Produktmanual for Test av svake passord (WPT)

Hvis du vil lære mer om Test av svake passord (WPT), kan du lese avsnittene nedenfor eller se en kort video om Test av svake passord (WPT).

Innføring i WPT

WPT er et gratisverktøy som undersøker Active Directory (AD) for brukerpassord som er utsatt for passordrelaterte angrep.

WPT kobler seg til AD for å hente passordtabellen din ved hjelp av hashede passord og krypteringsalgoritmer. Verktøyet analyserer deretter passordene opp mot ti potensielle passordsvakheter.

Resultatene viser hvilke brukerkontoer som ikke klarte testen, og hvorfor. Denne informasjonen kan gi deg muligheten til å øke organisasjonens krav til passordkompleksitet, lære opp brukerne i sikker passordpraksis eller iverksette andre tiltak for å forbedre organisasjonens sikkerhet.

Systemkrav og forutsetninger

For å kunne kjøre WPT må systemet ditt oppfylle følgende krav:

• Windows 10 eller nyere (32- eller 64-bit), Windows Server 2016 eller nyere
• Active Directory (AD) kjører på Windows Server 2008 R2 eller nyere
• Mulighet til å få tilgang til domenekontroller (DC)
• Internett-tilgang
• .NET Framework 4.7.2 vil bli installert ved behov
• Minst to prosessorer
• Minst 2 GB RAM
• Minst 1 GB ledig plass på harddisken (HDD) på systemstasjonen
• Brukerkontokontroll (UAC) aktivert

Vi anbefaler at du kjører denne testen på et annet system enn DC-en din, ettersom skanneprosessen midlertidig kan generere betydelig nettverkstrafikk og CPU-bruk.

Du trenger følgende informasjon til installasjonen:

1. Lisensnøkkelen du mottok via e-post da du registrerte deg for testen.
2. Domenenavnet til din AD. For eksempel MyDomain.com eller MyDomain.local.
3. Navnet på din DC.
4. Akkreditiver for å koble til AD.

Installasjon og oppsett

Når du har oppfylt systemkravene og forutsetningene, kan du installere og konfigurere WPT. Følg trinnene nedenfor for å komme i gang:

1. Registrer deg for å laste ned WPT-verktøyet på WPT-siden vår, og last ned WPT-installasjonsfilen.
2. Sjekk e-posten din for å hente den unike WPT-lisensnøkkelen du trenger under installasjonsprosessen.
3. Kjør WPT-installasjonsfilen.
4. Les gjennom og godta lisensavtalen. Klikk deretter på Install for å fullføre installasjonen.
5. Klikk på Finish for å starte WPT.
6. Skriv inn lisensnøkkelen fra trinn 1, og klikk påOK.
7. Skriv inn de nødvendige opplysningene fra Active Directory (AD) under Active Directory Details:
   • Domenenavnet til din AD
   • Navnet på din domenekontroller (DC)
8. Under Credentials kan du skrive inn brukernavn og passord for kontoen du opprettet, som har aktivert tillatelsene Replicating Directory Changes og Replicating Directory Changes All.
9. Klikk på Start Test for å starte testen.
10. Testen analyserer AD-kontoene dine for svake passord. Avhengig av størrelsen på din AD og arbeidsstasjonens ytelse, kan denne prosessen ta et minutt eller mer.
11. Resultatene vises på skjermen så snart testen er fullført. Les neste avsnitt for å forstå hver enkelt sårbarhet.

Forstå resultater

WPT-resultatene viser hvor mange kontoer som var sårbare, og hvilken sårbarhet som påvirket hver konto. Avsnittene nedenfor hjelper deg med å navigere i resultatene og forstå hvilke typer passordsårbarheter som er funnet.

Navigere i resultater

Active Directory (AD)-kontoene dine vises som individuelle rader. I hver rad er det én eller flere haker som angir de spesifikke sårbarhetene som er funnet for den aktuelle kontoen. Du kan også søke etter en bestemt konto ved å skrive inn tegn i søkefeltet.

Et kakediagram sammenligner antall og type sårbarheter som er funnet, og kan brukes til å finne de vanligste passordsårbarhetene i organisasjonen din.

Du kan filtrere resultatene etter feiltype hvis du ønsker å analysere en bestemt sårbarhet. Klikk på den spesifikke feiltypen på venstre side av vinduet, så vil kun kontoer med den aktuelle feiltypen stå igjen i listen.

