Età della password massima

Segui i passaggi seguenti se si desidera impostare le password dell’utente per scadere dopo un periodo di tempo specifico.

Riepilogo

L’articolo fornisce indicazioni sull’impostazione della politica di scadenza della password per un’organizzazione. Discute l’importanza della sicurezza della password e i potenziali svantaggi delle modifiche alla password di mandato. L’articolo offre anche istruzioni dettagliate su come impostare la politica di scadenza della password nel centro amministratore Microsoft 365. Inoltre, fornisce informazioni sulle notifiche di scadenza della password, prevenzione del riciclaggio delle password e sincronizzazione delle password dell’utente da un Active Directory locale a Azure AD. L’articolo si conclude con una discussione sulle politiche della password e sulle restrizioni dell’account in Azure Active Directory.

Punti chiave

1. Le modifiche a password obbligatoria possono portare a password più deboli e una maggiore vulnerabilità all’hacking.
2. Abilitare l’autenticazione a più fattori è consigliabile per una sicurezza avanzata.
3. Le autorizzazioni di amministrazione globali sono necessarie per impostare la politica di scadenza della password.
4. Gli utenti non possono impostare le loro password per non scadere mai senza l’assistenza del supporto tecnico.
5. Microsoft offre assistenza aziendale, fornendo accesso a specialisti delle piccole imprese per il supporto.
6. Per impostare la politica di scadenza della password, vai alla scheda Security & Privacy nel centro amministratore Microsoft 365.
7. Le password possono essere impostate per scadere dopo un numero specifico di giorni.
8. Le notifiche di scadenza della password non sono più supportate nelle app di amministrazione e Microsoft 365.
9. Gli utenti dell’app Outlook potrebbero non essere costretti a reimpostare le proprie password fino a quando non scade nella cache.
10. La prevenzione del riciclaggio delle password può essere eseguita attraverso l’applicazione della cronologia delle password nelle politiche pubblicitarie locali o Azure AD.
11. L’articolo fornisce informazioni sulla sincronizzazione degli hash della password utente dall’annuncio locale a Azure.
12. Ulteriori politiche e restrizioni della password possono essere impostate in Azure Active Directory.
13. Il cmdlet set-msolpasswordpolicy può essere utilizzato per aggiornare il criterio password.
14. L’impostazione massima della password Età determina il periodo di tempo in cui è possibile utilizzare una password prima di essere modificata.
15. L’impostazione dell’età della password massima su -1 o 0 fa non scadere mai la password.
16. La migliore pratica è impostare l’età della password massima su un valore compreso tra 30 e 90 giorni.

Domande

1. Perché sono spesso scoraggiate le modifiche alla password?

Le modifiche alle password obbligatorie possono portare agli utenti che scelgono password più deboli o riciclando vecchie password, rendendole più vulnerabili all’hacking.

2. Ciò che è raccomandato per una maggiore sicurezza?

Abilitare l’autenticazione a più fattori è consigliabile per una sicurezza avanzata.

3. Chi ha le autorizzazioni per impostare la politica di scadenza della password?

Gli amministratori globali hanno le autorizzazioni per impostare la politica di scadenza della password.

4. Gli utenti possono impostare le loro password per non scadere mai?

No, gli utenti hanno bisogno di supporto tecnico per impostare le loro password per non scadere mai.

5. Cos’è l’assistenza aziendale?

Business Assist è un servizio che fornisce ai proprietari di piccole imprese l’accesso al supporto 24 ore su 24 da parte di Microsoft Specialisti.

6. Dove si può impostare la politica di scadenza della password?

La politica di scadenza della password può essere impostata nella scheda Security & Privacy del Microsoft 365 Admin Center.

7. Le notifiche di scadenza della password possono essere inviate?

No, le notifiche di scadenza della password non sono più supportate nelle app di amministrazione e Microsoft 365.

8. Qual è l’impatto sugli utenti dell’app Outlook?

Gli utenti dell’app Outlook potrebbero non essere costretti a reimpostare le proprie password fino a quando non scade nella cache.

9. Come può essere prevenuto il riciclaggio della password?

Il riciclaggio della password può essere prevenuto attraverso l’applicazione della cronologia delle password nelle politiche di annuncio pubblicitario o Azure.

10. Come possono gli hash della password dell’utente essere sincronizzati dall’annuncio locale a Azure?

Gli hash della password utente possono essere sincronizzati dall’annuncio pubblicitario locale a Azure utilizzando Azure AD Connect Sync.

