Résumé
Les attaques par force brute sont l’une des trois principales façons dont les ordinateurs Windows sont attaqués aujourd’hui. Toutefois, les appareils Windows n’autorisent actuellement pas le verrouillage des comptes d’administrateur locaux intégrés. Cela crée des scénarios dans lesquels, sans la segmentation réseau appropriée ou la présence d’un service de détection des intrusions, le compte d’administrateur local intégré peut être soumis à des attaques par force brute illimitées pour tenter de déterminer le mot de passe. Cela peut être fait à l’aide du protocole RDP (Bureau à distance Protocol) sur le réseau. Si les mots de passe ne sont pas longs ou complexes, le temps nécessaire pour exécuter une telle attaque devient insignifiant en utilisant des CPU et GPU modernes.
Afin d’éviter d’autres attaques par force brute, nous mettons en place des verrouillages de compte pour les comptes d’administrateur. À compter des mises à jour cumulatives Windows du 11 octobre 2022 ou ultérieures, une stratégie locale sera disponible pour activer les verrouillages de compte d’administrateur local intégrés. Cette stratégie se trouve sous Stratégie de l’ordinateur local\Configuration de l’ordinateur\Paramètres Windows\Paramètres de sécurité\Stratégies de compte\Stratégies de verrouillage de compte.
Pour les ordinateurs existants, la définition de cette valeur sur Activé à l’aide d’un objet de stratégie de groupe local ou de domaine permet de verrouiller le compte d’administrateur local intégré. Ces environnements doivent également envisager de définir les trois autres stratégies sous Stratégies de verrouillage de compte. Notre recommandation de base est de les définir sur 10/10/10. Cela signifie qu’un compte serait verrouillé après 10 tentatives infructueuses dans un délai de 10 minutes et que le verrouillage durerait 10 minutes. Après cela, le compte est automatiquement déverrouillé.
Remarque Le nouveau comportement de verrouillage affecte uniquement les ouvertures de session réseau, telles que les tentatives RDP. Les ouvertures de session de console seront toujours autorisées pendant la période de verrouillage.
Pour les nouveaux ordinateurs sur Windows 11, version 22H2 ou tout nouvel ordinateur qui inclut les mises à jour cumulatives Windows du 11 octobre 2022 avant l’installation initiale, ces paramètres seront définis par défaut lors de la configuration du système. Ce problème se produit lors de la première instanciation de la base de données SAM sur un nouvel ordinateur. Par conséquent, si un nouvel ordinateur a été configuré et que les mises à jour d’octobre ont été installées ultérieurement, il ne sera pas sécurisé par défaut. Les paramètres de stratégie décrits précédemment sont nécessaires. Si vous ne souhaitez pas que ces stratégies s’appliquent à votre nouvel ordinateur, vous pouvez définir cette stratégie locale ou créer une stratégie de groupe pour appliquer le paramètre Désactivé pour « Autoriser le verrouillage du compte d’administrateur ».
En outre, nous appliquons désormais la complexité du mot de passe sur un nouvel ordinateur si un compte d’administrateur local intégré est utilisé. Le mot de passe doit contenir au moins deux des trois types de caractères de base (minuscules, majuscules et chiffres). Cela vous aidera à mieux protéger ces comptes contre la compromission en raison d’une attaque par force brute. Toutefois, si vous souhaitez utiliser un mot de passe moins complexe, vous pouvez toujours définir les stratégies de mot de passe appropriées dans Stratégie de l’ordinateur local\Configuration ordinateur\Paramètres Windows\Sécurité Paramètres\Stratégies de compte\Stratégie de mot de passe.
Informations complémentaires
Les modifications ajoutées prennent en charge l’indicateur DOMAIN_LOCKOUT_ADMINS et DOMAIN_PASSWORD_COMPLEX pour le compte administrateur local intégré. Pour plus d’informations, consultez DOMAIN_PASSWORD_INFORMATION (ntsecapi.h).
| Valeur | Signification |
|---|---|
|
DOMAIN_LOCKOUT_ADMINS 0x00000008L |
Empêche le compte administrateur local intégré d’accéder au réseau. |
|
DOMAIN_PASSWORD_COMPLEX 0x00000001L |
Le mot de passe doit être composé d’au moins deux des types de caractères suivants :
|