49076 (666151), страница 2
Текст из файла (страница 2)
В следующих разделах данной главы «Настройка политик паролей», «Настройка политик блокировки учетных записей» и «Настройка политик Kerberos» описаны отдельные процедуры для работы с политиками учетных записей. Следующий раздел данной главы «Просмотр действующих политик» расскажет Вам больше о просмотре действующих политик на локальном компьютере.
Просмотр действующих политик
Во время работы с политиками учетных записей и присвоением прав пользователей Вам часто бывает необходимо просмотреть политику, действующую на локальную систему. Действующей является применённая на данный момент политика и, как описано в Главе 4 «Управление Групповой политикой» , она зависит от последовательности, в которой политики были применены.
Выполните следующие шаги, чтобы просмотреть политику, действующую на локальную систему:
| 1. | Откройте параметры локальной политики для системы, с которой Вы хотите работать, как показано в разделе Главы 4 «Управление локальными групповыми политиками », или выберите Параметры локальной политики (Local Policy Settings) в меню Администрирование (Administrative Tools) (если эти инструменты установлены и Вы работаете на компьютере, который хотите проверить). |
| 2. | Откройте узел политики, которую Вы хотите проверить. На Рисунке 8-4 изображен узел Политика паролей. |
| 3. | В случае локальных политик, графа Параметры компьютера (Computer Management) заменена графами Локальные параметры (Local Setting) и Действующие параметры (Effective Setting). Графа Локальные параметры (Local Setting) отображает параметры локальной политики. Графа Действующие параметры (Effective Setting) отображает параметры политик, примененные на данном локальном компьютере. |
| 4. | Если Вы столкнулись с конфликтами политик, пересмотрите разделы «В каком порядке применять несколько политик? » и «Когда применяются групповые политики? » Главы 4. |
Настройка политик учетных записей
Как Вы узнали из предыдущего раздела, существует три типа политик для управления учетными записями: политики паролей, политики блокировки учетных записей и политики Kerberos. Следующий раздел описывает настройку каждой из этих политик.
Рисунок 8-4. Локальные политики отображают как действующие параметры, так и локальные параметры.
Настройка политик паролей
Политики паролей контролируют безопасность паролей и они включают:
| • | Требовать неповторяемости паролей |
| • | Максимальный срок действия паролей |
| • | Минимальный срок действия паролей |
| • | Минимальная длина пароля |
| • | Пароль должен отвечать требованиям сложности |
| • | Хранить пароли всех пользователей в домене, используя обратимое шифрование |
Использование этих политик описано в следующих разделах.
Требовать неповторяемости паролей
Политика «Требовать неповторяемости паролей» определяет, как часто старые пароли могут быть использованы повторно. С помощью этой политики Вы можете побудить пользователей к выбору паролей, не входящих в общеизвестный набор. Windows 2000 может хранить до 24 паролей для каждого пользователя, но по умолчанию хранит в истории паролей только один.
Чтобы выключить эту функцию, установите размер истории паролей равным нулю. Чтобы включить – установите длину истории паролей, используя поле «хранимых паролей». В этом случае Windows 2000 будет отслеживать старые пароли с помощью истории паролей, которая уникальна для каждого пользователя, и пользователи не смогут заново использовать любой из хранимых паролей.
Примечание. Вы не должны разрешать пользователям менять пароли немедленно, чтобы они не смогли обойти политику «Требовать неповторяемости паролей». Это помешает пользователям изменять свои пароли несколько раз подряд, чтобы вернуться к старым паролям.
Максимальный срок действия паролей
Политика «Максимальный срок действия паролей» определяет, как долго пользователи могут пользоваться паролями перед их обязательной сменой. Целью этой политики является периодически заставлять пользователей менять их пароли. При использовании этой возможности установите значение, которое более всего подходит для вашей сети. Как правило, следует указывать тем меньший срок, чем выше уровень безопасности, и наоборот.
Срок действия пароля по умолчанию составляет 42 дня, но Вы можете присвоить ему любое значение от 0 до 999. Значение 0 означает, что срок действия пароля никогда не истекает. Несмотря на то, что, возможно, Вы хотели бы установить неистекающий срок действия пароля, пользователи должны менять пароль регулярно для поддержания безопасности сети. Если требования к безопасности высоки, подойдут значения 30, 60 или 90 дней. Если безопасность не очень важна, то подойдут значения 120, 150 или 180 дней.
Примечание. Windows 2000 уведомляет пользователей о приближении окончания срока действия пароля. Если до окончания срока действия пароля остается менее 30 дней, то пользователи каждый раз во время входа в систему видят предупреждение о необходимости сменить пароль в течении определенного срока.
Минимальный срок действия паролей
Политика «Минимальный срок действия паролей» определяет, как долго пользователи должны сохранять свой пароль перед тем, как смогут его сменить. Вы можете использовать это поле, чтобы помешать пользователям обманывать систему паролей путем ввода нового пароля и дальнейшей его замены на старый.
Windows 2000 по умолчанию позволяет пользователям изменять пароли немедленно. Чтобы помешать этому, установите определенный минимальный срок. Приемлемые значения этого параметра находятся в промежутке от трех до семи дней. Таким образом, ваши пользователи будут менее склонны к использованию бывших в употреблении паролей, располагая при этом возможностью при желании поменять их в приемлемый срок.
Минимальная длина пароля
Политика «Минимальная длина пароля» устанавливает минимальное количество символов для пароля. Если Вы не меняли параметры, установленные по умолчанию, Вам придется это сделать очень скоро. По умолчанию разрешены пустые пароли (пароли, в которых нет символов), что определенно не является правильным подходом.
