Để tìm hiểu về Weak Password Test (WPT), hãy đọc các mục bên dưới hoặc xem video ngắn về Weak Password Test (WPT).

Giới thiệu về WPT

WPT là một công cụ miễn phí giúp kiểm tra Active Directory (AD) của bạn để tìm mật khẩu người dùng có thể trở thành mục tiêu của các cuộc tấn công liên quan đến mật khẩu.

WPT kết nối với AD của bạn để lấy lại bảng mật khẩu bằng cách sử dụng mật khẩu có dạng hàm băm và thuật toán mã hóa. Sau đó, công cụ này sẽ phân tích mật khẩu dựa trên mười lỗ hổng mật khẩu tiềm ẩn.

Kết quả sẽ hiển thị tài khoản người dùng nào không vượt qua bài kiểm tra kèm theo lý do. Dựa trên thông tin này, bạn có thể tăng yêu cầu về độ phức tạp của mật khẩu trong tổ chức, đào tạo người dùng về các biện pháp quản lý mật khẩu an toàn hoặc thực hiện các hành động khác để tăng cường bảo mật cho tổ chức.

Yêu cầu hệ thống và điều kiện tiên quyết

Để chạy WPT, hệ thống của bạn phải đáp ứng các yêu cầu sau:

• Windows 10 trở lên (32 hoặc 64 bit), Windows Server 2016 trở lên
• Active Directory (AD) chạy trên Windows Server 2008 R2 trở lên
• Khả năng truy cập trình điều khiển miền (DC)
• Quyền truy cập Internet
• .NET Framework 4.7.2 (sẽ được cài đặt nếu cần)
• Tối thiểu hai bộ xử lý
• Tối thiểu 2 GB RAM
• Tối thiểu 1 GB dung lượng ổ đĩa cứng (HDD) còn trống trên ổ đĩa hệ thống
• Tính năng Kiểm soát tài khoản người dùng (UAC) đã bật

Bạn nên chạy bài kiểm tra này trên một hệ thống khác ngoài DC vì quá trình quét có thể tạm thời tạo ra lưu lượng truy cập mạng và lưu lượng sử dụng bộ xử lý trung tâm (CPU) ở mức đáng kể.

Để cài đặt, bạn sẽ cần những thông tin sau:

1. Mã cấp phép mà bạn nhận được qua email khi đăng ký làm bài kiểm tra.
2. Tên miền của AD. Ví dụ: MyDomain.com hoặc MyDomain.local.
3. Tên của DC.
4. Chứng danh để kết nối với AD.

Cài đặt và thiết lập

Sau khi đáp ứng các yêu cầu hệ thống và điều kiện tiên quyết, bạn có thể cài đặt và thiết lập WPT. Để bắt đầu, hãy làm theo các bước bên dưới:

1. Đăng ký để tải công cụ WPT trên trang WPT của chúng tôi và tải tệp cài đặt WPT.
2. Kiểm tra email để lấy mã cấp phép WPT duy nhất mà bạn cần sử dụng trong quá trình thiết lập.
3. Chạy tệp cài đặt WPT.
4. Xem và chấp nhận thỏa thuận cấp phép. Sau đó, nhấp chuột vào Install (Cài đặt) để hoàn tất cài đặt.
5. Nhấp chuột vào Finish (Xong) để khởi chạy WPT.
6. Nhập mã cấp phép của bạn từ Bước 1 và nhấp vào OK.
7. Trong mục Active Directory Details (Chi tiết Active Directory), hãy nhập các thông tin chi tiết bắt buộc từ Active Directory (AD) của bạn:
   • Tên miền của AD
   • Tên của trình điều khiển miền (DC)
8. Trong mục Credentials (Chứng danh), nhập tên người dùng và mật khẩu của tài khoản bạn đã tạo. Tài khoản này phải hỗ trợ quyền Sao chép thay đổi trong thư mục và Sao chép tất cả thay đổi trong thư mục.
9. Nhấp chuột vào Start Test (Bắt đầu bài kiểm tra) để bắt đầu bài kiểm tra.
10. Bài kiểm tra sẽ phân tích tài khoản AD của bạn để tìm mật khẩu yếu. Quá trình này có thể mất một phút hoặc lâu hơn, tùy thuộc vào kích thước AD và hiệu suất máy tính của bạn.
11. Kết quả sẽ được hiển thị trên màn hình ngay khi bài kiểm tra hoàn tất. Để hiểu rõ từng lỗ hổng, hãy đọc mục tiếp theo.

