为您的密码策略制作自定义词典

哈客cc lv.2

发布时间：2022-03-02 15:34:50 789

为什么要定制你的字典？

自定义词典诞生于“像黑客那样思考”的需要泄露的凭据是导致各种恶意数据泄露的主要原因之一。对于组织来说，它们也是最昂贵的。IBM的Cost of a Data Breach Report 2020，被泄露的证书使一次违规的平均总成本增加了近100万美元，达到477万美元。

黑客经常使用基于凭据的攻击来破坏弱密码、以前被破解的密码、特定业务部门使用的常用密码或常见拼写转换。不幸的是，我们都倾向于使用容易记住的密码。此外，最终用户通常会在密码的开头或结尾添加常见的数字或符号模式，以规避密码复杂性的要求。

人性和可用的技术工具都允许轻松破解或猜测弱密码、标准密码或预期密码。虽然攻击者可以访问包含被破解密码和其他常见或弱密码的大型数据库，但“好人”可以很好地实现密码文件–；自定义词典。自定义密码字典有利于保护环境中的密码。

在实施时，自定义字典提供了一种方法来过滤所选密码或最终用户，从而禁止使用自定义字典中包含的密码或密码变体。那么，不是所有符合Active Directory密码策略要求的密码都是安全的吗？不完全是。

虽然Active Directory密码策略定义的密码策略要求是一个很好的起点，但考虑到网络犯罪分子目前使用的破解和其他密码工具，这些要求还有很多不足之处。

例如，密码策略可能要求最终用户满足以下要求：

Active Directory域服务中定义的密码策略

使用上述本机Active Directory密码策略设置，用户可以设置密码，例如：

上述密码符合长度和复杂性要求中定义的所有标准。然而，由于不同的原因，它们很弱，很容易猜测。正如上面的例子所示，这些可能是与您的特定企业名称或行业相关的常见单词（如“Password”）的已知变体，也可能是破解密码数据库（如“Letmein1$）中包含的常见短语

在收集密码以用于密码策略的自定义词典时，您可能不想“重新发明轮子”。有现成的密码字典和密码文件，可以免费下载，作为自定义密码字典的基础。一个例子包括我被打败了吗密码列表：我有密码吗。

公司也可以使用现成的工具，如嚼可在Kali Linux中获得，也可从Linux发行库中安装。在Ubuntu中，可以使用以下命令安装Crunch：

它允许创建一个单词列表，用于组织中的SecOps团队进行暴力或密码强度审核。此外，这些现成的工具可以为在您的环境中创建自己的自定义密码列表提供基础。

然而，这不仅仅是创建一个密码字典文件。希望实现自己的自定义密码过滤器的组织。dll，以及包含其企业名称或行业特定关键字的单词，必须具有开发人才和资源，以创建该应用程序。Active Directory中密码过滤器功能所需的dll文件。

Microsoft概述了注册和安装密码过滤器的过程。dll此处：安装和注册密码过滤器dll-Win32 apps | Microsoft Docs。

有没有一种简单的方法可以为你的密码策略定制一个自定义字典？Specops密码策略为您的密码策略实现自定义字典带来了更大的难度，并允许将超过20亿个已知的违规密码加上任何自定义术语（如您的公司名称或位置）添加到密码策略工具中。

像这样的高质量密码策略工具与在组策略级别实施的本机Active Directory密码策略集成。

通过简单的复选框，Specops解决方案允许IT管理员轻松快速地实现多个密码字典，作为为其组织配置的密码规则的一部分。

Specops密码策略字典设置

配置使用自定义词典允许从界面导入密码文件、哈希文件或创建新字典。

在Specops密码策略中配置自定义词典设置

如今，企业必须加强账户密码的安全性，以加强其整体网络安全态势。使用自定义词典作为其密码策略的一部分，是将攻击性策略纳入网络安全工作的一个很好的方式。但是，实现自定义密码过滤器是非常困难的。环境中的dll需要开发自定义密码过滤器。Active Directory所需的dll文件。

这一发展可能会给企业实施成本、维护和效率拦截器等自定义词典带来障碍。Specops密码策略允许只需点击几下即可实现多个自定义字典文件，从而消除了正确实现该策略所涉及的复杂性和安全问题。

特别声明：以上内容（图片及文字）均为互联网收集或者用户上传发布，本站仅提供信息存储服务！如有侵权或有涉及法律问题请联系我们。