Buscar cuentas con contraseña no requerida (contraseña en blanco)

En esta publicación, aprenderá cómo encontrar cuentas de usuario de Active Directory con PasswordNotRequired establecido en verdadero. Cuando un usuario está configurado con Contraseña no requerida, esto significa que puede tener una contraseña en blanco. También te mostraré cómo se configura este atributo y cómo eliminarlo.

¿Qué es el atributo PasswordNotRequired?

En Active Directory no existe ningún atributo llamado PasswordNotRequired, sino que es un valor almacenado en el atributo userAccountControl. Cuando una cuenta de usuario está configurada con PasswordNotRequired, esto significa que la cuenta de usuario puede tener una contraseña en blanco. Inicialmente, esto no deja la contraseña en blanco, pero permite al usuario establecer una contraseña en blanco cuando la cambia o la restablece.

La siguiente captura de pantalla muestra que el usuario test01 está configurado con una contraseña no requerida.

¿Cómo se configuran los usuarios con Contraseña no requerida (Contraseña en blanco)?

Hay varias formas en que se puede configurar un usuario para permitir una contraseña en blanco.

• Potencia Shell
• ADUC
• Cuentas creadas incorrectamente

Opción 1. PowerShell

A continuación se muestra un comando de PowerShell de ejemplo para establecer el indicador PasswordNotRequired en verdadero. Cuando ejecuta este comando, actualiza el valor de UserAccountControl (nuevamente, no existe ningún atributo real llamado PasswordNotRequired).

set-aduser -Identity test.user02 -PasswordNotRequired $true

Opción 2. ADUC

En Usuarios y equipos de Active Directory, puede editar una cuenta de usuario y establecer el valor de userAccountControl en 544. Esto no es algo que un administrador haría normalmente y cambiar este atributo puede ser un riesgo.

Opción 3. Cuentas creadas incorrectamente

Las cuentas de usuario de AD se pueden crear con un indicador incorrecto, esto significa que cuando se crea la cuenta, es posible que se establezca el indicador de contraseña no requerida (y otras opciones). Si utiliza una herramienta o secuencia de comandos de terceros para crear cuentas, asegúrese de verificar el valor de userAccountControl.

¿Cuáles son los riesgos de seguridad si un usuario está configurado con una contraseña en blanco?

Cuando un usuario está configurado sin contraseña (contraseña en blanco), plantea varios riesgos de seguridad.

• Acceso no autorizado: sin contraseña, cualquier persona que conozca el nombre de la cuenta puede iniciar sesión y acceder a los datos de la empresa.
• Cuentas comprometidas: los atacantes pueden explotar fácilmente cuentas con contraseñas en blanco para acceder a datos confidenciales, lanzar ataques de phishing y propagar virus.
• Infracciones de cumplimiento: muchos estándares de cumplimiento exigen que los usuarios tengan una contraseña. El uso de contraseñas en blanco puede provocar infracciones y repercusiones legales.
• Violación de datos: las contraseñas en blanco facilitan que personas no autorizadas accedan a los datos de la empresa, lo que puede provocar una filtración de datos.

Sin autenticación de contraseña, todo lo que necesita es el nombre de la cuenta para iniciar sesión en una computadora con Windows.

Tengo una política de contraseña de dominio configurada con Política de grupo, ¿aún pueden los usuarios establecer una contraseña en blanco?

Sí.

Por ejemplo, la política de contraseñas de mi dominio está configurada para requerir una longitud mínima de contraseña de 8 caracteres.

Incluso con la política anterior implementada, los usuarios pueden configurarse con una contraseña en blanco, iniciar sesión en las computadoras y acceder a los datos de la empresa. Cuando una cuenta está configurada con PasswordNotRequired, básicamente omite la política de contraseña del dominio. Esta es una gran preocupación de seguridad y por eso es importante informar y auditar la configuración de contraseña de la cuenta de usuario.

Cómo encontrar usuarios de Active Directory con PasswordNotRequired (se permite contraseña en blanco)

Es muy importante realizar periódicamente una auditoría de sus cuentas de usuario de Active Directory para comprobar si hay configuraciones inseguras. Esto se puede hacer con PowerShell y herramientas de terceros.