Hiểu rõ về kết quả của bạn

Kết quả WPT sẽ cho biết số lượng tài khoản dễ bị tấn công và lỗ hổng nào ảnh hưởng đến từng tài khoản. Các mục bên dưới sẽ giúp bạn chuyển đến kết quả và hiểu rõ các loại lỗ hổng mật khẩu tìm thấy.

Chuyển đến kết quả

Các tài khoản Active Directory (AD) của bạn sẽ được liệt kê thành từng hàng. Mỗi hàng sẽ có một hoặc nhiều dấu kiểm cho biết các lỗ hổng cụ thể được tìm thấy cho tài khoản đó. Bạn cũng có thể tìm kiếm một tài khoản cụ thể bằng cách nhập các ký tự vào khung tìm kiếm.

Số lượng và loại lỗ hổng tìm thấy được so sánh trong biểu đồ hình tròn. Bạn có thể sử dụng biểu đồ này để xác định lỗ hổng mật khẩu phổ biến nhất trong tổ chức của mình.

Bạn có thể lọc kết quả theo kiểu lỗi nếu muốn phân tích một lỗ hổng cụ thể. Để lọc, hãy nhấp chuột vào kiểu lỗi cụ thể ở phía bên trái của cửa sổ. Khi đó, danh sách sẽ chỉ hiển thị những tài khoản có kiểu lỗi này.

Dưới đây là thông tin bổ sung về giao diện người dùng WPT:

1. Bạn có thể lọc kết quả theo kiểu lỗi bằng cách nhấp chuột vào thanh bên ở phía bên trái của trang.
2. Bạn có thể tìm kiếm tài khoản AD cụ thể trên thanh tìm kiếm.
3. Các dấu kiểm ở mỗi hàng biểu thị loại lỗ hổng mật khẩu tìm thấy của mỗi tài khoản.
4. Bạn có thể xuất kết quả dưới dạng bảng tính Excel hoặc tệp PDF.
5. Nhấp vào Rerun Test (Chạy lại bài kiểm tra) để chạy lại WPT. Bạn nên lưu kết quả hiện tại trước khi nhấp chuột vào nút này.

Kiểu lỗi

WPT sẽ phân tích dữ liệu để tìm ra mười kiểu lỗi khác nhau có thể khiến tổ chức của bạn dễ bị tấn công, được nêu chi tiết ở bên dưới.

1. Mật khẩu yếu: Lỗi này cho biết mật khẩu của tài khoản bị ảnh hưởng khớp với một trong những mật khẩu được liệt kê trong danh mục mật khẩu yếu của chúng tôi. Những mật khẩu này rất phổ biến, dễ đoán hoặc đã bị kẻ tấn công khai thác từ các vụ vi phạm dữ liệu trong quá khứ.
2. Mật khẩu dùng chung: Lỗi này cho biết tài khoản bị ảnh hưởng dùng chung mật khẩu với ít nhất một tài khoản khác.
3. Mật khẩu trống: Lỗi này bao gồm cả những tài khoản không đặt mật khẩu.
4. Mật khẩu dạng văn bản rõ ràng: Lỗi này bao gồm cả mật khẩu được lưu trữ dưới dạng văn bản rõ ràng trong Active Directory (AD). Điều này có nghĩa là mật khẩu AD của người dùng được lưu trữ bằng phương pháp mã hóa có thể đảo ngược.
5. Không cần mật khẩu: Lỗi này bao gồm cả những tài khoản không cần mật khẩu.
6. Mật khẩu không bao giờ hết hạn: Lỗi này cho biết tài khoản đã đặt thời gian chờ mật khẩu bằng 0. Với cài đặt này, ngay cả khi không chọn hộp kiểm Mật khẩu không bao giờ hết hạn trong thuộc tính của người dùng, thì mật khẩu của họ cũng sẽ không bao giờ hết hạn. WPT sẽ kiểm tra cài đặt hết hạn mật khẩu trong chính sách miền, chính sách mật khẩu chi tiết và thuộc tính người dùng của tổ chức.
7. Mật khẩu hàm băm LM: Lỗi này cho biết tài khoản bị ảnh hưởng sử dụng hàm băm của trình quản lý Mạng cục bộ (LAN) – một phương pháp lỗi thời. Những mật khẩu này dễ bị tấn công bằng phương pháp brute force (dò mật khẩu ngẫu nhiên) và có thể bị bẻ khóa nhanh chóng.
8. Chưa thiết lập phương pháp mã hóa AES: Lỗi này cho biết tài khoản không sử dụng Tiêu chuẩn mã hóa nâng cao (AES) để mã hóa mật khẩu của người dùng. AES mã hóa mật khẩu bằng khóa 128 bit hoặc 256 bit. Mật khẩu sử dụng mã hóa AES sẽ khó bị tấn công hơn.
9. Mã hóa chỉ bằng DES: Lỗi này cho biết các tài khoản bị ảnh hưởng được thiết lập bằng cơ chế Tiêu chuẩn mã hóa dữ liệu (DES) đã ngừng hoạt động. Đây có thể là kết quả của phần mềm cũ không biết cách phản ứng với AES.

