أمان كلمات المرور في Windows: دليل شامل

تُعدّ الإدارة الآمنة لكلمات المرور جانبًا أساسيًا من الأمن السيبراني في Windows. يستعرض هذا الدليل التقنيات المتقدمة لحماية كلمات المرور وإدارتها.

1. سياسة كلمات المرور

الإعداد الأساسي

# Configuration de la politique de mots de passe
net accounts /minpwlen:12 /maxpwage:90 /minpwage:1 /uniquepw:24

# Activation de la complexité
secedit /configure /cfg C:\Windows\Security\templates\secsetup.inf /areas SECURITYPOLICY

# Configuration via GPO
gpupdate /force

الإعدادات المتقدمة

# Configuration détaillée
$passwordPolicy = @{
    "MinimumLength" = 12
    "MaximumAge" = 90
    "MinimumAge" = 1
    "ComplexityEnabled" = $true
    "ReversibleEncryptionEnabled" = $false
    "PasswordHistorySize" = 24
}

# Application des paramètres
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "RequireSignOrSeal" -Value 1

2. إدارة الحسابات

إنشاء الحسابات

# Création d'un compte avec mot de passe complexe
$password = ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force
New-LocalUser -Name "User1" -Password $password -PasswordNeverExpires $false -UserMayNotChangePassword $false

# Configuration des permissions
$acl = Get-Acl "C:\Users\User1"
$acl.SetAccessRuleProtection($true, $false)
Set-Acl "C:\Users\User1" $acl

إدارة المجموعات

# Création d'un groupe de sécurité
New-LocalGroup -Name "SecurityAdmins" -Description "Administrateurs de sécurité"

# Ajout d'utilisateurs au groupe
Add-LocalGroupMember -Group "SecurityAdmins" -Member "User1"

# Configuration des droits
$groupPolicy = @{
    "PasswordComplexity" = 1
    "MinimumLength" = 12
    "MaximumAge" = 90
}

3. حماية كلمات المرور

التشفير

# Chiffrement des mots de passe stockés
$password = Read-Host -AsSecureString "Entrez le mot de passe"
$encrypted = ConvertFrom-SecureString $password

# Stockage sécurisé
$secureString = ConvertTo-SecureString $encrypted

التحقق من القوة

# Script de vérification de force des mots de passe
function Test-PasswordStrength {
    param (
        [Parameter(Mandatory=$true)]
        [string]$Password
    )
    
    $score = 0
    if ($Password.Length -ge 12) { $score++ }
    if ($Password -match "[A-Z]") { $score++ }
    if ($Password -match "[a-z]") { $score++ }
    if ($Password -match "[0-9]") { $score++ }
    if ($Password -match "[^A-Za-z0-9]") { $score++ }
    
    return $score
}

4. التدقيق والمراقبة

إعداد التدقيق

# Activation de l'audit des mots de passe
auditpol /set /category:"Account Logon" /success:enable /failure:enable
auditpol /set /category:"Account Management" /success:enable /failure:enable

# Configuration des logs
wevtutil sl Security /maxsize:4294967296 /retention:true

مراقبة المحاولات

# Script de monitoring des tentatives de connexion
function Monitor-LoginAttempts {
    $events = Get-EventLog -LogName Security -InstanceId 4625 -After (Get-Date).AddHours(-1)
    foreach ($event in $events) {
        Write-Host "Tentative échouée: $($event.TimeGenerated) - $($event.Message)"
    }
}

5. الاسترداد وإعادة التعيين

إجراءات الاسترداد

# Création d'un compte de récupération
$recoveryPassword = ConvertTo-SecureString "Rec0v3ryP@ss" -AsPlainText -Force
New-LocalUser -Name "RecoveryAdmin" -Password $recoveryPassword -Description "Compte de récupération"

# Configuration des droits de récupération
$recoveryGroup = New-LocalGroup -Name "RecoveryOperators"
Add-LocalGroupMember -Group "RecoveryOperators" -Member "RecoveryAdmin"

