Hem kullanıcılar hem de yöneticiler için sinir bozucu olan şifre yönetimi, herhangi bir kuruluşta yönetmek için zor olabilir. Kayıp veya çalınan bir şifre, bir saldırganın içeri girmesine izin veren kuruluşunuzun temelindeki çatlak olabilir.
Geleneksel şifre önerileri, düzenli değişikliklerin ve uzun ve karmaşık şifrelerin saldırganları uzak tutacağına karar vermiştir. Birçok yönerge yayınlanmıştır, ancak son yıllarda geleneksel bilgelik değişmektedir.
Başlangıçta 2017'de yayınlanan ancak 2020'de güncellenen böyle bir kılavuz, NIST şifre kılavuz standartlarıdır (NIST Özel Yayın 800-63 Revizyon 3). Önemli bir değişiklik, düzenli şifre değişiklikleri için önceki tavsiyenin kaldırılmasını içeriyordu.
Bir kullanıcının şifrelerini düzenli olarak döndürmemesi için NIST önerilerine rağmen, bu, şifre sıfırlamalarını kullanmak için hala geçerli bir neden olmadığı anlamına gelmez. Şifre sıfırlarının mantıklı olduğu ve nerede yetersiz kalabileceklerinin bazı artıları ve eksileri aşağıdadır.
Profesyonel
Eksileri
Normal şifre sıfırlaması, çalınan bir şifrenin sınırlı bir süre için uygun olduğu anlamına gelir.
Bir kullanıcının güvensiz şifrelere yol açan tipik bir şifre modeli kullanması daha olasıdır.
İhlal edilen bir şifre bulunduğunda, bir şifre sıfırlama zorlamak kullanıcıların güvensiz şifreleri kullanmaya devam etmemesini sağlar.
Bir kuruluş, bir şifre değişikliğinde ihlal edilen şifreleri kontrol ederek gelecekteki sıfırlamalardan kaçınabilir.
Kayıp cihazlar, önbelleğe alınmış bir şifrenin kullanılmamasını sağlamak için bir şifre değişikliği gerektirmelidir.
Çok faktörlü doğrulama, kayıp bir cihazı, özellikle şifreli cihazlarda, güvenlik sorunundan daha fazla rahatsızlık haline getirir.
Tüm bu potansiyel senaryolarla, şifre çizelgesini nasıl sıfırlar veya planlanmamış gerçek ekonomik ve üretkenlik hasarına neden olur?
Birçok kullanıcı bir şifre sıfırlamasını korkutur. Bir prosedür veya problemden kaynaklanıyor olsun, her zaman bir maliyet vardır. Bir kullanıcının iş gününü başlatmak üzere olduğu, ancak şirket politikası nedeniyle şifrelerini döndürmesi gereken senaryoyu hayal edin. Bu nadir değildir, çünkü birçok kullanıcı şifre değişikliği için son dakikaya kadar beklediğinden, kilitli hesaplara ve beklenenden daha uzun parola biletlerini sıfırlar.
Çalışmalarda Gartner Grubu, tüm yardım masası çağrılarının% 20 ila% 50'sinin şifre sıfırlamaları için olduğunu buldu. Sadece bu değil, her şifre sıfırlaması bir düzeltme için genellikle 2-30 dakika sürebilir. Bir yardım masasının şifre sıfırlamalarında bir azalma ile gerçekleştirebileceği zaman ve maliyet tasarrufu, daha karmaşık sorunlara daha fazla odaklanma anlamına gelir.
Sistemlerin artan ara bağlantısı genellikle bu zaman taahhütlerini birleştirir. Active Directory gibi bir kimlik doğrulama sistemi için, bir şifre sıfırlaması, kullanıcı hesabı şifre değişikliğinin tüm bağlı etki alanı denetleyicilerine (DC) çoğaltılması gerektiği anlamına gelir.
Daha fazla uzak çalışanlarla bu, DC'lerin coğrafi olarak yayıldığı ve daha uzun çoğaltma sürelerine yol açtığı anlamına gelebilir. Karışıma ek alt sistemler eklemek, bazıları manuel senkronizasyonla bile, sorunu daha da birleştirebilir!
Bir şifre sıfırlaması için çözünürlük için 30 dakika veya daha uzun süredir devam eden herhangi bir kullanıcı, bundan kaçınmak için ellerinden geleni yapacaktır. Kullanıcılar şifre sıfırlama sorunlarından nasıl kaçınabilir? Güçlü bir şifre seçmek yerine, tekrarlayan bir desen gibi kolayca hatırlanan birini tercih edebilirler. Veya, genellikle güvensiz bir konumda bırakarak şifreyi yazabilirler.
