Eliminera felaktiga lösenord med Microsoft Entra-lösenordsskydd

Många säkerhetsriktlinjer rekommenderar att du inte använder samma lösenord på flera platser, för att göra det komplext och för att undvika enkla lösenord som Password123. Du kan ge användarna vägledning om hur du väljer lösenord, men svaga eller osäkra lösenord används ofta fortfarande. Microsoft Entra Password Protection identifierar och blockerar kända svaga lösenord och deras varianter, och kan även blockera andra svaga termer som är specifika för din organisation.

Med Microsoft Entra Password Protection tillämpas standardlistor med globala förbjudna lösenord automatiskt på alla användare i en Microsoft Entra-klientorganisation. För att stödja dina egna affärs- och säkerhetsbehov kan du definiera poster i en anpassad lista över förbjudna lösenord. När användarna ändrar eller återställer sina lösenord kontrolleras dessa listor över förbjudna lösenord för att framtvinga användningen av starka lösenord.

Du bör använda andra funktioner som Microsoft Entra multifaktorautentisering, inte bara förlita dig på starka lösenord som framtvingas av Microsoft Entra Password Protection. Mer information om hur du använder flera säkerhetslager för dina inloggningshändelser finns i Din Pa$$word spelar ingen roll.

Lista över globalt förbjudna lösenord

Microsoft Entra ID Protection-teamet analyserar ständigt Microsoft Entra-säkerhetstelemetridata och letar efter vanliga svaga eller komprometterade lösenord. Mer specifikt söker analysen efter bastermer som ofta används som grund för svaga lösenord. När svaga termer hittas läggs de till i den globala listan över förbjudna lösenord. Innehållet i den globala listan över förbjudna lösenord baseras inte på någon extern datakälla, utan på resultatet av Microsoft Entra-säkerhetstelemetri och analys.

När ett lösenord ändras eller återställs för alla användare i en Microsoft Entra-klientorganisation används den aktuella versionen av listan över globalt förbjudna lösenord för att verifiera lösenordets styrka. Den här verifieringskontrollen resulterar i starkare lösenord för alla Microsoft Entra-kunder.

Den globala listan över förbjudna lösenord tillämpas automatiskt på alla användare i en Microsoft Entra-klientorganisation. Det finns inget att aktivera eller konfigurera och kan inte inaktiveras. Den här globala listan över förbjudna lösenord tillämpas på användare när de ändrar eller återställer sitt eget lösenord via Microsoft Entra-ID.

Lista över anpassade förbjudna lösenord

Vissa organisationer vill förbättra säkerheten och lägga till egna anpassningar ovanpå den globala listan över förbjudna lösenord. Om du vill lägga till egna poster kan du använda listan med anpassade förbjudna lösenord. Termer som läggs till i listan över anpassade förbjudna lösenord bör fokuseras på organisationsspecifika termer, till exempel följande exempel:

• Varumärken
• Produktnamn
• Platser, till exempel företagets huvudkontor
• Företagsspecifika interna termer
• Förkortningar som har specifik betydelse för företaget

När villkoren läggs till i listan över anpassade förbjudna lösenord kombineras de med villkoren i listan över globalt förbjudna lösenord. Händelser för ändring eller återställning av lösenord verifieras sedan mot den kombinerade uppsättningen av dessa förbjudna lösenordslistor.

Nu ska vi överväga en kund med namnet Contoso. Företaget är baserat i London och gör en produkt med namnet Widget. För den här exempelkund skulle det vara slösaktigt och mindre säkert att försöka blockera specifika varianter av dessa termer:

• "Contoso!1"
• "Contoso@London"
• "ContosoWidget"
• "! Contoso"
• "LondonHQ"

I stället är det mycket mer effektivt och säkert att endast blockera de viktigaste bastermerna, till exempel följande exempel:

• "Contoso"
• "London"
• "Widget"

Algoritmen för lösenordsvalidering blockerar sedan automatiskt svaga varianter och kombinationer.