11. Quali ulteriori politiche e restrizioni della password possono essere impostate in Azure Active Directory?

Azure Active Directory consente l’impostazione di varie politiche di password e restrizioni dell’account.

12. Come si può aggiornare la politica della password?

Il cmdlet set-msolpasswordpolicy può essere utilizzato per aggiornare il criterio password.

13. Cosa determina l’impostazione massima della password?

L’impostazione massima della password Età determina il periodo di tempo in cui è possibile utilizzare una password prima di essere modificata.

14. Quali valori possono essere impostati per la massima età password?

L’età massima della password può essere impostata su un numero specificato di giorni tra 1 e 999 o impostato su 0 per indicare che le password non scadono mai.

15. Qual è l’intervallo consigliato per la massima età password?

L’intervallo consigliato per l’età massima della password è compresa tra 30 e 90 giorni.

Riferimento

L’impostazione della politica di età massima della password determina il periodo di tempo (in giorni) che una password può essere utilizzata prima che il sistema richieda all’utente di modificarlo. Le password possono essere impostate per scadere dopo un determinato numero di giorni o impostate per non scadere mai. L’età della password minima deve essere inferiore all’età della password massima, tranne quando l’età massima della password è impostata su 0 (non scadere mai). L’impostazione dell’età della password massima su -1 o qualsiasi altro numero negativo è equivalente all’impostarlo su non definito.

Valori possibili

• Numero specificato dall’utente tra 0 e 999
• Non definito

Migliori pratiche

Si consiglia di impostare l’età della password massima su un valore compreso tra 30 e 90 giorni, a seconda dell’ambiente dell’organizzazione. Questo aiuta a limitare il tempo che un utente malintenzionato deve compromettere la password di un utente e ottenere l’accesso alle risorse di rete.

Età della password massima

Segui i passaggi seguenti se si desidera impostare le password dell’utente per scadere dopo un periodo di tempo specifico.

Imposta la politica di scadenza della password per la propria organizzazione

Dai un’occhiata a tutti i nostri contenuti per le piccole imprese sull’aiuto e l’apprendimento delle piccole imprese.

Prima di iniziare

Questo articolo è per le persone che impostano la politica di scadenza della password per un’azienda, una scuola o un non profit. Per completare questi passaggi, è necessario accedere al tuo account amministratore Microsoft 365. Cos’è un account amministratore?.

Come amministratore, puoi far scadere le password dell’utente dopo un determinato numero di giorni o impostare le password per non scadere mai. Per impostazione predefinita, le password sono impostate per non scadere mai per la tua organizzazione.

La ricerca attuale indica fortemente che le modifiche alla password obbligatoria fanno più danni che benefici. Spingono gli utenti a scegliere password più deboli, riutilizzare password o aggiornare le vecchie password in modi che sono facilmente indovinati dagli hacker. Si consiglia di abilitare l’autenticazione a più fattori. Per ulteriori informazioni sulla politica di password, controlla le raccomandazioni sulla politica delle password.

Devi essere un amministratore globale per eseguire questi passaggi.

Se sei un utente, non hai le autorizzazioni per impostare la password per non scadere mai. Chiedi al tuo lavoro o supporto tecnico scolastico di fare i passaggi in questo articolo per te.

Se hai bisogno di aiuto con i passaggi di questo argomento, considera di lavorare con uno specialista di Microsoft Small Business. Con l’assistenza aziendale, tu e i tuoi dipendenti avete accesso all’altro agli specialisti delle piccole imprese mentre cresci la vostra attività, dall’onboarding all’uso quotidiano.

Imposta politica di scadenza della password

Segui i passaggi seguenti se si desidera impostare le password dell’utente per scadere dopo un periodo di tempo specifico.

1. Nel centro amministratore Microsoft 365, vai al Sicurezza e privacy scheda. Se non sei un amministratore globale o un amministratore di sicurezza, non vedrai l’opzione di sicurezza e privacy.
2. Selezionare Politica di scadenza della password.
3. Se desideri richiedere agli utenti di modificare periodicamente le loro password, assicurati che il Imposta le password per non scadere mai la casella non è controllata.
4. Digitare la frequenza con cui le password dovrebbero scadere. Scegli un certo numero di giorni da 14 a 730.

Le notifiche di scadenza della password non sono più supportate nelle app di Amministratore Microsoft 365 e Microsoft 365.