Bir kullanıcı şifresini sıfırlamak için pencereyi özlediğinde veya en son kaç değişiklik olduğu için en son şifreyi unuttuğunda ne olur? Kullanıcının sadece aşırı çalışan yardım masasına ulaşması gerekmez, aynı zamanda bu arada çalışmak yerine bir çözünürlük beklemeye devam eder.
Ayrıca, bir kullanıcı kilitlendiğinde, şifre sıfırlaması diğer hayati görevlere göre öncelik alır, çünkü bu kullanıcı artık çalışamaz. Herhangi bir kuruluşun önceliği bu bireysel üretken bir kez daha elde etmek olacaktır. Böylece, bir şifre sıfırlaması mutlaka bir yardım masasının dikkatini yönlendirir.
Son yılların ve çalışmaların da gösterdiği gibi, daha uzak çalışmaya geçiş azalan değildir. Amerikalıların% 58'i haftada en az bir gün evden çalışma fırsatı olduğunu bildirdi. Potansiyel bir fayda daha esnek çalışma saatleridir.
Hem çalışanlar hem de işverenler için esnek çalışma saatlerinin birçok faydası vardır, ancak bu aynı zamanda bir şifre sıfırlaması gerektiğinde, yardım masası saatlerinin dışında olabileceği anlamına gelir. Yardım olmadan, çalışan ertesi güne kadar sıkışır ve potansiyel olarak daha fazla verimlilik kaybına yol açar.
Ayrıca, şifreler her büyüklükteki kuruluş için pahalı bir yük olabilir. Forrester Research, tek bir şifre sıfırlaması için ortalama yardım masası işçilik maliyetinin yaklaşık 70 $ olduğunu belirtiyor. Bu, belirli bir yılda yapılan birçok şifre sıfatıyla birleştirilen bir kullanıcı için kaybedilen üretkenliği dikkate almaz.
Yubico destekli bir rapora göre, ortalama kullanıcı parola sıfırlamalarında yılda 10.9 saat geçirdi ve 15.000 kullanıcı bir kuruluş için yılda ortalama 5,2 milyon dolarlık bir zarar vermeye yol açtı (ortalama 32 dolarlık). Yubico raporu son kullanıcıya odaklandı, ancak bu sadece zaman yatırımı yatıyordu.
Yardım masası için, bir onelogin çalışması, şirketlerin% 37'sinin şifre sıfırlamalarında haftada 6 saatten fazla harcadığını buldu. Bu, bir yardım masası çalışanının diğer daha kritik görevlere odaklanabileceği veya hatta genel olarak daha az yardım masası çalışanına ihtiyaç duyan bir kuruluşa yol açabileceği zamanı!
Tüm bu zorluklarla, bir kuruluş şifre sıfırlamalarının etkisini azaltmak için ne yapabilir? Bir adım, en son NIST yönergelerini uygulamak ve düzenli şifre sıfırlamalarından uzaklaşmak olacaktır. Ancak, bir kullanıcı kaçınılmaz olarak bir şifreyi unutacaktır veya ilgisiz bir ihlal de bir uzlaşmaya yol açabilir.
Bir kuruluşun zaman, para ve üretkenlikten tasarruf etmesinin en iyi yolu, kullanıcıları kendi kendine servis şifresi sıfırlama çözümü ile güçlendirmektir. SpecOps URESET, kullanıcıların zaman alıcı ve potansiyel olarak pahalı bir BT Help masası aramasına ihtiyaç duymadan şifrelerini sıfırlamasına izin vermek için çeşitli özellikler sunar.
Parola sıfırlamaları, bazı durumlarda bir zorunluluk ise, yardım masası ve bir kuruluşun kârlılığı üzerinde daha az etkisi olan self servis olabilir. Neyse ki, güvenli bir self servis şifre sıfırlama çözümü deneyimlemek için Active Directory'de SpecOps URESET'i test edebilirsiniz.
Specops Software tarafından sponsorlu ve yazılmıştır
Windows 11'in geliştirilmiş kimlik avı koruması şifrenizi nasıl korur?
"Pizza123" şifresi bir organizasyonu nasıl düşürebilir
Windows Active Directory'nizdeki kısa mesaj doğrulama kusurları
MFA yorgunluk saldırıları kuruluşunuzu riske atıyor
Active Directory'nize partiprezleri uygulamak için Regex'i Kullanma
Kaynak: Bleeping Computer