Планирование стратегии
При создании новой учетной записи пользователя единственное требование к паролю — это изменение его пользователем при первой регистрации в системе. Чтобы обеспечить дополнительные меры защиты учетных записей примите к сведению приведенные ниже рекомендации.
- Не разрешайте пустые пароли (то есть не содержащие ни одного символа): они не обеспечивают никакой защиты. Строго запретите использование пустых паролей в системах, подключенных к Интернету, и в системах, к которым возможен доступ по телефонной линии.
- Установите минимальную длину для всех паролей; чем длиннее пароль, тем сложнее его подобрать.
- В сетях со средними требованиями к защите ограничьтесь 6—8 символами.
- В сетях с высокими требованиями к защите рекомендованная длина — от 8 до 14 символов.
- Требуйте, чтобы пользователи регулярно изменяли свои пароли: это еще более усложнит их подбор.
- В сетях со средними требованиями к защите требуйте смены пароля каждые 45-90 дней.
- В сетях с высокими требованиями к защите требуйте смены пароля каждые 14—45 дней.
- Требуйте, чтобы пользователи при каждой смене пароля придумывали новую комбинацию. Обеспечьте невозможность применения недавно использованных паролей.
- В сетях со средними требованиями к защите храните 8—12 ранее использованных паролей.
- В сетях с высокими требованиями к защите храните 12—24 ранее использованных паролей.
- Блокируйте учетные записи после нескольких неудачных попыток регистрации: это уменьшит вероятность несанкционированного доступа к сети.
- В сетях со средними требованиями к защите блокируйте учетные записи после пяти неудачных попыток регистрации в системе.
- В сетях с высокими требованиями к защите блокируйте учетные записи после трех неудачных попыток регистрации в системе.
- Не разрешайте пользователям самостоятельно разблокировать учетную запись — передайте этот вопрос в ведение администратора. Это позволит регистрировать попытки подбора пароля.
- Установите режим принудительного отключения пользователей с ограничением часов регистрации по окончании разрешенного времени.
