Configuración de una política de contraseñas de dominio en Active Directory

Para garantizar un alto nivel de seguridad para las cuentas de usuario en el dominio de Active Directory, un administrador debe configurar e implementar una política de contraseñas de dominio. La política de contraseñas debe proporcionar suficiente complejidad, longitud de contraseña y la frecuencia de cambio de contraseñas de cuenta de usuario y servicio. Por lo tanto, puede dificultar que un atacante utilice la fuerza bruta o capture las contraseñas de los usuarios cuando se envían a través de una red.

Política de contraseñas en la política de dominio predeterminada

De forma predeterminada, para establecer requisitos comunes para las contraseñas de los usuarios en el dominio de AD, se utiliza la configuración de la Política de grupo (GPO). La política de contraseñas de las cuentas de usuario del dominio se configura en la Política de dominio predeterminada. Esta política está vinculada a la raíz del dominio y debe aplicarse a un controlador de dominio con el rol de emulador de PDC.

1. Para configurar la política de contraseñas de la cuenta de AD, abra la consola Administración de políticas de grupo (

   gpmc.msc

   );

2. Expanda su dominio y busque el GPO denominado Política de dominio predeterminada. Haz clic derecho y selecciona Editar;

   

3. Las políticas de contraseñas se encuentran en la siguiente sección de GPO: Configuración del equipo-> Políticas-> Configuración de Windows->Configuración de seguridad -> Políticas de cuenta -> Política de contraseñas;

4. Haga doble clic en una configuración de política para editarla. Para habilitar una configuración de política específica, marque Definir esta configuración de política y especifique el valor necesario (en la siguiente captura de pantalla, he establecido la longitud mínima de la contraseña en 8 caracteres). Guarde los cambios;

   

5. La nueva configuración de la política de contraseñas se aplicará a todas las computadoras del dominio en segundo plano en algún momento (90 minutos), durante el arranque de la computadora, o puede aplicar la política inmediatamente ejecutando el

   gpupdate /force

   dominio.

Puede cambiar la configuración de la política de contraseñas desde la consola de administración de GPO o mediante el cmdlet Set-ADDefaultDomainPasswordPolicy de PowerShell:

Set-ADDefaultDomainPasswordPolicy -Identity a-d.site -MinPasswordLength 10 -LockoutThreshold 3

Configuración básica de la política de contraseñas en Windows

Consideremos todas las configuraciones de contraseña de Windows disponibles. Hay seis configuraciones de contraseña en GPO:

• Hacer cumplir el historial de contraseñas: determina la cantidad de contraseñas antiguas almacenadas en AD, lo que evita que un usuario use una contraseña antigua.

  Sin embargo, el administrador del dominio o el usuario al que se le han delegado los permisos de restablecimiento de contraseña en AD puede establecer manualmente la contraseña anterior para la cuenta;

• Vigencia máxima de la contraseña: establece la caducidad de la contraseña en días. Después de que caduque la contraseña, Windows le pedirá al usuario que cambie la contraseña. Garantiza la regularidad de los cambios de contraseña por parte de los usuarios;

  Puede averiguar cuándo caduca la contraseña de un usuario específico mediante PowerShell:

  Get-ADUser -Identity j.werder -Properties msDS-UserPasswordExpiryTimeComputed | select-object @{Name="ExpirationDate";Expression= {[datetime]::FromFileTime($_."msDS-UserPasswordExpiryTimeComputed") }} 

• Longitud mínima de la contraseña: se recomienda que las contraseñas contengan al menos 8 símbolos (si especifica 0 aquí, la contraseña no es obligatoria);

• Edad mínima de la contraseña: establece la frecuencia con la que los usuarios pueden cambiar sus contraseñas. Esta configuración no permitirá que el usuario cambie la contraseña con demasiada frecuencia para volver a una contraseña anterior que le guste al eliminarla del Historial de contraseñas después de que la contraseña se haya cambiado varias veces seguidas. Como regla, vale la pena establecer 1 día aquí para que los usuarios puedan cambiar una contraseña por sí mismos si se ve comprometida (de lo contrario, un administrador tendrá que cambiarla);

• La contraseña debe cumplir con los requisitos de complejidad: si la política está habilitada, un usuario no puede usar el nombre de la cuenta en una contraseña (no más de 2 símbolos de un

  username

  o

  Firstname

  en una fila), también se deben usar 3 tipos de símbolos en la contraseña: números (0-9), letras mayúsculas, letras minúsculas y caracteres especiales ($, #, %, etc.). Además, para evitar el uso de contraseñas débiles (del diccionario de contraseñas), se recomienda auditar regularmente las contraseñas de los usuarios en el dominio AD;

