Melhores Práticas de bloqueio de conta do Active Directory

Por que você precisa definir políticas de bloqueio de conta?

Todos os dias, os administradores de sistemas têm a árdua tarefa de lidar com vários tickets, muitos dos quais gerados por usuários que não conseguem acessar sua conta quando esquecem ou digitam incorretamente suas senhas muitas vezes. 

Esses bloqueios consome tempo e dinheiro que são valiosos para as empresas. De acordo com a MetricNet, 90% de ataques cibernéticos são causados por erro humano, a mesma fonte aponta que o custo médio de manuseio de um ticket é de US$ 15.

É importante que as organizações configurem cuidadosamente suas políticas de bloqueio de conta para ajudar a reduzir o número de bloqueios sem comprometer a segurança da rede. Embora não seja possível evitar todos os bloqueios, a implementação dessas práticas recomendadas pode reduzir seu número significativamente.

Habilite a política de “Duração do bloqueio de conta”

A duração do bloqueio da conta depende das informações específicas da organização, como a contagem de usuários ou o tipo de setor. Definir a duração como zero manterá a conta segura, bloqueando a conta até que um administrador a desbloqueie. No entanto, isso também resulta em solicitações excessivas ao help desk.

A duração recomendada é entre 30 e 60 minutos.

Aproveite a política de “limite de bloqueio de conta”

Se o limite de bloqueio de conta for definido muito baixo, bloqueios acidentais serão frequentes. Isso também pode tornar a conta vulnerável a ataques de negação de serviço, pois é mais fácil para o invasor inserir intencionalmente as senhas erradas para bloquear a conta. Por outro lado, se o limite for definido muito alto, a probabilidade de um ataque de força bruta bem-sucedido aumenta à medida que o invasor tem mais oportunidades de tentar adivinhar as credenciais. 

O limite recomendado é de 15 a 50 minutos.

Configure a política “Redefinir contador de bloqueio de conta após”

Ao calcular o valor “resetar contador de bloqueio de conta após”, as organizações precisam ter em mente o tipo e o nível de ameaças à segurança que enfrentam, em relação ao custo dos chamados ao suporte técnico. Este valor deve ser menor ou igual à duração do bloqueio da conta. 

A configuração recomendada é algo inferior a 30 minutos.

Essas medidas adicionais podem minimizar os bloqueios de contas em sua empresa.

Definir políticas com base no nível de segurança do usuário

Diferentes combinações dos valores de política devem ser definidas para usuários de vários níveis de segurança. Isso é possível devido ao recurso de política de senha refinada no Active Directory (AD). Para usuários de baixa segurança, os bloqueios de conta podem ser desabilitados definindo o limite para zero. Para usuários de alta segurança, como administradores e gerentes, a duração do bloqueio da conta deve ser definida como zero, portanto, uma conta bloqueada só pode ser desbloqueada por um administrador. Um limite baixo de bloqueio de conta deve ser definido para esses usuários, uma vez que eles devem lembrar suas senhas e inserir suas credenciais com cuidado.

Educar os usuários finais

Como já dito antes, 90% das violações de segurança cibernética são causadas por erro humano. As organizações podem reduzir esse número conduzindo treinamentos de conscientização de segurança cibernética regularmente para educar os funcionários sobre como evitar bloqueios de contas.

Monitore atividades incomuns

A análise UEBA (User and Entity Behavior Analytics – Análise Comportamental de Usuários e Entidade) pode ser usada para detectar picos incomuns na atividade de bloqueio da conta do usuário. Isso é útil quando as organizações têm um grande número de funcionários e é impossível rastrear a atividade de bloqueio de conta de cada usuário. 

Atualizar credenciais obsoletas

Uma das principais causas dos bloqueios de conta é o uso de credenciais obsoletas pelos serviços do sistema, tarefas agendadas ou sessões de terminal desconectadas. Limpar o gerenciador de credenciais e reiniciar o computador resolverá a maioria desses problemas.

Definir alertas para bloqueios de usuários

Habilite notificações para obter alertas em tempo real para bloqueios de contas de usuários de alta segurança, o que pode ajudar a desbloquear essas contas mais rapidamente. Utilize ferramentas de terceiros que possam executar scripts para desbloquear instantaneamente contas bloqueadas de alta prioridade. 

Gerenciar vários logins de dispositivos

Aplicativos móveis que usam credenciais AD (por exemplo, Outlook e Microsoft Exchange Server) também podem usar credenciais obsoletas. Os usuários devem ser cautelosos e atualizar suas credenciais após duas ou mais alterações de senha. No Windows Server 2003 e superior, se a senha inserida for uma das duas senhas definidas anteriormente, ela não será considerada uma senha incorreta.

Experimente o ADAudit Plus para encontrar e resolver contas de usuário bloqueadas de maneira transparente.

Conheça na prática e na realidade de sua empresa o que nossas soluções ACS Pro|ManageEngine podem fazer por você. Contamos com um portfólio extenso para gerenciamento de TI.
Com soluções para segurança de TI, gerenciamento de acesso e identidade (Active Directory), gerenciamento de endpoints, IT help desk e gerenciamento de serviços de TI (monitoramento de rede, banda e análise de tráfego), gerenciamento de operações de TI (Network e Server), gerenciamento de aplicativos e muito mais.