Поиск по сайту:

Политика блокировки учетной записи: Руководство по настройке

В этом руководстве вы узнаете о трех настройках политики блокировки учетных записей и о том, как правильно настроить каждую настройку политики.

Я буду ссылаться на рекомендуемые настройки политики блокировки учетных записей как из Основы безопасности Windows (также известной как инструментарий безопасности Microsoft), так и из стандартов CIS.

Содержание:

  • Что такое политики блокировки учетных записей?

  • Настройки и лучшие практики политики блокировки учетной записи

    • Длительность блокировки учетной записи
    • Порог блокировки учетной записи
    • Сбросить счетчик блокировки учетной записи после
  • Как создать политику блокировки аккаунта

Что такое политики блокировки учетных записей?

Политика блокировки учетной записи - это набор из трех настроек групповой политики, которые определяют, когда и на сколько времени учетная запись пользователя должна быть заблокирована.

Эта политика имеет решающее значение для безопасности, так как она может помочь предотвратить доступ злоумышленников или хакеров к вашей учетной записи и компьютерным системам.

Что такое лок-аут?

Когда у вас настроена политика блокировки учетной записи, учетная запись пользователя будет заблокирована после определенного числа неудачных попыток входа.

Например, если хакер три раза введет неверный пароль, аккаунт будет заблокирован, если правильно настроена политика блокировки. Это помогает предотвратить несанкционированный доступ к вашей сети. Если политика не настроена или была настроена неправильно, хакер мог бы продолжать угадывать пароль аккаунта.

По умолчанию в Active Directory нет политики блокировки учетных записей.

В следующем разделе я пройду по каждому параметру политики, его значению по умолчанию и рекомендованным настройкам.

Связано: Как найти источник блокировок учетной записи

Настройки политик блокировки учетных записей и лучшие практики

В группової політиці настройки блокировки находятся в:

Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Политики учетных записей -> Политика блокировки учетной записи

Вот скриншот настроек по умолчанию. По умолчанию эти политики настройки не определены.

Часто эти параметры настраиваются с помощью групповой политики по умолчанию для домена, но вы можете добавить их в новую или существующую групповую политику. Решение за вами.

Длительность блокировки учетной записи

Настройка времени блокировки учетной записи определяет количество минут, в течение которых учетная запись будет заблокирована, прежде чем она автоматически разблокируется.

Если вы установите эту политику на 0, то учетная запись не будет автоматически разблокирована и должна быть разблокирована вручную администратором.

Например, если продолжительность блокировки учетной записи была установлена на 15 минут, и пользователь «joe.smith» был заблокирован, учетная запись автоматически разблокируется через 15 минут.

Рекомендуемые настройки:

  • Базовая линия безопасности Windows: 15 минут
  • Стандарты СНГ: 15 минут или более

Порог блокировки учетной записи

Параметр порога блокировки учетной записи определяет количество неудачных попыток входа в систему, после которых учетная запись пользователя будет заблокирована.

Когда аккаунт заблокирован, его нельзя использовать, пока он не будет вручную сброшен или автоматически сброшен по политике длительности блокировки.

Например, если порог блокировки был установлен на 5, и пользователь «joe.smith» попытался войти в систему 5 раз с неправильным паролем, аккаунт был бы заблокирован. И Джо не смог бы войти, пока аккаунт не будет вручную разблокирован администратором или сброшен в соответствии с политикой длительности блокировки.

Рекомендуемые настройки:

  • Базовая конфигурация безопасности Windows: 10
  • Бenchmarks СНГ: 5 или меньше, но не 0

Microsoft говорит:

Порог, который вы выбираете, является балансом между операционной эффективностью и безопасностью, и он зависит от уровня риска вашей организации. Чтобы учесть возможные ошибки пользователей и предотвратить атаки методом подбора, базовые рекомендации по безопасности Windows рекомендуют использовать значение 10 как приемлемую отправную точку для вашей организации.

https://learn.microsoft.com/ru-ru/windows/security/threat-protection/security-policy-settings/account-lockout-threshold

На мой взгляд, я думаю, что 10 попыток ввода пароля - это слишком много. Я бы порекомендовал 5 или меньше для порога блокировки.

Сбросить счетчик блокировки учетной записи после

Эта настройка политики определяет время в минутах, через которое счетчик неудачных попыток входа обнуляется до 0.

Например, если пользователь «joe.smith» пытается войти в систему и вводит неверный пароль, это увеличит счётчик неудачных попыток входа. Эта политика сбросит этот счётчик до 0.

Рекомендуется установить эту политику на уровень, не превышающий продолжительность блокировки учетной записи.

Рекомендуемые настройки:

  • Базовая линия безопасности Windows: 15 минут
  • Стандарты СНГ: 15 минут или более

Итак, теперь, когда вы знаете, что делает каждая настройка и какие настройки рекомендуются, давайте пройдемся по созданию политики блокировки аккаунта.

Как создать политику блокировки аккаунта

Для этих шагов я буду использовать рекомендуемые настройки из бенчмарка CIS.

Шаг 1: Проверьте политику блокировки учетной записи с помощью PowerShell

Перед изменением или созданием новой политики блокировки домена, разумно проверить текущую политику блокировки вашего домена.

Вы можете легко сделать это с помощью следующей команды PowerShell.

Get-ADDefaultDomainPasswordPolicy | Select LockoutDuration,LockoutObservationWindow,LockoutThreshold | FL

Скриншот ниже сделан в моей тестовой лаборатории.

Шаг 2: Отредактируйте политику домена по умолчанию

Если вы предпочитаете, вы можете добавить эти настройки в другую GPO или создать новую. Microsoft по умолчанию включает политику паролей в политику по умолчанию для домена, поэтому я предпочитаю держать политику блокировки в той же GPO.

Шаг 3: Измените политику блокировки учетной записи

В политике домена по умолчанию перейдите в раздел политики блокировки учетных записей.

Конфигурация компьютера -> Политики -> Настройки Windows -> Настройки безопасности -> Политики учетных записей -> Политика блокировки учетной записи

Чтобы изменить настройки каждой политики, просто дважды щелкните по политике, чтобы отредактировать ее настройки. Например, я открыл «Продолжительность блокировки учетной записи», ввел 30 и нажал ok.

Настройте 3 параметра политики в соответствии с вашими требованиями. Снова я буду использовать рекомендуемые настройки CIS.

  • Продолжительность блокировки аккаунта: 30 минут
  • Порог блокировки учетной записи: 5 неверных попыток входа
  • Сбрасывать счетчик блокировки учетной записи через: 30 минут

По завершении все 3 настройки политики должны быть определены.

Шаг 4: Протестируйте политику блокировки учетной записи

Чтобы проверить попытку политики, выполните вход и введите неправильный пароль 5 раз (или сколько бы вы ни установили в качестве порога блокировки), и учетная запись должна быть заблокирована.

Ниже приведен скриншот моего аккаунта, который был заблокирован после 5 неудачных попыток входа.

Теперь мне придется ждать 30 минут или попросить администратора вручную разблокировать мою учетную запись, прежде чем я смогу снова попытаться войти.

На этом этот гид заканчивается.

Если у вас есть вопросы или комментарии, пожалуйста, напишите их ниже.