Cose importanti che devi sapere sulla funzione di scadenza della password

Le persone che usano solo l’app Outlook non saranno costrette a ripristinare la loro password Microsoft 365 fino a quando non scade nella cache. Questo può essere diversi giorni dopo la data di scadenza effettiva. Non c’è soluzione alternativa per questo a livello di amministrazione.

Impedire l’ultima utilizzo dell’ultima password

Se vuoi impedire ai tuoi utenti di riciclare vecchie password, puoi farlo applicando la cronologia delle password in Active Directory locale (AD). Vedere Crea una politica di password personalizzata.

In Azure AD, l’ultima password non può essere nuovamente utilizzata quando l’utente cambia una password. La politica di password viene applicata a tutti gli account utente creati e gestiti direttamente in Azure AD. Questa politica di password non può essere modificata. Vedere le politiche di password di annunci di Azure.

Sincronizzare le password utente Hash da un Active Directory locale a Azure AD (Microsoft 365)

Questo articolo è per l’impostazione della politica di scadenza per gli utenti solo cloud (Azure AD). Non si applica agli utenti di identità ibrida che utilizzano la sincronizzazione hash della password, l’autenticazione pass-through o la federazione locale come ADFS.

Per imparare a sincronizzare gli hash della password dell’utente dall’annuncio di Azure Azure Azure, consultare la sincronizzazione hash della password con Azure AD Connect Sync.

Politiche di password e restrizioni dell’account in Azure Active Directory

È possibile impostare più politiche e restrizioni di password in Azure Active Directory. Controlla le politiche della password e le restrizioni dell’account in Azure Active Directory per maggiori informazioni.

Aggiorna la politica di password

Il cmdlet set-msolpasswordpolicy aggiorna la politica password di un dominio o inquilino specificato e indica il periodo di tempo in cui una password rimane valida prima che debba essere modificata.

Per imparare come aggiornare la politica di password per un dominio o un inquilino specifico, consultare Set-MsolPasswordPolicy.

Età della password massima

Descrive le migliori pratiche, posizione, valori, gestione delle politiche e considerazioni di sicurezza per il Età della password massima impostazione della politica di sicurezza.

Riferimento

IL Età della password massima L’impostazione della politica determina il periodo di tempo (in giorni) che una password può essere utilizzata prima che il sistema richieda all’utente di modificarlo. È possibile impostare le password per scadere dopo un certo numero di giorni tra 1 e 999 o puoi specificare che le password non scadono mai impostando il numero di giorni su 0. Se Età della password massima è tra 1 e 999 giorni, l’età della password minima deve essere inferiore all’età massima della password. Se Età della password massima è impostato su 0, l’età della password minima può avere un valore tra 0 e 998 giorni.

Nota: Collocamento Età della password massima a -1 è equivalente a 0, il che significa che non scade mai. L’impostarlo su qualsiasi altro numero negativo è equivalente a impostarlo Non definito.

Valori possibili

• Numero specificato dall’utente tra 0 e 999
• Non definito

Migliori pratiche

Impostato Età della password massima con un valore compreso tra 30 e 90 giorni, a seconda del tuo ambiente. In questo modo, un utente malintenzionato ha un periodo di tempo limitato in cui compromettere la password di un utente e avere accesso alle risorse di rete.

La base di sicurezza raccomandata da Microsoft non contiene la politica di espirazione password, in quanto è meno efficace delle mitigazioni moderne. Tuttavia, le aziende che non hanno implementato la protezione da password di Azure AD, l’autenticazione a più grafactor o altre mitigazioni moderne di attacchi di guida password, dovrebbero lasciare in vigore questa politica in vigore.

Posizione

Configurazione del computer \ Impostazioni Windows \ Impostazioni di sicurezza \ Criteri dell’account \ Criteri password

Valori standard

La tabella seguente elenca i valori delle politiche predefinite effettive ed efficaci. I valori predefiniti sono inoltre elencati sulla politica’Pagina di proprietà S.

Tipo di server o oggetto Criteri di gruppo (GPO)	Valore di default
Politica di dominio predefinita	42 giorni
Policy del controller di dominio predefinito	Non definito
Impostazioni predefinite del server autonomo	42 giorni
Domain Controller Impostazioni predefinite efficaci	42 giorni
Server membro Impostazioni predefinite efficaci	42 giorni
Impostazioni predefinite dell’oggetto GPO efficaci sui computer client	42 giorni

Gestione delle politiche

Questa sezione descrive funzionalità, strumenti e guida per aiutarti a gestire questa politica.