Con PowerShell puedes encontrar fácilmente todos los usuarios que no requieren contraseña con el siguiente comando.

Get-ADUser -Filter {PasswordNotRequired -eq $true} -properties PasswordNotRequired | select name, PasswordNotRequired

Con AD Pro Toolkit hay múltiples informes de seguridad y contraseñas para ayudarlo a auditar a sus usuarios. Estos informes se pueden configurar para que se ejecuten según un cronograma automatizado.

Informes de usuario > Informes de contraseña > Usuarios que no requieren contraseña.

Informes de usuario > General > El control de cuentas de usuario no es 512

Este informe le mostrará todas las cuentas que no son normales, lo que significa que tienen una bandera especial configurada.

AD Pro Toolkit incluye más de 200 informes integrados para usuarios, computadoras, grupos, seguridad y más.

Descargue prueba gratis.

Cómo eliminar PasswordNotRequired para usuarios de AD

Hay varias formas de eliminar PasswordNotRequired si está configurado en una cuenta.

Opción 1. PowerShell

Con PowerShell puede usar el siguiente comando, esto cambia el valor de PasswordNotRequire a falso.

Set-ADUser -itentity test.user1 -PasswordNotRequired $false

Opción 2. ADUC

En Active Directory puede cambiar el valor del usuario userAccountControl a 512. Esto hará que la cuenta vuelva a la normalidad.

Opción 3. Eliminar PasswordNotRequired para varias cuentas

Si tiene varias cuentas que necesitan eliminar PasswordNotRequire, puede utilizar AD Pro Toolkit. Esta herramienta le permite modificar fácilmente cuentas de usuario de forma masiva.

Paso 1. Creó un csv con una columna de ID y una columna de control de cuenta de usuario.

Ingrese los usuarios en la columna ID y establezca el valor de userAccountControl en 512.

Paso 2. Ejecute la herramienta de actualización masiva de usuarios

Haga clic en el botón Seleccionar plantilla y seleccione su archivo csv.

Haga clic en Ejecutar para iniciar el proceso de actualización.

Automatizar la búsqueda de cuentas de usuarios inseguras y riesgosas

Verificar manualmente las cuentas en Active Directory en busca de configuraciones inseguras puede llevar mucho tiempo y ser propenso a errores. Además, PowerShell puede ser complejo y requiere cambios constantes para ejecutar informes específicos.

AD Pro Toolkit proporciona más de 200 informes integrados que se pueden ejecutar con solo hacer clic en un botón. A continuación se muestran algunos informes que pueden ayudarle a encontrar problemas de seguridad.

• Usuarios que no requieren contraseña
• Usuarios con una contraseña configurada para no caducar nunca
• Usuarios que nunca han cambiado su contraseña
• Usuarios con contraseña caducada
• Intentos de contraseña incorrectos
• Usuarios con cuenta que no caduca
• Usuarios con una cuenta caducada
• Cuentas inactivas en x días
• Usuarios que no han iniciado sesión en los últimos x días
• Usuarios no protegidos contra eliminación accidental
• Administradores con contraseñas antiguas

Resumen

Las cuentas de usuario configuradas con una contraseña en blanco suponen un enorme riesgo para la seguridad. Se recomienda encarecidamente escanear las cuentas de su dominio y encontrar cualquier cuenta que esté configurada con el indicador PasswordNotRequire. Además, debes realizar un análisis en busca de cuentas inseguras de forma regular, te recomiendo al menos una vez al mes. En algunos entornos, es posible que necesite realizar una auditoría con más frecuencia o incluso en tiempo real.

En esta guía, le mostré qué es el atributo PasswordNotRequired, cómo se configuran las contraseñas en blanco y cómo escanear su dominio en busca de cuentas que no requieren contraseña establecida en verdadero.

También te puede interesar:

• Encuentre usuarios con contraseña configurada para que nunca caduque
• Obtenga usuarios REAL última hora de inicio de sesión
• Informar a todos los usuarios la fecha del último cambio de contraseña