Slutför följande självstudie för att komma igång med att använda en anpassad lista över förbjudna lösenord:

Lösenordssprayattacker och komprometterade lösenordslistor från tredje part

Microsoft Entra Password Protection hjälper dig att skydda dig mot lösenordssprayattacker. De flesta lösenordssprayattacker försöker inte attackera ett visst enskilt konto mer än några gånger. Det här beteendet skulle öka sannolikheten för identifiering, antingen via kontoutelåsning eller på annat sätt.

I stället skickar de flesta lösenordssprayattacker bara några av de kända svagaste lösenorden mot vart och ett av kontona i ett företag. Med den här tekniken kan angriparen snabbt söka efter ett enkelt komprometterat konto och undvika potentiella tröskelvärden för identifiering.

Microsoft Entra Password Protection blockerar effektivt alla kända svaga lösenord som sannolikt kommer att användas i lösenordssprayattacker. Det här skyddet baseras på telemetridata för verklig säkerhet från Microsoft Entra-ID för att skapa den globala listan över förbjudna lösenord.

Det finns vissa webbplatser från tredje part som räknar upp miljontals lösenord som har komprometterats i tidigare offentligt kända säkerhetsöverträdelser. Det är vanligt att tredjepartsprodukter för lösenordsverifiering baseras på råstyrkejämförelse mot dessa miljontals lösenord. Dessa tekniker är dock inte det bästa sättet att förbättra den övergripande lösenordsstyrkan med tanke på de typiska strategier som används av lösenordssprayattacker.

Även om den globala listan över förbjudna är liten jämfört med vissa bulklistor från tredje part, kommer den från verklig säkerhetstelemetri om faktiska lösenordssprayattacker. Den här metoden förbättrar den övergripande säkerheten och effektiviteten, och algoritmen för lösenordsvalidering använder även smarta fuzzy-matchningstekniker. Därför identifierar och blockerar Microsoft Entra Password Protection effektivt miljontals av de vanligaste svaga lösenorden från att användas i ditt företag.

Lokala hybridscenarier

Många organisationer har en hybrididentitetsmodell som innehåller ad DS-miljöer (lokal Active Directory Domain Services). Om du vill utöka säkerhetsfördelarna med Microsoft Entra Password Protection till din AD DS-miljö kan du installera komponenter på dina lokala servrar. Dessa agenter kräver lösenordsändringshändelser i den lokala AD DS-miljön för att uppfylla samma lösenordsprincip som i Microsoft Entra-ID.

Mer information finns i Framtvinga Microsoft Entra-lösenordsskydd för AD DS.

Hur utvärderas lösenord

När en användare ändrar eller återställer sitt lösenord kontrolleras det nya lösenordets styrka och komplexitet genom att det verifieras mot den kombinerade listan med villkor från listorna över globala och anpassade förbjudna lösenord.

Även om en användares lösenord innehåller ett förbjudet lösenord kan lösenordet godkännas om det övergripande lösenordet annars är tillräckligt starkt. Ett nyligen konfigurerat lösenord går igenom följande steg för att utvärdera dess övergripande styrka för att avgöra om det ska accepteras eller avvisas.

Steg 1: Normalisering

Ett nytt lösenord genomgår först en normaliseringsprocess. Med den här tekniken kan en liten uppsättning förbjudna lösenord mappas till en mycket större uppsättning potentiellt svaga lösenord.

Normaliseringen har följande två delar:

• Alla versaler ändras till gemener.

• Sedan utförs vanliga teckenersättningar, till exempel i följande exempel:

  Ursprunglig bokstav	Ersatt bokstav
  0	o
  1	l
  $	s
  @	f

Ta följande som exempel:

• Lösenordet "tomt" är förbjudet.
• En användare försöker ändra sitt lösenord till "Bl@nK".
• Även om "Bl@nk" inte är förbjudet konverterar normaliseringsprocessen lösenordet till "tomt".
• Det här lösenordet avvisas.

Steg 2: Kontrollera om lösenordet anses vara förbjudet

Ett lösenord granskas sedan för annat matchande beteende och en poäng genereras. Den här slutpoängen avgör om begäran om lösenordsändring godkänns eller avvisas.

