Zusammenfassung
Brute-Force-Angriffe sind heute eine der drei häufigsten Angriffsarten auf Windows-Computer. Auf Windows-Geräten können integrierte lokale Administratorkonten derzeit jedoch nicht gesperrt werden. Dadurch entstehen Szenarien, in denen das integrierte lokale Administratorkonto ohne die richtige Netzwerksegmentierung oder das Vorhandensein eines Intrusion Detection-Dienstes unbegrenzten Brute-Force-Angriffen ausgesetzt sein kann, um das Passwort zu ermitteln. Dies kann mithilfe des Remotedesktopprotokolls (RDP) über das Netzwerk erfolgen. Wenn die Kennwörter nicht lang oder komplex sind, wird die Zeit, die für die Durchführung eines solchen Angriffs benötigt wird, durch den Einsatz moderner CPUs und GPUs trivial.
Um weitere Brute-Force-Angriffe zu verhindern, implementieren wir Kontosperrungen für Administratorkonten. Ab den kumulativen Windows-Updates vom 11. Oktober 2022 oder später wird eine lokale Richtlinie verfügbar sein, um integrierte lokale Administratorkontosperrungen zu aktivieren. Diese Richtlinie finden Sie unter "Lokale Computerrichtlinie\Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Kontorichtlinien\Kontosperrungsrichtlinien".
Bei vorhandenen Computern können Sie das integrierte lokale Administratorkonto sperren, wenn Sie diesen Wert mithilfe eines lokalen oder Domänen-GPOs auf "Aktiviert" festlegen. In solchen Umgebungen sollten auch die anderen drei Richtlinien unter Kontosperrungsrichtlinien festgelegt werden. Unsere Basisempfehlung ist, sie auf 10/10/10 festzulegen. Dies bedeutet, dass ein Konto nach 10 fehlgeschlagenen Versuchen innerhalb von 10 Minuten gesperrt wird und die Sperrung 10 Minuten dauert. Danach wird das Konto automatisch entsperrt.
Hinweis Das neue Sperrverhalten wirkt sich nur auf Netzwerkanmeldungen aus, z. B. RDP-Versuche. Konsolenanmeldungen sind während des Sperrzeitraums weiterhin zulässig.
Bei neuen Computern unter Windows 11, Version 22H2, oder bei neuen Computern, die die kumulativen Windows-Updates vom 11. Oktober 2022 vor dem Erstsetup enthalten, werden diese Einstellungen standardmäßig beim Systemsetup festgelegt. Dieses Problem tritt auf, wenn die SAM-Datenbank zum ersten Mal auf einem neuen Computer instanziiert wird. Wenn also ein neuer Computer eingerichtet wurde und die Oktober-Updates später installiert wurden, ist er standardmäßig nicht sicher. Es werden die zuvor beschriebenen Richtlinieneinstellungen benötigt. Wenn Sie nicht möchten, dass diese Richtlinien für Ihren neuen Computer gelten, können Sie diese lokale Richtlinie festlegen oder eine Gruppenrichtlinie erstellen, um die Einstellung "Deaktiviert " für "Administratorkontosperrung zulassen" anzuwenden.
Darüber hinaus erzwingen wir jetzt die Kennwortkomplexität auf einem neuen Computer, wenn ein integriertes lokales Administratorkonto verwendet wird. Das Kennwort muss mindestens zwei der drei grundlegenden Zeichentypen (Kleinbuchstaben, Großbuchstaben und Ziffern) aufweisen. Dies trägt dazu bei, diese Konten noch besser vor einer Kompromittierung aufgrund eines Brute-Force-Angriffs zu schützen. Wenn Sie jedoch ein weniger komplexes Kennwort verwenden möchten, können Sie die entsprechenden Kennwortrichtlinien weiterhin unter "Lokale Computerrichtlinie\Computerkonfiguration\Windows-Einstellungen\Sicherheitseinstellungen\Kontorichtlinien\Kennwortrichtlinie" festlegen.
Weitere Informationen
Die hinzugefügten Änderungen unterstützen die DOMAIN_LOCKOUT_ADMINS und DOMAIN_PASSWORD_COMPLEX Flags für das integrierte lokale Administratorkonto. Weitere Informationen finden Sie unter DOMAIN_PASSWORD_INFORMATION (ntsecapi.h).
| Value | Bedeutung |
|---|---|
|
DOMAIN_LOCKOUT_ADMINS 0x00000008L |
Ermöglicht das Sperren des integrierten lokalen Administratorkontos für Netzwerkanmeldungen. |
|
DOMAIN_PASSWORD_COMPLEX 0x00000001L |
Das Kennwort muss eine Mischung aus mindestens zwei der folgenden Zeichenarten enthalten:
|