पासवर्ड की समाप्ति को अक्षम करने के लिए Microsoft अनुशंसाएँ: परिणाम और निष्कर्ष

जैसा कि आप पहले से ही जानते हैं, Microsoft ने अपना पासवर्ड समाप्ति नीति गाइड बदल दिया है। मई 2019 में, उन्होंने निर्णय बताते हुए एक ब्लॉग पोस्ट किया।
साइबर सुरक्षा विशेषज्ञों को पता है कि औसत व्यक्ति के पास एक पासवर्ड है जो प्रवेश करने के लिए सुविधाजनक है और इसलिए कंप्यूटर पर चुनना आसान है। इसी समय, हर कुछ महीनों में एक बार इसे बदलने की आवश्यकता इस तथ्य को नहीं बदलती है कि ऐसे पासवर्ड को चुनना आसान है। आधुनिक कंप्यूटर की शक्ति आपको कुछ घंटों में 8 अल्फ़ान्यूमेरिक वर्णों के पासवर्ड को बाध्य करने की अनुमति देती है। आठ में से एक या दो अक्षर बदलने से कार्य कठिन नहीं होगा।

Microsoft अनुशंसाएँ जारी किए हुए बहुत समय बीत चुका है, और निष्कर्ष निकालने का समय आ गया है, क्या यह पूरी तरह से पासवर्ड की समाप्ति तिथि से छुटकारा पाने के लायक है? वास्तव में, इतना आसान नहीं है।

पासवर्ड की समाप्ति की नीति साइबर स्पेस की दीवार में ईंटों में से एक है। इस कार्रवाई की भरपाई करने के लिए यदि आपके पास सुरक्षा के अन्य तरीके नहीं हैं, तो दीवार की ईंटों में से एक न लें। इसलिए, संगठन में सबसे बड़े जोखिम कारकों पर ध्यान केंद्रित करना और साइबर सिक्योरिटी रणनीति को इस तरह से काम करना बेहतर है कि उन्हें कम करें।

पासवर्ड समाप्ति की नीतियों से छुटकारा क्यों?

इस मुद्दे पर Microsoft का तर्क है कि सूचना सुरक्षा के संदर्भ में पासवर्ड समाप्ति की नीतियां बहुत कम हैं। परिणामस्वरूप, वे अब अपने उपयोग की अनुशंसा नहीं करते हैं और इस तत्व को Microsoft से साइबर स्तर की मूलभूत स्तर की संरचना से बाहर रखा है।

लेकिन Microsoft आपकी सभी पासवर्ड नीतियों को तुरंत अक्षम करने के लिए नहीं कह रहा है। वे केवल आपको सूचित करते हैं कि आपकी सुरक्षा रणनीति को केवल पासवर्ड की समाप्ति से अधिक की आवश्यकता है।

क्या मुझे पासवर्ड नीति को हटाना चाहिए?

अधिकांश संगठनों को पासवर्ड समाप्ति की नीति को अपरिवर्तित छोड़ देना चाहिए। निम्नलिखित सरल प्रश्न के बारे में सोचें: यदि उपयोगकर्ता से पासवर्ड चोरी हो जाता है तो क्या होगा?
पासवर्ड नीतियां नेटवर्क के अंदर अपने महत्वपूर्ण एक्सेस चैनल को अवरुद्ध करके हमलावर के दबाव को कम करने में मदद करती हैं। पासवर्ड जितना छोटा होता है, सिस्टम और आउटपुट डेटा (जब तक कि हमलावर किसी अन्य प्रविष्टि बिंदु का उपयोग नहीं करता है) से समझौता करने के लिए कम समय बचा है। Microsoft का मानना ​​है कि सभी समान नीतियां, शुरुआत में रोटेशन से समझौता किए गए पासवर्ड को समाप्त करने के उद्देश्य से, वास्तव में केवल खराब अभ्यास को प्रोत्साहित करती हैं - उदाहरण के लिए, पासवर्ड का पुन: उपयोग और कमजोर चलना (vesna2019, leto2019, zima2019), मॉनिटर के लिए शीट को धोखा देना, आदि।

एक शब्द में, Microsoft का मानना ​​है कि खराब पासवर्ड प्रथाओं का जोखिम वास्तव में समाप्ति नीतियों को लागू करने के लाभों से अधिक है। वरोनिस में हम आंशिक रूप से इससे सहमत हैं, लेकिन वास्तव में इस बात की एक गलतफहमी है कि कंपनी को ऐसी नीतियों को अस्वीकार करने के लिए तैयार रहने की क्या आवश्यकता है।