Requisito di riavvio

Nessuno. Le modifiche a questa politica diventano efficaci senza un riavvio del computer quando vengono salvati a livello locale o distribuiti tramite la politica di gruppo.

Considerazioni sulla sicurezza

Questa sezione descrive come un utente malintenzionato potrebbe sfruttare una funzione o la sua configurazione, come implementare la contromisura e le possibili conseguenze negative dell’implementazione.

Vulnerabilità

Più lunga esiste una password, maggiore è la probabilità che sia compromessa da un attacco di forza bruta, da un aggressore che acquisisce conoscenze generali sull’utente o da parte dell’utente che condivide la password. Configurazione del Età della password massima Impostazione della politica su 0 in modo che gli utenti non siano mai tenuti a modificare le proprie password consente di utilizzare una password compromessa dall’utente dannoso per tutto il tempo in cui l’utente valido è autorizzato.

Considerazioni

Le modifiche alla password obbligatoria sono una pratica di sicurezza di lunga data, ma la ricerca attuale indica fortemente che la scadenza della password ha un effetto negativo. Per ulteriori informazioni, consultare Microsoft Password Guida.

Configurare il Età della password massima Impostazione della politica a un valore adatto ai requisiti aziendali della tua organizzazione. Ad esempio, molte organizzazioni hanno mandati di conformità o assicurazione che richiedono una breve durata delle password. Dove esiste tale requisito, il Età della password massima L’impostazione della politica può essere utilizzata per soddisfare i requisiti aziendali.

Impatto potenziale

Se la Età della password massima L’impostazione della politica è troppo bassa, gli utenti sono tenuti a cambiare spesso le loro password. Tale configurazione può ridurre la sicurezza nell’organizzazione perché gli utenti potrebbero mantenere le loro password in una posizione non garantita o perderle. Se il valore per questa impostazione della politica è troppo elevato, il livello di sicurezza all’interno di un’organizzazione è ridotto perché consente ai potenziali aggressori più tempo in cui scoprire le password degli utenti o utilizzare account compromessi.

argomenti correlati

La password Microsoft scade?

Об этой сттце

Ыы зарегистрировали подозритеstituire. С помощю ээй ст р ы ыы сможем о imperceде quello. Почему ээо мо л поззти?

Эта страница отображается в тех с лччч, когда автоматическиtal систе quisi которые наршают условия иполззования. Страница перестан scegliere. До этого момента для иполззования сжж google необходимо пхоходить поверку по по по по по.

” ылку запросов. Если ы и ипоеете общий доступ в интернет, проmma. Обратитесь к с ое системому администратору. Подробнеi.

Проверка по слову может также появляться, если вы вводите сложные запросы, обычно распространяемые автоматизированными системами, или же вводите запросы очень часто.

Se segui Microsoft’Suliera per interrompere le password in scadenza?

Potresti aver sentito che Microsoft ha cambiato la loro guida sulle politiche di scadenza della password. Il 23 maggio 2019, hanno pubblicato un post sul blog che spiega le loro decisioni.

Come già sanno gli esperti di sicurezza informatica, l’umano medio ha una password che è facile da digitare e quindi facile da indovinare. E costringendoli a cambiare la password ogni pochi mesi non lo fa’T modificare il fatto che la loro password è facile da indovinare. I computer moderni possono forzare una password alfanumerica di otto caratteri in ore. Cambiare uno o due caratteri in quella password di otto caratteri non è’lo renderò più difficile.

Ottieni il test Active Directory Active Directory GRATUITO EBOOK

Quindi la domanda è: se segui Microsoft’s la guida e rimuovere la politica di scadenza della password? Bene’S complicato.

Le politiche di scadenza della password sono solo un mattone nel muro di sicurezza informatica. Non dovresti’t prendi un mattone dal muro di sicurezza a meno che tu non abbia difese che non possono compensare. Dovresti considerare i maggiori fattori di rischio per la tua organizzazione e sviluppare una strategia di sicurezza informatica per mitigare quei fattori di rischio esatti.

Perché eliminare le politiche di scadenza della password?

Microsoft ha un’intera sezione nel loro post sul blog che risponde a questa domanda, ma il punto cruciale del loro argomento è che la scadenza della password è una misura di sicurezza di basso valore. Pertanto non raccomandano più una politica di scadenza della password come parte di Microsoft’S Cybersecurity Baseline.