إعادة التعيين الآمنة

# Script de réinitialisation de mot de passe
function Reset-PasswordSecurely {
    param (
        [Parameter(Mandatory=$true)]
        [string]$Username
    )
    
    $newPassword = [System.Web.Security.Membership]::GeneratePassword(12, 3)
    $securePassword = ConvertTo-SecureString $newPassword -AsPlainText -Force
    Set-LocalUser -Name $Username -Password $securePassword
    
    # Notification à l'utilisateur
    Send-MailMessage -To "user@example.com" -Subject "Réinitialisation de mot de passe" -Body "Votre nouveau mot de passe est: $newPassword"
}

6. أفضل الممارسات

سياسات التدوير

# Configuration de la rotation des mots de passe
$rotationPolicy = @{
    "RotationInterval" = 90
    "NotificationDays" = 7
    "GracePeriod" = 3
}

# Script de notification
function Send-PasswordExpirationNotice {
    $users = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($user in $users) {
        $passwordAge = (Get-Date) - $user.PasswordLastSet
        if ($passwordAge.Days -ge ($rotationPolicy.RotationInterval - $rotationPolicy.NotificationDays)) {
            Send-MailMessage -To "$($user.Name)@example.com" -Subject "Expiration de mot de passe" -Body "Votre mot de passe expire dans $($rotationPolicy.RotationInterval - $passwordAge.Days) jours"
        }
    }
}

إدارة الاستثناءات

# Gestion des comptes de service
function Set-ServiceAccountPassword {
    param (
        [Parameter(Mandatory=$true)]
        [string]$ServiceName
    )
    
    $service = Get-Service $ServiceName
    if ($service) {
        $newPassword = [System.Web.Security.Membership]::GeneratePassword(32, 5)
        $securePassword = ConvertTo-SecureString $newPassword -AsPlainText -Force
        
        # Mise à jour du mot de passe du compte de service
        Set-LocalUser -Name $service.UserName -Password $securePassword
        
        # Redémarrage du service
        Restart-Service $ServiceName
    }
}

7. الأدوات والسكربتات

التحقق من الأمان

# Script de vérification de sécurité des mots de passe
function Test-PasswordSecurity {
    $issues = @()
    
    # Vérification de la politique
    $policy = Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters"
    if ($policy.MinimumPasswordLength -lt 12) {
        $issues += "Longueur minimale insuffisante"
    }
    
    # Vérification des comptes
    $accounts = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($account in $accounts) {
        if ($account.PasswordRequired -eq $false) {
            $issues += "Compte $($account.Name) sans mot de passe requis"
        }
    }
    
    return $issues
}

الصيانة التلقائية

# Script de maintenance des mots de passe
function Update-PasswordSecurity {
    # Mise à jour de la politique
    net accounts /minpwlen:12 /maxpwage:90 /minpwage:1 /uniquepw:24
    
    # Vérification des comptes
    $accounts = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($account in $accounts) {
        if ($account.PasswordRequired -eq $false) {
            Set-LocalUser -Name $account.Name -PasswordRequired $true
        }
    }
    
    # Nettoyage des mots de passe expirés
    $expiredAccounts = Get-LocalUser | Where-Object {$_.PasswordExpires -and $_.PasswordLastSet -lt (Get-Date).AddDays(-90)}
    foreach ($account in $expiredAccounts) {
        Disable-LocalUser -Name $account.Name
    }
}

الخلاصة

يتطلب أمان كلمات المرور في Windows ما يلي:

• سياسة كلمات مرور قوية
• إدارة صارمة للحسابات
• مراقبة مستمرة
• إجراءات للاسترداد
• توثيق دقيق

النقاط الرئيسية التي ينبغي تذكّرها:

• استخدام كلمات مرور معقّدة
• اعتماد تدوير منتظم لكلمات المرور
• مراقبة محاولات تسجيل الدخول
• الحفاظ على إجراءات الاسترداد
• توثيق جميع الإجراءات