यह परिवर्तन उपयोगकर्ताओं की उपयोगिता को बहुत बढ़ाता है और लागू करना आसान है, लेकिन अंत में केवल समग्र जोखिमों को बढ़ाने का मौका है यदि आप उद्योग में अन्य सर्वोत्तम प्रथाओं का पालन नहीं करते हैं, जैसे:

• गुप्त वाक्यांश : लंबे (16 या अधिक वर्ण) और जटिल पासवर्ड को मजबूर करने से उन्हें तोड़ने की कठिनाई बढ़ जाती है। आधुनिक पीसी पर कम से कम 8 अक्षरों का पुराना मानक कुछ घंटों में टूट जाता है।
• न्यूनतम आवश्यक पहुंच का मॉडल : एक ऐसी दुनिया में जहां कब्ज का कभी उल्लंघन नहीं होता है, यह जानना महत्वपूर्ण है कि उपयोगकर्ता के पास केवल आवश्यक डेटा की न्यूनतम पहुंच है।
• व्यवहार ट्रैकिंग : आपको सामान्य लॉगिन और गैर-मानक डेटा उपयोग से विचलन के आधार पर खाता समझौता का पता लगाने में सक्षम होना चाहिए। केवल इस मामले में आंकड़ों का विश्लेषण करने से मदद नहीं मिलेगी।
• बहु-कारक प्रमाणीकरण : भले ही हमलावर उपयोगकर्ता नाम और पासवर्ड जानता है, बहु-कारक प्रमाणीकरण औसत हमलावर के लिए एक गंभीर बाधा है।

क्या पासवर्ड आखिरकार मर रहे हैं?

यह मुख्य सवाल है, है ना?

पासवर्ड को डी वास्तविक प्रमाणीकरण प्रोटोकॉल के रूप में प्रतिस्थापित करने के लिए कई प्रौद्योगिकियां हैं। FIDO2 एक भौतिक उपकरण पर क्रेडेंशियल्स संग्रहीत करता है। बॉयोमीट्रिक्स, "विशिष्टता लेकिन गोपनीयता की कमी" के बारे में संदेह के बावजूद भी एक संभावित विकल्प है।

नया प्रतिमान प्रमाणीकरण विधियों की तलाश करने के लिए है जो गलती से प्रसारित या आसानी से चोरी नहीं हो सकते हैं। लेकिन अभी तक, ऐसी तकनीकों ने कॉर्पोरेट से अपना रास्ता नहीं बनाया है
मुख्य धारा में क्षेत्र। तब तक, वरोनिस आपकी पासवर्ड समाप्ति की नीतियों को अपरिवर्तित छोड़ने की सिफारिश करता है, और उपयोगकर्ताओं की असुविधा को सामान्य अच्छे के नाम पर छोटा होने के लिए मानता है।

वरोनिस कैसे पहचान की चोरी से बचाने में मदद करता है

Varonis आपकी पासवर्ड नीतियों को बढ़ाने के लिए अतिरिक्त सुरक्षा प्रदान करता है। हम उपयोगकर्ता गतिविधि के मूल मॉडल के निर्माण के लिए फ़ाइल गतिविधि, सक्रिय निर्देशिका में घटनाओं, परिधि टेलीमेट्री और अन्य संसाधनों को ट्रैक करते हैं। तब हम इसकी तुलना बिल्ट -इन धमकी मॉडल पर आधारित व्यवहार से करते हैं ताकि यह समझा जा सके कि क्या खाते से छेड़छाड़ की गई है। सक्रिय निर्देशिका डैशबोर्ड उन खातों को प्रदर्शित करता है, जिनमें समझौता होने का जोखिम होता है, जैसे कि प्रशासनिक विशेषाधिकारों के साथ सेवा खाते, कोई समाप्ति तिथि वाला कोई पासवर्ड या नीतियों में निर्दिष्ट आवश्यकताओं का कोई अनुपालन नहीं। थ्रेट मॉडल भी लॉगिन विसंगतियों के विभिन्न रूपों को प्रकट करते हैं, जैसे कि दिन के गैर-मानक समय पर प्रवेश करना, एक नए उपकरण से प्रवेश करना, एक संभावित जानवर बल या टिकट कटाई का हमला।

तब तक, आपकी पासवर्ड समाप्ति की नीतियों को लागू करना बेहतर होगा।

और अगर आप वरोनिस को कार्रवाई में देखना चाहते हैं, तो साइबरबैटैक्स के हमारे लाइव प्रदर्शन के लिए साइन अप करें। हम यह दिखाएंगे कि किसी हमले को कैसे अंजाम दिया जाए, और हमारे मंच के आधार पर ऐसी घटनाओं का पता लगाने और जांच करने का तरीका दिखाया जाए।