Microsoft ISN’ti dice di disattivare tutte le politiche di scadenza della password oggi. Ti stanno dicendo che hai bisogno di più di una semplice politica di scadenza della password nella tua strategia.

Dovrei rimuovere la mia politica di scadenza della password?

La maggior parte delle organizzazioni dovrebbe mantenere in atto la loro attuale politica di scadenza della password.

Considera questa semplice domanda: cosa succede quando un utente’La password è rubata?

Le politiche della password aiutano a mitigare la persistenza tagliando un attaccante’s LEAFele nella rete. Più breve è la politica di scadenza della password, più breve la finestra per compromettere i sistemi e i dati di esfiltrate (se l’attaccante ha’T ha stabilito un altro punto di ingresso). Microsoft ritiene che queste stesse politiche di password progettate per ruotare le credenziali compromesse stiano effettivamente incoraggiando cattive pratiche come password riutilizzate, iterazione di password deboli (Spring2019, Summer2019, Winter2019), Post-It Noted password e molti altri.

In breve, ritengono che il rischio introdotto dalle cattive pratiche di password sia maggiore del rischio mitigato dalle politiche di scadenza della password. Qui a Varonis è d’accordo, ma c’è stata una grave falsa dichiarazione di ciò che serve per essere un’azienda ‘Scadenza senza parola’-pronto.

Questo cambiamento di sicurezza ad alte usabilità è facile da lanciare, ma potresti finire per aumentare il tuo profilo di rischio se ti manca le altre migliori pratiche del settore come:

• Passphrasi: Applicare le lunghe (16 caratteri o più) e le password complesse rendono difficile la forza bruta. Il vecchio minimo di password a otto caratteri standard è rotto nel giro di poche ore per i computer moderni.
• Modello meno privilegiato: In un mondo in cui la persistenza non è esprendente, conoscendo quell’utente’s hanno accesso alla minima quantità di dati possibili è cruciale.
• Monitoraggio comportamentale: Dovresti essere in grado di rilevare quando un account è stato compromesso in base alle deviazioni nella normale attività di accesso e dell’accesso ai dati. L’analisi statica da sola ha vinto’T taglialo.
• Autenticazione a più fattori: Anche se un utente malintenzionato ha il nome utente e la password, l’autenticazione a più fattori funge da ostacolo importante per l’hacker medio.

Le password sono finalmente morenti?

Questa è la domanda, non è’t?

Alcune tecnologie stanno cercando di sostituire le password come protocollo di autenticazione di fatto. FIDO2 memorizza i dati di identità su un dispositivo fisico. Biometria, nonostante ciò’S “unico ma non privato” preoccupazioni, è anche un’opzione.

Il nuovo paradigma sembra essere metodi di autenticazione che possono’essere accidentalmente condiviso o facilmente rubato.

Finora, quelle tecnologie non si riferiscono’t spezzato attraverso l’impresa nel mainstream.

Fino ad allora, considera di mantenere in atto la tua politica di scadenza della password e i tuoi utenti sono stati sconvolti solo un po ‘, per il bene più grande.

In che modo Varonis aiuta con il furto di credenziali

Varonis fornisce ulteriori protezioni per aiutare a rafforzare le politiche della password. Varonis monitora l’attività del file, eventi Active Directory, telemetria perimetrale e altro ancora per creare una linea di base specifica per l’utente. Varonis confronta quindi quel basale con l’attività corrente e abbina il comportamento corrente a un modello di minaccia Varonis che potrebbe indicare un account utente compromesso.

La dashboard di Varonis Active Directory evidenzia potenziali account a rischio di compromesso, come account di servizio con accesso all’amministratore, password non espiratrici o password che non sono necessarie per soddisfare i requisiti delle password.

I modelli di minaccia varonis rilevano tutti i tipi di anomalie di accesso, come tempi di accesso dispari, strane posizioni geografiche, accesso da un nuovo dispositivo, potenziali attacchi di forza bruta e raccolta dei biglietti.

Fino ad allora, considera di mantenere la politica di scadenza della password in atto solo un po ‘più a lungo.

Per vedere Varonis in azione, dai un’occhiata al seminario di attacco informatico dal vivo. Noi’ti mostrerà come eseguire un attacco e quindi demo come rilevare e studiare l’attacco usando la piattaforma Varonis. Esso’S gestito dal nostro team di esperti di risposta agli incidenti e professionisti forensi con 8 sessioni dal vivo ogni settimana!