• Almacene las contraseñas mediante el cifrado reversible: las contraseñas de los usuarios se almacenan cifradas en la base de datos de AD, pero en algunos casos debe otorgar acceso a las contraseñas de los usuarios a algunas aplicaciones. Si esta configuración de política está habilitada, las contraseñas están menos protegidas (casi texto sin formato). No es seguro (un atacante puede obtener acceso a la base de datos de contraseñas si el DC está comprometido; se pueden usar controladores de dominio de solo lectura (RODC) como una de las medidas de protección).

Si un usuario intenta cambiar una contraseña que no coincide con la política de contraseñas del dominio, aparecerá el mensaje de error:

Unable to update the password. The value provided for the new password does not meet the length, complexity, or history requirements of the domain.

Además, las siguientes configuraciones de contraseña deben configurarse en la sección GPO Contraseña de bloqueo de cuenta:

• Umbral de bloqueo de cuenta: el número de intentos fallidos de inicio de sesión (con una contraseña incorrecta) que puede realizar el usuario antes del bloqueo de su cuenta;

• Duración del bloqueo de la cuenta: cuánto tiempo se bloqueará una cuenta si el usuario ha ingresado la contraseña incorrecta varias veces;

• Restablecer contador de bloqueo de cuenta después de: la cantidad de minutos después de los cuales se restablecerá el contador de Umbral de bloqueo de cuenta.

La configuración predeterminada de las políticas de contraseñas en el dominio de AD se enumeran en la siguiente tabla:

En el kit de herramientas de cumplimiento de seguridad, Microsoft recomienda usar la siguiente configuración de directiva de contraseña:

• Hacer cumplir el historial de contraseñas: 24

• Antigüedad máxima de la contraseña: no establecida

• Antigüedad mínima de la contraseña: no establecida

• Longitud mínima de la contraseña: 14

• La contraseña debe cumplir con la complejidad: Habilitado

• Almacenar contraseñas usando encriptación reversible: Deshabilitado

¿Cómo verificar la política de contraseña actual en el dominio AD?

Puede ver la configuración actual de la política de contraseñas en la Política de dominio predeterminada en el

gpmc.msc

consola (en la pestaña Configuración).

También puede mostrar la información de la política de contraseñas usando PowerShell (el módulo AD PowerShell debe estar instalado en la computadora):

Get-ADDefaultDomainPasswordPolicy

ComplexityEnabled: True
DistinguishedName: DC=a-d,DC=com
LockoutDuration: 00:20:00
LockoutObservationWindow: 00:30:00
LockoutThreshold: 0
MaxPasswordAge: 60.00:00:00
MinPasswordAge: 1.00:00:00
MinPasswordLength: 8
objectClas : {domainDNS}
PasswordHistoryCount: 24
ReversibleEncryptionEnabled: False

Además, puede verificar la configuración actual de la política de contraseñas de AD en cualquier computadora de dominio usando el comando gpresult.

Múltiples políticas de contraseña en un dominio de Active Directory

El controlador de dominio, el propietario de la función FSMO del emulador de PDC, es responsable de administrar la política de contraseñas del dominio. Se requieren derechos de administrador de dominio para editar la configuración de Política de dominio predeterminada.

Inicialmente, solo podría haber una política de contraseñas en el dominio, que se aplica a la raíz del dominio y afecta a todos los usuarios sin excepción (hay algunos matices, pero hablaremos de ellos más adelante). Incluso si crea un nuevo GPO con una configuración de contraseña diferente y lo aplica a la unidad organizativa específica con los parámetros Herencia forzada y Bloquear, no se aplicará a los usuarios.

Antes de Active Directory en Windows Server 2008, solo se podía configurar una política de contraseñas por dominio. En las versiones más recientes de AD, puede crear varias políticas de contraseñas para diferentes usuarios o grupos mediante las Políticas de contraseñas detalladas (FGPP). Las políticas de contraseña granular le permiten crear y aplicar diferentes objetos de configuración de contraseña (PSO). Por ejemplo, puede crear un PSO con mayor longitud o complejidad de contraseña para cuentas de administrador de dominio, o hacer que las contraseñas de algunas cuentas sean más simples o incluso deshabilitarlas por completo.