IT-afdelingen kan svare hurtigt på, hvad adgangskodepolitikken i domænet kræver. Det sværere spørgsmål er, om den faktisk gælder for alle konti, og om de adgangskoder, der er i brug, lever op til den. Svaret hviler på forskellen mellem politik og virkelighed: en test måler ikke indstillingen i sig selv, men hvad der findes i kataloget i dag, efter år med undtagelser, gamle konti og særlige behov.
Rapporten bruger derfor ikke nødvendigvis ordet politik alene. Den beskriver konkrete konti, der falder uden for reglerne, og den vurderer, om politikken er indrettet efter den måde, angreb på adgangskoder foregår i dag.
Politikken, som den står skrevet
Active Directory har en standardpolitik for domænet, som sætter krav til længde, kompleksitet, historik og låsning efter mislykkede forsøg. Microsoft beskriver desuden finkornede politikker, der kan give forskellige krav til forskellige grupper i samme domæne, fx strengere regler for privilegerede konti. Begge dele er legitime værktøjer. Problemet opstår, når ingen længere har overblik over, hvilke regler der gælder for hvem.
En opsætning kan have vokset sig kompleks: én regel for de fleste, en lempeligere for et bestemt fagsystem, en undtagelse for en gruppe, der klagede over låste konti. Hver beslutning var rimelig på tidspunktet. Samlet giver de en politik, som ingen kan forklare uden at slå op.
Tag et tænkt eksempel: et kontornet, hvor driftsleverandøren for år tilbage oprettede en gruppe til et lønsystem, som ikke kunne håndtere lange adgangskoder. Systemet er udskiftet, men gruppen og dens lempelige regler findes stadig, og nye medarbejdere bliver fortsat meldt ind. Den slags rester kan være det, rapporten peger på, og de er lette at rette, når de først er fundet.
Det, testen ser på
Testen ser ikke kun på indstillingerne, men på, hvordan de virker i praksis. Den beskrives bedst som en række spørgsmål, rapporten kan besvare.
- Hvilke regler gælder · standardpolitikken og eventuelle finkornede politikker, og hvilke grupper de rammer.
- Hvem falder udenfor · konti, hvor adgangskoden aldrig udløber, aldrig har været skiftet, eller hvor kravene er slået fra.
- Svage valg · om adgangskoder i brug er lette at gætte, fx sæsonord, firmanavn eller mønstre, som brugerne har valgt for at opfylde kompleksitetskravet.
- Genbrug · om samme adgangskode går igen på tværs af konti, herunder mellem en medarbejders almindelige konto og en administratorkonto.
- Tjenestekonti · om konti, som programmer bruger, har adgangskoder, der hverken skiftes eller lever op til politikken. → Tjenestekonti
Om testeren må forsøge at gætte adgangskoder mod rigtige konti, aftales på forhånd. Den del kan låse konti og forstyrre brugerne, så den kræver en klar grænse. → Låste konti under testen
Køberens generelle spørgsmål om login som testområde er beskrevet på penetrationtest.dk. Her handler det om, hvad IT-afdelingen gør med svaret.
Hvad fundene betyder
Et fund om adgangskoder er ikke nødvendigvis alvorligt alene. Det bliver alvorligt i sammenhæng. En let gættelig adgangskode på en almindelig brugerkonto giver en vej ind i kataloget. Den samme svaghed på en konto med høje rettigheder kan give en vej til hele domænet.
Læs derfor fundene med to spørgsmål for øje: hvor mange konti er berørt, og hvilke rettigheder har de? Ti svage adgangskoder på konti uden særlige rettigheder er en anden opgave end én svag adgangskode på en konto i en privilegeret gruppe. → Privilegerede grupper i Active Directory
Hvis rapporten viser, at mange brugere har valgt adgangskoder efter samme mønster, peger det på selve politikken. Kompleksitetskrav fører ifølge NCSC i Storbritannien ofte til forudsigelige valg, og tvungne skift med faste mellemrum giver mest besvær uden reel gevinst. NCSC anbefaler i stedet en minimumslængde, en liste over forbudte, almindelige adgangskoder og skift, når der er mistanke om, at en adgangskode er kendt.