Fuzzy-matchningsbeteende

Fuzzy-matchning används på det normaliserade lösenordet för att identifiera om det innehåller ett lösenord som finns i listan över globala eller anpassade förbjudna lösenord. Matchningsprocessen baseras på ett redigeringsavstånd på en (1) jämförelse.

Ta följande som exempel:

• Lösenordet "abcdef" är förbjudet.

• En användare försöker ändra sitt lösenord till något av följande:

  • "abcdeg" - sista tecknet ändrades från "f" till "g"
  • "abcdefg" - "g" läggs till slutet
  • "abcde" - avslutande "f" togs bort från slutet

• Vart och ett av ovanstående lösenord matchar inte specifikt det förbjudna lösenordet "abcdef".

  Men eftersom varje exempel ligger inom ett redigeringsavstånd på 1 av den förbjudna termen "abcdef" betraktas de alla som en matchning till "abcdef".

• Dessa lösenord avvisas.

Matchning av delsträngar (på specifika villkor)

Delsträngsmatchning används på det normaliserade lösenordet för att söka efter användarens för- och efternamn samt klientorganisationens namn. Matchning av klientnamn görs inte när lösenord verifieras på en AD DS-domänkontrollant för lokala hybridscenarier.

Ta följande som exempel:

• En användare med namnet Poll who wants to reset their password to "p0LL23fb".
• Efter normaliseringen skulle det här lösenordet bli "poll23fb".
• Understrängsmatchning visar att lösenordet innehåller användarens förnamn "Poll".
• Även om "poll23fb" inte var specifikt på någon av de förbjudna lösenordslistan, hittade understrängsmatchning "Poll" i lösenordet.
• Det här lösenordet avvisas.

Poängberäkning

Nästa steg är att identifiera alla instanser av förbjudna lösenord i användarens normaliserade nya lösenord. Poäng tilldelas baserat på följande kriterier:

1. Varje förbjudet lösenord som finns i en användares lösenord ges en poäng.
2. Varje återstående tecken som inte ingår i ett förbjudet lösenord ges en poäng.
3. Ett lösenord måste vara minst fem (5) punkter för att accepteras.

I nästa två exempelscenarier använder Contoso Microsoft Entra Password Protection och har "contoso" i listan över anpassade förbjudna lösenord. Vi antar också att "tom" finns på den globala listan.

I följande exempelscenario ändrar en användare sitt lösenord till "C0ntos0Blank12":

• Efter normaliseringen blir det här lösenordet "contosoblank12".

• Matchningsprocessen visar att det här lösenordet innehåller två förbjudna lösenord: "contoso" och "blank".

• Lösenordet får sedan följande poäng:

  [contoso] + [blank] + [1] + [2] = 4 poäng

• Eftersom det här lösenordet är under fem (5) punkter avvisas det.

Nu ska vi titta på ett lite annorlunda exempel för att visa hur mer komplexitet i ett lösenord kan skapa det antal punkter som krävs för att accepteras. I följande exempelscenario ändrar en användare sitt lösenord till "ContoS0Bl@nkf9!":

• Efter normaliseringen blir det här lösenordet "contosoblankf9!".

• Matchningsprocessen visar att det här lösenordet innehåller två förbjudna lösenord: "contoso" och "blank".

• Lösenordet får sedan följande poäng:

  [contoso] + [blank] + [f] + [9] + [!] = 5 poäng

• Eftersom det här lösenordet är minst fem (5) poäng godkänns det.

Vad ser användarna

När en användare försöker återställa eller ändra ett lösenord till något som skulle förbjudas visas något av följande felmeddelanden:

"Tyvärr innehåller lösenordet ett ord, en fras eller ett mönster som gör lösenordet lätt att gissa. Försök igen med ett annat lösenord."

" Vi har sett lösenordet för många gånger tidigare. Välj något som är svårare att gissa."

"Välj ett lösenord som är svårare för människor att gissa."

Licenskrav

Mer information om licensiering finns på prissättningswebbplatsen för Microsoft Entra.

Nästa steg

Slutför följande självstudie för att komma igång med att använda en anpassad lista över förbjudna lösenord:

Du kan också aktivera lokalt Microsoft Entra-lösenordsskydd.