Как правило, из соображений безопасности, Вам понадобятся пароли по меньшей мере из восьми символов. Причиной этому является то, что длинные пароли обычно труднее взломать, чем короткие. Если Вам необходимо обеспечить более серьезную безопасность, установите минимальную длину паролей 14 символов.
Пароль должен отвечать требованиям сложности
Помимо основных политик для управления паролями и учетными записями, Windows 2000 включает средства для создания дополнительных элементов управления паролями. Эти возможности доступны в фильтрах паролей, которые могут быть установлены на контроллер домена. Если Вы установили фильтр пароля, разрешите политику «Пароль должен отвечать требованиям сложности». В этом случае все пароли должны будут соответствовать требованиям безопасности фильтра.
Например, стандартный фильтр Windows NT (PASSFILT.DLL) требует использования безопасных паролей, которые соответствуют следующим рекомендациям:
| • | Пароли должны быть не менее шести символов в длину. |
| • | Пароль не должен содержать имя пользователя, такие как «stevew», или части его полного имени, такие как Steve. |
| • | Пароли должны использовать три или четыре доступных типа символов: строчные буквы, заглавные буквы, цифры и специальные символы. |
Хранить пароли, используя обратимое шифрование
Пароли, хранящиеся в базе данных паролей, зашифрованы. В общем случае, шифрование не может быть снято. Если Вы хотите разрешить отмену шифрования, примените политику «Хранить пароли всех пользователей в домене, используя обратимое шифрование». Пароли будут храниться с использованием обратимого шифрования и смогут быть восстановлены в аварийной ситуации. Случаи с забыванием пароля к таковым не относятся. Любой администратор может изменить пароль пользователя.
Настройка политик блокировки учетных записей
Политики блокировки учетных записей контролируют, как и когда учетные записи блокируются доменом или локальной системой.
Эти политики:
| • | Пороговое значение блокировки |
| • | Блокировка учетной записи на (Длительность блокировки учетной записи) |
| • | Сброс счетчика блокировки через |
Пороговое значение блокировки
Политика «Пороговое значение блокировки» устанавливает количество попыток входа в систему, после которого учетная запись будет заблокирована. Если Вы решили использовать блокировку учетных записей, нужно установить в этом поле значение, предотвращающее несанкционированное проникновение, но оставляющее достаточное количество попыток пользователям, испытывающим трудности при доступе к своим учётным записям
Основной причиной, по которой пользователи не могут получить доступ к своей учетной записи с первого раза, является то, что они забыли свой пароль. В этом случае им может понадобиться несколько попыток, чтобы войти в систему. У пользователей рабочей группы также могут быть проблемы с доступом к удаленной системе, в которой их текущий пароль не совпадает с ожидаемым удаленной системой.
Если это произойдет, несколько неправильных попыток входа могут быть записаны удаленной системой до того, как пользователь получит возможность ввести верный пароль. Причиной является то, что Windows 2000 может попытаться автоматически войти на удаленную систему. В доменном окружении этого не произойдет, благодаря функции «Один вход».
Вы можете установить для порога блокировки любое значение от 0 до 999. Значение порога блокировки по умолчанию установлено равным 0, это значит, что учетная запись не будет блокироваться из-за неправильных попыток входа. Любое другое значение устанавливает определенный порог блокировки. Помните, что чем выше значение порога блокировки, тем выше риск, что хакер сможет получить доступ к вашей системе. Приемлемые значения для этого порога находятся между 7 и 15. Это достаточно много, чтобы исключить ошибку пользователя и достаточно мало, чтобы отпугнуть хакеров.
Длительность блокировки учетной записи
При превышении порога блокировки, политика «Блокировка учетной записи» устанавливает её длительность. Вы можете установить соответствующее значение, используя величину от 1 до 99,999 минут, или на неограниченное время, путем установки этого параметра равным 0.
Наиболее безопасной политикой является установка неограниченного времени блокировки. В этом случае только администратор может разблокировать учетную запись. Это помешает хакерам повторить попытку получения доступа к системе и вынудит пользователей, чьи учетные записи заблокированы, прибегнуть к помощи администратора, что само по себе является хорошей идеей. Поговорив с пользователем, Вы можете выяснить, что он делает неправильно и помочь ему избежать проблем.
Совет. Если учетная запись заблокирована, обратитесь к диалоговому окну Свойства для данной учетной записи в оснастке Active Directory – Пользователи и компьютеры. Щелкните по вкладке Учетная запись и снимите флажок «Учетная запись заблокирована». Это разблокирует учетную запись.
Сброс счетчика блокировки через
Каждый раз при неудавшейся попытке входа в систему Windows 2000 увеличивает значение порога, который отслеживает число неправильных попыток входа. Политика «Сброс счетчика блокировки через» определяет, как долго сохраняется значение порога блокировки. Счетчик порога блокировки учетной записи сбрасывается одним из двух способов. Если пользователь входит в систему успешно, счетчик порога сбрасывается. Если период ожидания для политики «Сброс счетчика блокировки через» после последней неудачной попытки входа истек, счетчик также сбрасывается.
По умолчанию, установлено сохранение порога в течение одной минуты, но Вы можете установить любое значение от 1 до 99,999 минут. Как и с Порогом блокировки учетной записи, необходимо выбрать значение, которое находится в равновесии между нуждами безопасности и нуждами пользователей. Подходящее значение находится в диапазоне от одного до двух часов. Этот период ожидания должен быть достаточно большим, чтобы заставить взломщиков ждать дольше, чем им хотелось бы, перед новой попыткой получить доступ к учетной записи.
![](https://s.studizba.com/z.php?f=/templates/si/i/noavatar.png&w=100&h=100&t=1"){kind=avatar}
