqueios. Isso pode ser outro fator diferenciador, pois envolve altos custos e aumenta a carga para a equipe de suporte.

É bastante óbvio que, quanto mais forte for a segurança implementada, maior será o custo associado à manutenção dessa segurança. 'Custo' abrange tanto a perda de produtividade do usuário quanto o custo de suporte para atender à conta bloqueada.

Para manter o equilíbrio entre as demandas de segurança ideal e os custos envolvidos, soluções de autoatendimento para redefinição de senhas podem desempenhar um papel vital, pois os usuários finais podem mitigar diretamente esses problemas. O Lepide Active Directory Self Service (LADSS) permite que os usuários redefinam sua senha/desbloqueiem a conta diretamente da tela de login (ALT + CTRL + DEL) e eliminem o tempo de inatividade e os custos do suporte de TI.

Para saber mais sobre o LADSS e ver como ele pode efetivamente reduzir custos, visite https://www.lepide.com/active-directory-self-service/