10. Thiếu phương pháp xác thực trước: Lỗi này cho biết các tài khoản bị ảnh hưởng đã tắt cơ chế bảo mật xác thực trước. Khi được bật, cơ chế xác thực trước sẽ tạo một yêu cầu xác thực được mã hóa để ghi lại các lần xác thực tài khoản.

    Tài khoản này có thể dễ bị tấn công bằng phương pháp brute force. Cuộc tấn công bằng phương pháp brute force có thể thực hiện khi không có kết nối mạng và rất khó bị phát hiện.

Cài đặt

Có nhiều cài đặt khác nhau mà bạn có thể chọn để tùy chỉnh WPT của mình. Đọc các tiểu mục bên dưới để biết thêm thông tin.

Optional Vulnerabilities (Lỗ hổng tùy chọn)

Bạn có thể bật hoặc tắt hai lỗ hổng mật khẩu trong quá trình quét WPT: AES Encryption No Set (Chưa thiết lập phương pháp mã hóa AES) hoặc Password Never Expires (Mật khẩu không bao giờ hết hạn). Để truy cập các cài đặt này, hãy nhấp vào biểu tượng bánh răng ở góc trên bên phải của cửa sổ.

Mật khẩu tùy chỉnh

WPT sử dụng thư viện mật khẩu lớn để xác định xem mật khẩu của người dùng có yếu hay không. Nếu có mật khẩu cụ thể mà bạn muốn đưa vào quá trình quét WPT, thì bạn có thể nhập tệp văn bản có chứa những mật khẩu này. Để truy cập cài đặt này, hãy nhấp vào biểu tượng bánh răng ở góc trên bên phải của cửa sổ.

Trước khi nhập tệp văn bản, hãy đảm bảo rằng tệp của bạn có dung lượng dưới 10 MB và bạn chỉ nhập một mật khẩu trên mỗi dòng của tệp.

Ngôn ngữ

Bạn có thể thay đổi ngôn ngữ WPT bằng cách nhấp chuột vào tên ngôn ngữ ở góc dưới bên phải của cửa sổ.

Bảo mật

Active Directory (AD) và thông tin người dùng của bạn được bảo mật khi sử dụng WPT. Kết quả kiểm tra chỉ xác định những tài khoản người dùng không vượt qua bài kiểm tra và lý do để bạn có thể hành động.

Dưới đây là thông tin chi tiết về cách dữ liệu của bạn được xử lý trong WPT:

• Không có thông tin nào từ AD của bạn được gửi tới KnowBe4 tại bất kỳ thời điểm nào trong quá trình kiểm tra.
• Dữ liệu được lấy từ AD của bạn sẽ được mã hóa.
• WPT không hiển thị mật khẩu của bất kỳ tài khoản người dùng AD nào.
• Mật khẩu trong AD được định dạng hàm băm và định dạng này sẽ không hiển thị trong quá trình kiểm tra.
• Thông tin thu được trong quá trình kiểm tra được lưu vào bộ nhớ cục bộ chứ không phải vào ổ đĩa.