Nedenfor finner du mer informasjon om WPT-brukergrensesnittet:

1. Du kan filtrere resultatene etter type feil ved å klikke på sidepanelet til venstre på siden.
2. Du kan søke etter bestemte AD-kontoer i søkefeltet.
3. Avmerkingene i hver rad angir hvilken type passordsårbarhet som er funnet for hver konto.
4. Du kan eksportere resultatene dine som et Excel-regneark eller en PDF-fil.
5. Klikk på Rerun Test for å kjøre WPT på nytt. Vi anbefaler at du lagrer de gjeldende resultatene før du klikker på denne knappen.

Feiltyper

WPT analyserer dataene dine for å se etter ti ulike feiltyper som kan gjøre organisasjonen sårbar for angrep, som beskrevet nedenfor.

1. Weak Password: Denne feilen indikerer at passordet til den berørte kontoen samsvarte med et av passordene i oversikten over svake passord. Disse passordene er enten svært vanlige, enkle å gjette eller har blitt gjort tilgjengelige for angripere på grunn av tidligere databrudd.
2. Shared Password: Denne feilen indikerer at den berørte kontoen deler passord med minst én annen konto.
3. Empty Password: Denne feilen inkluderer kontoer som ikke har et fast passord.
4. Clear Text Password: Denne feilen omfatter passord som er lagret i klartekst i Active Directory (AD). Dette betyr at brukernes AD-passord lagres ved hjelp av reversibel kryptering.
5. Password Not Required: Denne feilen inkluderer kontoer som ikke kan ha et passord.
6. Password Never Expires: Denne feilen indikerer at tidsavbruddet for passordet for kontoen, er satt til null. På grunn av denne innstillingen vil passordet aldri utløpe, selv om avmerkingsboksen Password Never Expires i brukeregenskapene ikke er merket av. WPT kontrollerer innstillingene for utløp av passord i organisasjonens retningslinjer for domene, finkornede retningslinjer for passord og brukeregenskaper.
7. LM Hash Password: Denne feilen indikerer at den berørte kontoen bruker en LAN-administratorhash, som er en utdatert metode. Disse passordene er sårbare for brute force-angrep og kan raskt knekkes.
8. AES Encryption Not Set: Denne feilen indikerer at kontoen ikke bruker Advanced Encryption Standard (AES) til å kryptere brukerens passord. AES krypterer passord med en 128-bit- eller 256-bit-nøkkel. Passord som bruker AES-kryptering, er mindre sårbare for angrep.
9. DES-Only Encryption: Denne feilen indikerer at de berørte kontoene ble satt opp ved hjelp av den utdaterte DES-mekanismen (Data Encryption Standard). Dette kan skyldes gammel programvare som ikke vet hvordan den skal reagere på AES.

10. Missing Pre-Authentication: Denne feilen indikerer at de berørte kontoene har forhåndsgodkjenning, en sikkerhetsmekanisme, slått av. Når forhåndsgodkjenning er aktivert, opprettes det en kryptert autentiseringsforespørsel, slik at forsøk på å autentisere kontoen logges.

    Denne kontoen kan være utsatt for et brute force-angrep. Brute force-angrep kan skje offline og er vanskelige å oppdage.

Innstillinger

Du kan velge mellom ulike innstillinger for å tilpasse WPT-en din. Les underkapitlene nedenfor for mer informasjon.

Alternative sårbarheter

Du kan aktivere eller deaktivere to passordsårbarheter fra WPT-skanningen: AES Encryption No Set eller Password Never Expires. Klikk på tannhjulet øverst til høyre i vinduet for å åpne disse innstillingene.

Egendefinerte passord

WPT bruker et stort passordbibliotek for å avgjøre om en brukers passord er svakt. Hvis det er bestemte passord du ønsker å inkludere i WPT-skanningen, kan du importere en tekstfil med disse passordene. Klikk på tannhjulet øverst til høyre i vinduet for å åpne denne innstillingen.

Før du importerer tekstfilen, må du sørge for at filen er mindre enn 10 MB, og at du bare inkluderer ett passord på hver linje i filen.

Språk

Du kan endre WPT-språket ved å klikke på språknavnet nederst i høyre hjørne av vinduet.

Sikkerhet

Active Directory (AD) og brukerinformasjonen din er sikret når du bruker WPT. Testresultatene identifiserer bare de brukerkontoene som ikke klarte testen, og hvorfor, slik at du kan iverksette tiltak.

Nedenfor finner du informasjon om hvordan dataene dine håndteres under WPT:

• Ingen informasjon fra AD-en din vil bli overført til KnowBe4 på noe tidspunkt i løpet av testen.
• Dataene som hentes fra AD, er kryptert.
• WPT viser ikke passordene til noen av AD-brukerkontoene dine.
• Passordene i AD er i hash-format, og hash-formatet vil ikke være synlig under testen.
• Informasjonen som innhentes under testen, lagres i det lokale minnet, ikke på disk.