Quello che dovresti fare ora

Di seguito sono riportati tre modi in cui possiamo aiutarti a iniziare il tuo viaggio per ridurre il rischio di dati presso la tua azienda:

1. Pianifica una sessione demo con noi, dove possiamo mostrarti in giro, rispondere alle tue domande e aiutarti a vedere se Varonis è giusto per te.
2. Scarica il nostro rapporto gratuito e impara i rischi associati all’esposizione ai dati SAAS.
3. Condividi questo post sul blog con qualcuno che conosci a cui si diverte a leggerlo. Condividilo con loro via e -mail, LinkedIn, Twitter, Reddit o Facebook.

Michael Buckbee

Michael ha lavorato come Sysadmin e sviluppatore di software per le startup della Silicon Valley, la Marina degli Stati Uniti e tutto il resto.

Valutazione del rischio di dati gratuiti

Unisciti a oltre 7.000 organizzazioni che hanno scambiato l’oscurità dei dati per protezione automatizzata. Inizia in pochi minuti.

Raccomandazioni sui criteri password per Microsoft 365 Password

Dai un’occhiata a tutti i nostri contenuti per le piccole imprese sull’aiuto e l’apprendimento delle piccole imprese.

Come amministratore di un’organizzazione, sei responsabile dell’impostazione della politica di password per gli utenti nella propria organizzazione. L’impostazione della politica di password può essere complicata e confusa e questo articolo fornisce consigli per rendere la tua organizzazione più sicura contro gli attacchi di password.

Gli account Microsoft Solo Cloud hanno una politica di password predefinita che non può essere modificata. Gli unici elementi che puoi modificare sono il numero di giorni fino alla scadenza di una password e se le password scadono o meno.

Per determinare la frequenza con cui le password Microsoft 365 scadono nella tua organizzazione, vedere Imposta la politica di scadenza della password per Microsoft 365.

Per ulteriori informazioni sulle password Microsoft 365, vedere:

Comprensione delle raccomandazioni delle password

Le buone pratiche di password rientrano in alcune grandi categorie:

• Resistere agli attacchi comuni Ciò comporta la scelta di dove gli utenti inseriscono le password (dispositivi noti e affidabili con un buon rilevamento di malware, siti validati) e la scelta di quale password scegliere (lunghezza e unicità).
• Contenente attacchi riusciti Con contenimento di attacchi di hacker di successo significa limitare l’esposizione a un servizio specifico o prevenire del tutto quel danno, se la password di un utente viene rubata. Ad esempio, garantire che una violazione delle credenziali di social network non rende il tuo conto bancario vulnerabile o non consente a un account scarsamente sorvegliato di accettare i collegamenti di ripristino per un conto importante.
• Comprensione della natura umana Molte pratiche di password valide falliscono di fronte a comportamenti umani naturali. Comprendere la natura umana è fondamentale perché la ricerca mostra che quasi tutte le regole importi ai tuoi utenti comporteranno un indebolimento della qualità della password. Requisiti di lunghezza, requisiti di carattere speciali e requisiti di modifica della password tutti comportano la normalizzazione delle password, il che rende più facile per gli aggressori indovinare o rompere le password.

Linee guida per gli amministratori

L’obiettivo principale di un sistema di password più sicuro è la diversità delle password. Vuoi che la tua politica di password contenga molte diverse e difficili da indovinare le password. Ecco alcuni consigli per mantenere la tua organizzazione il più sicura possibile.

• Mantenere un requisito di lunghezza minima di 14 caratteri
• Non richiedere requisiti di composizione del personaggio. Ad esempio, *& (^%$
• Non richiedere ripristinati di password periodica obbligatoria per gli account utente
• Vietare le password comuni, per mantenere le password più vulnerabili fuori dal sistema
• Educare i tuoi utenti a non riutilizzare le password dell’organizzazione per scopi non relativi al lavoro
• Imporre la registrazione per l’autenticazione a più fattori
• Abilita sfide di autenticazione multi-fattore basate sul rischio

Guida della password per i tuoi utenti

Ecco alcune indicazioni sulla password per gli utenti della tua organizzazione. Assicurati di far conoscere ai tuoi utenti questi consigli e applicare le politiche di password consigliate a livello organizzativo.