Krav fra standarder
Nogle virksomheder skal også leve op til en standard. PCI DSS stiller i krav 8 blandt andet krav om en minimumslængde, om låsning efter et begrænset antal forsøg og om, at adgangskoder ikke må genbruges fra de seneste. Microsoft Learn gengiver kravene sammen med sin egen vejledning. Er I omfattet, skal politikken holdes op mod den gældende udgave af standarden. Testen kan vise, hvordan virkeligheden ser ud, men den afgør ikke, om I opfylder kravet.
Bemærk, at anbefalingerne ikke altid peger samme vej. En standard kan kræve faste skift, hvor en myndighed fraråder dem. Afklar, hvilke krav der binder jer, før politikken ændres.
Sådan strammer I op
Rettelserne falder i tre lag, og rækkefølgen betyder noget.
- Konti udenfor · start med de konti, der står i fundet. Skift adgangskoder, der er kendt af testeren, og fjern undtagelser, der ikke længere har et formål. → Skal adgangskoder nulstilles efter testen?
- Privilegerede konti · giv konti med høje rettigheder strengere krav end resten, og beskyt dem med mere end en adgangskode, hvor det er muligt.
- Selve politikken · gennemgå længdekrav, forbudte adgangskoder og reglerne for skift, og skær antallet af særregler ned, så politikken igen kan forklares på en side.
Tænk brugerne med fra start. En strammere politik uden forklaring giver flere opkald til servicedesken og nye mønstre, der er lige så lette at gætte. Vejledning om lange adgangssætninger og en tydelig besked om, hvornår der skal skiftes, gør mere end endnu en kompleksitetsregel.
Hvor der allerede er tofaktor på login, mister en svag adgangskode noget af sin betydning, men kun hvis tofaktor gælder overalt. Undtagelser fra tofaktor bør gennemgås i samme omgang. → Tofaktor med huller
Det skal I lade være med
- At læse politikken og tro, at den gælder alle. Undtagelser og gamle konti er netop det, testen finder.
- At svare på fundet med flere kompleksitetskrav. Det giver ofte nye, forudsigelige mønstre.
- At glemme tjenestekonti. De kan stå uden for politikken og have høje rettigheder.
- At lade adgangskoder, testeren har set, være uændrede. De skal betragtes som kendte.
- At ændre politikken uden at tjekke krav fra standarder, I er bundet af.
Hvad kan og ikke kan konkluderes
Testen viser, hvilke regler der gjaldt, hvilke konti der faldt udenfor, og om adgangskoder i brug kunne gættes inden for de aftalte rammer. Den kan ikke vise, hvor stærke alle adgangskoder er, og den siger intet om, hvordan brugerne vælger, efter at politikken er ændret. Testen er heller ikke en vurdering af, om I opfylder en bestemt standard.
Tjekliste til adgangskodepolitikken
- ☐ Ved I, hvilke politikker der gælder for hvilke grupper?
- ☐ Er konti uden udløb eller uden krav gennemgået og begrundet?
- ☐ Har privilegerede konti strengere krav og ekstra beskyttelse?
- ☐ Findes der en liste over forbudte, almindelige adgangskoder?
- ☐ Er adgangskoder, testeren har set, skiftet?
- ☐ Er politikken holdt op mod de standarder, I er bundet af?
Kilder
- Microsoft Learn: Configure fine grained password policies for AD DS: forskellige politikker for adgangskoder og låsning til forskellige grupper i samme domæne, fx strengere for privilegerede konti.
- NCSC: Password policy, updating your approach: fraråder kompleksitetskrav og faste skift, anbefaler minimumslængde, liste over forbudte adgangskoder og særskilte konti til administratorer.
- Microsoft Learn: Microsoft Entra ID and PCI-DSS Requirement 8: gengivelse af PCI DSS krav 8.3 om minimumslængde, låsning efter mislykkede forsøg og genbrug af tidligere adgangskoder.
Senest gennemgået: oktober 2026.
Næste skridt
Del af: Artikler til IT-afdelingen
Læs også: Active Directory-test i dybden · Én konto til alt
→ Kontakt · Tlf. 70 13 63 23 · Penetrationstest hos Nielco IT
