使用 SpyCloud Active Directory Guardian 简化 NIST 密码指南

核心观点与关键数据

问题背景
70%的数据泄露源于用户重复使用已泄露的密码，攻击者通过凭证填充和密码喷射攻击利用这一习惯进行账户接管。NIST密码指南旨在通过禁止使用“常用、预期或已被泄露”的密码来减轻风险，但强制执行存在挑战。

NIST密码指南要求
NIST特别出版物800-63B建议组织将凭证与“常用、预期或已被泄露”的密码列表比对，包括字典单词、重复字符及泄露事件中的密码。SpyCloud维护全球最大的被盗凭证数据库，每月新增10亿资产，帮助组织自动识别和重置暴露的密码。

主要功能与优势

• 自动检测与重置：Active Directory Guardian通过比对员工密码与SpyCloud数据库，自动阻止、识别和重置被泄露的密码，减少与NIST指南保持一致的时间、成本和资源。
• 早期访问漏洞数据：SpyCloud提前获取地下犯罪活动的漏洞数据，在犯罪分子破解密码前提供解决方案，帮助组织立即识别匹配项。
• 保护账户接管：通过检测和重置暴露的密码，防止攻击者利用泄露凭证接管Active Directory账户。
• 跨账户密码重用识别：检测员工在不同工作和个人账户间重复使用密码，弥补安全盲点。
• 禁止常见密码：比对员工凭证与禁用密码列表（包括字典单词、重复字符及上下文术语），防止使用高风险密码。

技术实现

• 密码过滤器：安装于域控制器，在创建密码时检查连续字符、顺序字符、禁用字典密码及SpyCloud泄露数据库中的密码，阻止弱密码或泄露密码。
• 扫描器：基于浏览器的应用程序，本地运行并与Active Directory密码的NTLM哈希进行比对，无需登录用户账户，避免锁定风险。

数据安全

• k-匿名方法：仅发送密码前五个哈希字符，不传输明文密码，确保数据安全。
• 临时内存存储：下载的数据和哈希值存储在临时内存中，不缓存或保存到磁盘，内存数据加密。
• 默认不推送数据：除非用户选择与整个SpyCloud数据库比对，否则不将数据推送到SpyCloud。

研究结论
Active Directory Guardian通过自动化检测、重置和报告暴露的凭证，帮助组织与NIST准则保持一致，减少安全团队的工作量，保护组织免受账户接管攻击。其结合密码过滤器和扫描器的双重防护机制，从密码创建和持续监测两个阶段保障密码安全。