• Non utilizzare una password uguale o simile a quella che usi su qualsiasi altro siti Web
• Non usare una sola parola, per esempio, parola d’ordine, o una frase comunemente usata come Ti amo
• Rendi le password difficili da indovinare, anche da coloro che sanno molto di te, come i nomi e i compleanni dei tuoi amici e della tua famiglia, le tue band preferite e le frasi che ti piace usare

Alcuni approcci comuni e i loro impatti negativi

Queste sono alcune delle pratiche di gestione delle password più comunemente usate, ma la ricerca ci avverte degli impatti negativi.

Requisiti di scadenza della password per gli utenti

I requisiti di scadenza della password fanno più danni che benefici, poiché questi requisiti rendono gli utenti selezionare password prevedibili, composte da parole e numeri sequenziali che sono strettamente correlati tra loro. In questi casi, la password successiva può essere prevista in base alla password precedente. I requisiti di scadenza della password non offrono vantaggi di contenimento perché i criminali informatici usano quasi sempre le credenziali non appena le compromettono.

Requisiti minimi di lunghezza della password

Per incoraggiare gli utenti a pensare a una password unica, si consiglia di mantenere un ragionevole requisito di lunghezza minima di 14 caratteri.

Richiedendo l’uso di più set di caratteri

I requisiti di complessità della password riducono lo spazio chiave e fanno sì che gli utenti agiscano in modi prevedibili, facendo più danni che benefici. La maggior parte dei sistemi impone un certo livello di requisiti di complessità delle password. Ad esempio, le password hanno bisogno di caratteri di tutte e tre le seguenti categorie:

• caratteri maiuscoli
• caratteri minuscoli
• Personaggi non alfanumerici

La maggior parte delle persone usa schemi simili, ad esempio una lettera maiuscola in prima posizione, un simbolo nell’ultimo e un numero nelle ultime 2. I criminali informatici lo sanno, quindi gestiscono i loro attacchi di dizionario usando le sostituzioni più comuni, “$” per “s”, “@” per “a”, “1” per “l”. Costringere i tuoi utenti a scegliere una combinazione di personaggi superiori, inferiori, speciali ha un effetto negativo. Alcuni requisiti di complessità impediscono persino agli utenti di utilizzare password sicure e memorabili e costringerli a trovare password meno sicure e meno memorabili.

Schemi di successo

Al contrario, ecco alcuni raccomandazioni per incoraggiare la diversità della password.

Vietare le password comuni

Il requisito di password più importante che dovresti inserire sui tuoi utenti durante la creazione di password è quello di vietare l’uso di password comuni per ridurre la suscettibilità della tua organizzazione agli attacchi di password di forza bruta. Le password dell’utente comuni includono: Abcdefg, parola d’ordine, scimmia.

Educare gli utenti a non riutilizzare le password dell’organizzazione altrove

Uno dei messaggi più importanti da trasmettere agli utenti della tua organizzazione è non riutilizzare la password dell’organizzazione altrove. L’uso delle password dell’organizzazione in siti Web esterni aumenta notevolmente la probabilità che i criminali informatici comprometteranno queste password.

Imporre la registrazione di autenticazione multi-fattore

Assicurati che i tuoi utenti aggiornino le informazioni di contatto e di sicurezza, come un indirizzo e -mail alternativo, il numero di telefono o un dispositivo registrato per le notifiche push, in modo che possano rispondere alle sfide di sicurezza ed essere notificati agli eventi di sicurezza. Le informazioni di contatto e sicurezza aggiornate aiutano gli utenti a verificare la propria identità se dimenticano la loro password o se qualcun altro cerca di assumere il proprio account. Fornisce inoltre un canale di notifica fuori dalla banda nel caso di eventi di sicurezza come tentativi di accesso o password modificate.

Abilita autenticazione multi-fattore basata sul rischio

L’autenticazione a più fattori basata sul rischio garantisce che quando il nostro sistema rileva attività sospette, può sfidare l’utente a garantire che siano il proprietario dell’account legittimo.

Prossimi passi

Vuoi saperne di più sulla gestione delle password? Ecco alcune letture consigliate:

• Dimentica le password, vai senza password
• Microsoft Password Guida
• Fare password Web forti realizzate qualsiasi cosa?
• Portfolios di password e utente a effetto finito
• Prevenire le password deboli leggendo le menti degli utenti
• Scegliere password sicure
• È ora di ripensare le modifiche alle password obbligatorie