Политика блокировки учетных записей
В дополнение к вышеописанной политике пользовательских паролей системы, в операционной системе Windows ХР существует специальный механизм, контролирующий вход пользователей в систему, который в случае обнаружения каких-либо подозрительных действий способен предпринять кое-что для решения этой проблемы. И, тем самым, попытаться предотвратить попытку проникновения в вашу систему. Для настройки этого механизма вам нужно выбрать пункт Политика блокировки учетных записей.
Всего существует три опции, с помощью которых вы можете практически исключить возможность проникновения в вашу систему взломщиков, использующих атаку методом перебора пользовательских паролей. Как бы это просто не казалось, но это так! Подумайте о том, насколько было бы меньше проблем от взломщиков, если бы все пользователи, или хотя бы часть из них, знали о существовании этих опций!
Итак, перейдем к их описанию. Наиглавнейшей из них является Пороговое значение блокировки, которая определяет, будет ли система безопасности отслеживать неудачные попытки входа в систему пользователями, а также после какого их числа будет предпринимать определенные действия. Это необходимо для того, чтобы отслеживать такие атаки.
Дело в том, что все они основываются на методе повторного ввода пароля в атакуемую систему до тех пор, пока он не совпадет с тем паролем, который установил пользователь или системный администратор. И, следовательно, все предыдущие попытки входа в систему, а их, очевидно, будет сделано немало взломщиком, будут отклонены системой как неправильные. По этому критерию — множеству повторяющихся ошибочных попыток входа в систему по одному или нескольким пользовательским учетным записям — и можно отслеживать проведение атак против вашей операционной системы.
Система безопасности начнет отслеживать неудачные попытки входа пользователей в систему после того, как в значении данной опции будет задано любое положительное значение, определяющее максимальное количество неудачных попыток входа. После достижения этого числа, учетная запись, под которой было осуществлено данное количество неудачных входов, будет заблокирована системой, в соответствии с настройками системы безопасности.
Время блокировки учетной записи зависит от опции Блокировка учетной записи на. Оно устанавливается в минутах и по умолчанию имеет значение 30 минут. Таким образом, после определенного количества неудачных попыток входа в систему, заданного параметром Пороговое значение блокировки, произойдет блокировка системы в течение времени, указанного опцией Блокировка учетной записи на. И если значение первого параметра равно 5, а второго — 30, то через каждые пять неправильно введенных паролей, система будет блокироваться на тридцать минут. И в течение этого времени вход в систему будет невозможен для любого пользователя, кроме системного администратора. Данное положение вещей целиком и полностью сводит на нет любые мысли об осуществлении атаки методом перебора паролей пользователей к системе, защищенной таким механизмом.
Вы можете спросить, а как быть, если пользователь просто забыл свой пароль и ему нужно срочно войти в систему и сразу начать работать, а не ждать тридцать минут? Для этого он должен обратиться к системному администратору, если сам им не является. Учетная запись системного администратора никогда не блокируется, и ей всегда можно воспользоваться, чтобы снять блокировку с одного или нескольких пользователей. Это делается в свойствах пользователей. Для этого вам будет нужно с соответствующих учетных записей убрать признак выключения учетной записи, как об этом говорилось ранее, в материале, описывающем работу администратора с пользовательскими учетными записями.
Теперь, вероятно, у вас мог бы возникнуть другой вопрос: а как же быть с учетной записью системного администратора, если она не может быть автоматически отключена системой безопасности, как и учетные записи простых пользователей, в случае подбора паролей? Ответ достаточно прост: да, если не предпринять определенных мер, то взломщики могут, потенциально, подобрать к ней пароль. Но это в хорошо настроенных системах практически невозможно! Во-первых, обычно пароль системного администратора выбирается гораздо более длинным и сложным, чем пароли простых пользователей. Зачастую этот пароль может иметь длину до 20−30 символов и состоять из латиницы, различного регистра, а также самых разнообразных символов. Все это факторы делают подбор пароля совершенно нереальной задачей, даже теоретически. Очень вероятно, что время подбора пароля столь большой сложности может быть гораздо больше времени жизни человека, который в этом заинтересован. Во-вторых, всегда можно переименовать учетную запись системного администратора со стандартного для нее имени «Administrator» или «Администратор» на что-то гораздо более экзотичное и нестандартное, вроде «АигогаЛ». В этом случае, не зная имени учетной записи администратора в вашей системе, начать подбор к ней пароля совершенно невозможно. Таким образом, с помощью как минимум одного из этих методов, достигается надежная защита учетной записи администратора от атаки методом перебора паролей.
Ну а мы переходим к последней опции: Сброс счетчика блокировки через. Данная опция позволяет «забыть» системе через указанное в данной опции время в минутах о том, что до этого были неудачные попытки пользователей входа в нее. Это может быть полезно тогда, когда никакой атаки подбором паролей на самом деле не происходит. А просто пользователь забыл свой пароль, и пытался его вспомнить или угадать, проверяя это вводом в систему. Ввод в данной опции меньшего значения, чем Блокировка учетной записи на, нисколько не ухудшает безопасность вашей системы. Это связано с тем, что робот взломщиков, подбирающий пароли системы обычно работает со скоростью большей, чем одна попытка подбора пароля за одну минуту. Это связано с тем, что у него очень много вариантов, каким может быть ваш пароль, и он должен за приемлемое время испытать все варианты, чтобы найти правильный. Поэтому, даже если вы поставите значение опции Сброс счетчика блокировки через равное одной минуте, это, в подавляющем большинстве случае, не допустит проведение атак с перебором пароля, но разрешит ошибаться вашим пользователям.