Підтвердження політики паролів на існуючих користувачах

Нещодавно я потрапив у середовище, коли для багатьох вхідних баз даних не enforce_password_policyвключено прапор.
Майбутній аудит вимагає перевірити паролі цих входів.

Я використовував наступний запит, щоб отримати список входів і те, чи увімкнено чи вимкнено прапори.

select 
    @@SERVERNAME as servername, 
    name, 
    IS_SRVROLEMEMBER('sysadmin', name) as SYSADMIN,
    type_desc,
    create_date,
    is_policy_checked,
    is_disabled,
    password_hash,
    PWDCOMPARE(name, password_hash) as UsernameAsPassword
FROM sys.sql_logins

Однак це не говорить про те, чи дійсно паролі відповідають політиці щодо паролів, оскільки прапор має значення лише під час створення користувача.

Чи відомий спосіб перевірити існуючих користувачів на відповідність політиці паролів?
У мене немає доступу до старих паролів, і я вважаю за краще метод, який їх не вимагає.

Це може не користуватися популярністю серед ваших користувачів, але я вважаю, що єдиний спосіб, який ви можете точно знати, - це змусити змінити пароль для кожного входу в SQL CHECK_POLICY = ON. Це створить набір ALTER LOGINкоманд із порожніми паролями, ви можете оновити запит, надаючи їм загальний пароль, або оновити кожен вручну окремими паролями - просто переконайтеся, що вони відповідають вашій політиці. Звичайно, ви повинні бути впевнені, що політика щодо паролів настільки ж складна, як ви очікували, і що вона ввімкнена (Панель управління> Адміністративні засоби> Локальна політика безпеки> Політика облікового запису> Політика паролів> Пароль повинен відповідати вимогам складності).

SELECT N'ALTER LOGIN ' + QUOTENAME(name) 
  + N' WITH PASSWORD = N'''' MUST_CHANGE, CHECK_POLICY = ON;' 
  FROM sys.sql_logins 
  --WHERE is_policy_checked = 0;

Стів Джонс писав про це деякий час назад. Зауважте, що - через те, що я виявив нижче - ви не можете розраховувати на is_policy_checked = 1те, що пароль насправді відповідає вашій поточній політиці, оскільки логін міг бути створений за допомогою хешованого пароля (у такому випадку простого текстового пароля не може бути перевірено) або тоді, коли локальна політика складності була відключена (що все ще призводить до is_policy_checked = 1).

Ще один підхід, який я думав, що буде спрацювати, - це спробувати створити копію кожного логіна з їх поточним password_hashта з CHECK_POLICY = ON, і зробити помітку кожного, хто не працює. Однак це не може працювати - навіть при CHECK_POLICY = ONцьому воно не виконує перевірку вже хешованих паролів. Я включу код для нащадків - але, за задумом, політику просто неможливо перевірити.

SELECT N'BEGIN TRY
  CREATE LOGIN ' + QUOTENAME(N'copy_of_' + name) 
    + N' WITH PASSWORD = ' 
    + CONVERT(NVARCHAR(255), password_hash, 1)
    + ' HASHED, CHECK_POLICY = ON;
  DROP LOGIN ' + QUOTENAME(N'copy_of_' + name) + ';
END TRY
BEGIN CATCH
  IF ERROR_NUMBER() = 15118
    PRINT N''' + REPLACE(name, '''', '''''') 
      + N' was not complex enough.'';
END CATCH'
FROM sys.sql_logins;

Особисто я думаю, що це помилка. Якщо синтаксис дозволяє мені створити логін, використовуючи хешований пароль, і я можу встановити, що цей пароль повинен відповідати моїй політиці складності, він повинен створювати помилку або попередження про те, що політику насправді не перевіряли.

ОНОВЛЕННЯ : Я подав помилку щодо такої поведінки.

• CHECK_POLICY - це неоперація із СТВОРЕНОМУ ВХОДІ ... ПАРОЛЬ ...

Ні в якому разі ви не зможете отримати це на 100% точність. Хоча ви можете використовувати PWDCOMPAREдля перевірки списку слабких паролів (ви можете додати до списку слабких паролів і зробити порівняння).

Я написав подібний сценарій, який робить порівняння і дає вам результати. Я розмістив його на github .

Редагувати:

Тепер ви можете мати список слабких паролів у csv, а потім використовувати dbatools Test-DbaLoginPasswordз -Dictionaryперемикачем (Вказує список паролів, які потрібно включити до тесту на слабкі паролі.)

Політика паролів на вхід у SQL - це лише прапор для ввімкнення та вимкнення. Якщо прапор Політики пароля встановлено, тоді застосовується Політика пароля Windows з операційної системи.

Перегляньте документацію CREATE LOGIN, щоб дізнатися, що саме відбувається, коли встановлено CHECK_POLICY та CHECK_EXPIRATION.

Ви можете переглянути налаштування для кожного користувача SQL, перевіривши стовпці is_policy_ перевірені та is_expiration_ перевірені в sys.sql_logins

щось на кшталт нижче:

SELECT name,
create_date,
modify_date,
LOGINPROPERTY(name, 'DaysUntilExpiration') DaysUntilExpiration,
LOGINPROPERTY(name, 'PasswordLastSetTime') PasswordLastSetTime,
LOGINPROPERTY(name, 'IsExpired') IsExpired,
LOGINPROPERTY(name, 'IsMustChange') IsMustChange
From sys.sql_logins ;

Для входу в систему для аутентифікації SQL Server:

select * from sys.server_principals where type in ('U','G') - покаже вам реєстраційні дані та групи, які можуть отримати доступ до SQL-сервера через автентифікацію Windows.