可在域级别上应用所有的帐户策略组策略设置。在帐户策略、帐户锁定策略和 Kerberos 策略内置的默认域控制器中提供了默认值。请记住,在 Microsoft Active Directory 中设置这些策略时,Microsoft Windows 仅允许一个域帐户策略:应用于域树根域的帐户策略。域帐户策略将成为属于该域的任何 Windows 系统的默认帐户策略。此规则的唯一例外情况是,当为组织单位定义了另外一个帐户策略时。组织单位 (OU) 的帐户策略设置将影响到该 OU 中任何计算机上的本地策略。本模块将通篇讨论其中每种类型的设置。
帐户策略
帐户策略是在域级别上实现的。Microsoft Windows Server 2003 域必须有一个针对该域的密码策略、帐户锁定策略和 Kerberos V5 身份验证协议。在 Active Directory 中任何其他级别上设置这些策略将只会影响到成员服务器上的本地帐户。如果有要求单独密码策略的组,应根据任何其他要求将这些组分段到另一个域或目录林。
在 Windows 和许多其他操作系统中,验证用户身份最常用的方法是使用秘密通行码或密码。确保网络环境的安全要求所有用户都使用强密码。这有助于避免未经授权的用户猜测弱密码所带来的威胁,他们通过手动的方法或工具来获取已泄密用户帐户的凭据。这一点对于管理帐户尤其有用。随本指南提供的 Microsoft Excel 工作簿“Windows Default Security and Services Configuration”(英文)为默认设置编制了文档。请单击此处下载。
注意:对于域帐户,每个域只能有一个帐户策略。必须在默认域策略或链接到域根的新策略中定义帐户策略,并且帐户策略要优先于由组成该域的域控制器强制实施的默认域策略。域控制器总是从域的根目录中获取帐户策略,即使存在应用于包含域控制器的 OU 的其他帐户策略。域的根目录是该域的顶层容器,不要与目录林中的根域相混淆;目录林中的根域是该目录林中的顶层域。
默认情况下,加入域的工作站和服务器(即域成员计算机)还为其本地帐户接收相同的帐户策略。但是,通过为包含成员计算机的 OU 定义帐户策略,可以使成员计算机的本地帐户策略区别于域帐户策略。
“最短密码长度”设置确定可以组成用户帐户密码的最少字符数。确定组织的最佳密码长度有许多不同的理论,但是,“通行码”一词可能比“密码”更好。在 Microsoft Windows 2000 及更高版本中,通行码可以相当长,并且可以包括空格。因此,诸如“I want to drink a $5 milkshake”之类的短语都是有效的通行码,它比由 8 个或 10 个随机数字和字母组成的字符串要强大得多,而且更容易记住。
不能直接修改 Windows Server 2003 策略中包括的这些规则。但是,可以创建一个新版本的 passfilt。dll,以应用不同的规则集。关于 passfilt。dll 的源代码,请参阅 Microsoft 知识库文章 151082“HOW TO: Password Change Filtering & Notification in Windows NT”,其网址为:http://support。microsoft。com/default。aspx?scid=151082(英文)。
同时,使用 Alt 键字符组合可大大增加密码的复杂性。但是,要求组织中的所有用户都遵守如此严格的密码要求可能会导致用户不满,并将导致帮助台极度繁忙。考虑在组织内实现这样一种要求,即使用 0128 – 0159 范围内的 Alt 字符作为所有管理员密码的一部分。此范围之外的 Alt 字符可表示标准的字母数字字符,而不会另外增加密码的复杂性。
用可还原的加密来存储密码(针对域中的所有用户)
“用可还原的加密来存储密码(针对域中的所有用户)”设置确定 Microsoft Windows Server 2003、Windows 2000 Server、Windows 2000 Professional 和 Windows XP Professional 是否使用可还原的加密来存储密码。
使用通过远程访问的 CHAP 身份验证或 Internet 验证服务 (IAS) 时要求启用此设置。质询握手身份验证协议 (CHAP) 是 Microsoft 远程访问和网络连接使用的一种身份验证协议。Microsoft Internet 信息服务 (IIS) 的摘要式验证也要求启用此设置。
此组策略设置可能的值是:
启用
禁用
没有定义
漏洞
此设置确定 Windows Server 2003 是否以更容易遭到暴力攻击的一种较弱格式来存储密码。
对策
将“用可还原的加密来存储密码(针对域中的所有用户)”的值设置为“禁用”。
潜在影响
使用通过远程访问的 CHAP 身份验证协议或 IAS 服务。IIS 中的摘要式身份验证要求将此值设置为“禁用”。将使用组策略逐个应用到每位用户是一种极其危险的设置,因为它要求在 Active Directory 用户和计算机管理控制台中打开适当的用户帐户对象。
警告:请永远不要启用此设置,除非业务要求比保护密码信息更为重要。
帐户锁定策略
试图登录到系统时多次不成功的密码尝试可能表示攻击者正在以试错法来确定帐户密码。Windows Server 2003 跟踪登录尝试,而且可以将操作系统配置为通过在预设时间段内禁用帐户来响应这种潜在攻击。随本指南提供的 Microsoft Excel 工作簿“Windows Default Security and Services Configuration”(英文)为默认设置编制了文档。
将“帐户锁定阀值”设置为“0”。这可确保帐户永不锁定。此设置可防止故意锁定全部或一些特定帐户的 DoS 攻击。另外,此设置还有助于减少帮助台的呼叫次数,因为用户不会将自己意外地锁定在帐户外。
由于它不能阻止暴力攻击,因此只有在下列要求均得到明确满足时才可以选择此设置:
密码策略强制所有用户使用由 8 个或更多字符组成的复杂密码。
强健的审核机制已经就位,可以在组织环境中发生一系列失败登录时提醒管理员。
如果不满足上述要求,请将“帐户锁定阀值”设置为足够高的值,以便用户能够在意外地错误输入几次密码时不会锁定自己的帐户,但可确保暴力密码攻击仍然会锁定帐户。在这种情况下,将该值设置为 50 次无效登录尝试是一个不错的建议。如上所述,此设置可以避免意外的帐户锁定,从而降低了帮助台的呼叫次数,但不能防止 DoS 攻击。
不设置此值,或者为此值设置的时间间隔太长都可能导致 DoS 攻击。攻击者对组织中的所有用户恶意执行大量的失败登录尝试,以锁定他们的帐户,如上所述。如果没有复位帐户锁定的策略,管理员必须手动解锁所有帐户。如果设置了合理的值,用户将被锁定一段时间,但在这段时间结束后,其帐户将自动解锁。
Kerberos 策略
在 Windows Server 2003 中,Kerberos V5 身份验证协议提供默认的身份验证服务机制,以及用户访问资源并在该资源上执行任务所必需的身份验证数据。通过缩短 Kerberos 票证的寿命,可降低攻击者窃取并成功使用合法用户凭据的风险。但这会增加授权开销。在大多数环境中都不需要更改这些设置。在域级别应用这些设置,在 Windows 2000 或 Windows Server 2003 Active Directory 域默认安装的默认域策略 GPO 中配置这些默认值。随本指南提供的 Microsoft Excel 工作簿“Windows Default Security and Services Configuration”(英文)为默认设置编制了文档。