Аудит и правоприменение минимальной длины паролей для некоторых версий Windows

Сводка

Windows 10 обновления, выпущенные 18 августа 2020 г., поддерживают следующие:

• События аудита, чтобы определить, поддерживают ли приложения и службы 15- или более длинные пароли.

• На контроллерах доменов Windows Server версии 2004 (DCS) должен быть пароль длиной не менее 15 символов.

Поддерживаемые версии Windows

Аудит длины паролей поддерживается в следующих версиях Windows. Минимальная длина пароля не менее 15 символов поддерживается в Windows Server версии 2004 и более поздних Windows.

Рекомендуемая развертывание

Рекомендации по развертыванию

Чтобы добавить поддержку аудита и принудительных действий по минимальной длине паролей, выполните указанные здесь действия.

1. Развертывание обновления для всех поддерживаемых Windows на всех контроллерах доменов.

   1. Контроллер домена. Обновления и последующие обновления обеспечивают поддержку на всех компьютерах с windows для проверки подлинности учетных записей пользователей или служб, настроенных для использования более 14-символьных паролей.

   2. Административная рабочая станция: разместите обновления на административных рабочих станциях, чтобы разрешить применение новых параметров групповой политики к DCS.

2. Вите параметр групповой политики MinimumPasswordLengthAudit в домене или лесу, где требуются более длинные пароли. Этот параметр политики должен быть включен в политику контроллера домена по умолчанию, связанную с контроллерами доменов в подразделении (OU).

3. Мы рекомендуем оставить политику аудита включенной в течение трех–шести месяцев, чтобы обнаружить все программы, которые не поддерживают пароли более 14 символов.

4. Отслеживайте домены для событий Directory-Services-SAM 16978, которые регистрируются в программном обеспечении, которое управляло паролями в течение трех–шести месяцев. Не нужно отслеживать события Directory-Services-SAM 16978, которые регистрируются в учетных записях пользователей.

   1. Если возможно, настройте в программном обеспечении более длинную длину паролей.

   2. Работайте с поставщиком программного обеспечения, чтобы обновить программное обеспечение для использования длинных паролей.

   3. Развернйте для этой учетной записи тонкая политика паролей, используя значение, которое соответствует длине пароля, используемой программным обеспечением.

   4. Для программного обеспечения, которое управляет паролями учетных записей, но не использует длинные пароли автоматически и не может быть настроено для использования длинных паролей, для этих учетных записей можно использовать тонкая политика паролей.

5. После того как будут устранены все события Directory-Services-SAM 16978, вйте минимальный пароль. Для этого выполните указанные ниже действия.

   1. Разместим версию Windows Server, которая поддерживает их применимый к всем DCs (включая Read-Only DCs).

   2. Включить групповую политику RelaxMinimumPasswordLengthLimits на всех DCS.

   3. Настройте групповую политику MinimumPasswordLength на всех DCs.

Групповая политика

Windows сообщений журнала событий

В рамках этой добавленной поддержки добавлены три новых сообщения журнала ид событий.

Руководство по изменению пароля программного обеспечения

Используйте максимальную длину пароля при установке пароля в программном обеспечении.

"Журнал"

Хотя общая стратегия безопасности Майкрософт строго ориентирована на будущее без паролей, многие клиенты не могут перейти от паролей в кратко-средний срок. Некоторые клиенты с вопросами безопасности хотят настроить минимальную длину пароля домена по умолчанию, которая превышает 14 символов (например, клиенты могут сделать это после того, как поместят пользователей в длинные пароли вместо традиционных коротких однотонных паролей). В поддержку этого запроса Windows обновления в апреле 2018 г. для Windows Server 2016 включили изменение групповой политики, увеличив минимальную длину пароля с 14 до 20 символов. Хотя это изменение оказалось для поддержки более длинных паролей, в конечном итоге было недостаточно и отклонено новое значение при применении групповой политики. Эти отказы были без комментариев и требуют подробного тестирования, чтобы определить, что система не поддерживает длинные пароли. Для Windows Server 2016 и Windows Server 2019 было включено обновление до уровня Диспетчера учетных записей безопасности (SAM), чтобы обеспечить правильную работу системы с минимальной длиной пароля более 14 символов. Для Windows Server 2016 и Windows Server 2019 было включено обновление до уровня Диспетчера учетных записей безопасности (SAM), чтобы обеспечить правильную работу системы с минимальной длиной пароля более 14 символов.

Параметр политики MinimumPasswordLength имеет допустимый диапазон от 0 до 14 в течение очень долгого времени (много разных вариантов) на всех платформах Майкрософт. Этот параметр применяется как к локальным Windows безопасности, так и к доменам Active Directory (и доменам NT4). Ноль (0) означает, что для какой-либо учетной записи не требуется пароль.

В более ранних версиях Windows пользовательский интерфейс групповой политики не включает настройку минимальной длины пароля длиной более 14 символов. Однако в апреле 2018 г. мы выпустили обновления Windows 10, которые добавили поддержку более 14 символов в пользовательском интерфейсе групповой политики в составе таких обновлений, как:

• KB 4093120: 17 апреля 2018 г. — KB4093120 (сборка ОС 14393.2214)

Это обновление содержит следующий текст заметки о выпуске:

"Увеличивает минимальную длину пароля в групповой политике до 20 символов".

Некоторые клиенты, которые установили выпуски за апрель 2018 г. и новые обновления, обнаружили, что им по-прежнему не удалось использовать более 14-символьных паролей. В ходе исследования было установлено, что на компьютерах с ролями DC, обслуживающих более 14-знаки паролей, определенных в политике паролей, необходимо установить дополнительные обновления. Включены следующие обновления Windows Server 2016, Windows 10, версии 1607, а также первоначальный выпуск контроллеров домена Windows 10 для входа в службу и запросов на проверку подлинности с более чем 14-символьными паролями:

• KB 4467684: 27 ноября 2018 г. — KB4467684 (сборка ОС 14393.2639)

Это обновление содержит следующий текст заметки о выпуске:

"Устранение проблемы, которая не позволяет контроллерам доменов применять политику паролей групповой политики, если минимальная длина пароля превышает 14 символов".

• KB 4471327: 11 декабря 2018 г. — KB4471321 (сборка ОС 14393.2665)

После установки обновлений с апреля 2018 г. по октябрь 2018 г. некоторые клиенты установили в политике более 14 паролей, которые фактически оставались неавторьными до обновлений за ноябрь 2018 г. и декабрь 2018 г., или контроллеры доменных имен, включенные в ос, для обслуживания более 14-знака паролей, что приводит к удалению связи времени и причинности между включенными функциями и приложением политики. Независимо от того, обновлялись ли вы одновременно с групповой политикой и контроллером домена, вы можете увидеть следующие побочные эффекты:

• Выявлены проблемы с приложениями, которые в настоящее время несовместимы с более чем 14-символными паролями.

• Выявлены проблемы, когда домены, которые состоят из сочетания выпусков Windows Server 2019 или обновленных DCS 2016, которые поддерживают более 14-знаки паролей и готовых DCS Windows Server 2016, которые не поддерживают более 14-символьных паролей (до тех пор, пока не будут установлены и установлены для Windows Server 2016).

• После установки KB4467684служба кластеров может не начаться с ошибки "2245 (NERR_PasswordTooShort)", если в групповой политике установлена минимальная длина пароля длиной более 14 символов.

  В этой известной проблеме указана политика минимальной длины пароля по умолчанию не более 14 символов. Мы работаем над решением этой проблемы и предоставим обновление в ближайшем выпуске.

Из-за предыдущих проблем поддержка более 14-знака паролей была удалена в обновлениях за январь 2019 г., что не позволяет использовать эту функцию.