Seguridad de las contraseñas en Windows: guía completa

La gestión segura de las contraseñas es un aspecto fundamental de la ciberseguridad en Windows. Esta guía explora las técnicas avanzadas de protección y gestión de contraseñas.

1. Política de contraseñas

Configuración básica

# Configuración de la política de contraseñas
net accounts /minpwlen:12 /maxpwage:90 /minpwage:1 /uniquepw:24

# Activación de la complejidad
secedit /configure /cfg C:\Windows\Security\templates\secsetup.inf /areas SECURITYPOLICY

# Configuración mediante GPO
gpupdate /force

Parámetros avanzados

# Configuración detallada
$passwordPolicy = @{
    "MinimumLength" = 12
    "MaximumAge" = 90
    "MinimumAge" = 1
    "ComplexityEnabled" = $true
    "ReversibleEncryptionEnabled" = $false
    "PasswordHistorySize" = 24
}

# Aplicación de los parámetros
Set-ItemProperty -Path "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters" -Name "RequireSignOrSeal" -Value 1

2. Gestión de cuentas

Creación de cuentas

# Creación de una cuenta con contraseña compleja
$password = ConvertTo-SecureString "P@ssw0rd123!" -AsPlainText -Force
New-LocalUser -Name "User1" -Password $password -PasswordNeverExpires $false -UserMayNotChangePassword $false

# Configuración de los permisos
$acl = Get-Acl "C:\Users\User1"
$acl.SetAccessRuleProtection($true, $false)
Set-Acl "C:\Users\User1" $acl

Gestión de grupos

# Creación de un grupo de seguridad
New-LocalGroup -Name "SecurityAdmins" -Description "Administrateurs de sécurité"

# Adición de usuarios al grupo
Add-LocalGroupMember -Group "SecurityAdmins" -Member "User1"

# Configuración de los derechos
$groupPolicy = @{
    "PasswordComplexity" = 1
    "MinimumLength" = 12
    "MaximumAge" = 90
}

3. Protección de las contraseñas

Cifrado

# Cifrado de las contraseñas almacenadas
$password = Read-Host -AsSecureString "Entrez le mot de passe"
$encrypted = ConvertFrom-SecureString $password

# Almacenamiento seguro
$secureString = ConvertTo-SecureString $encrypted

Verificación de la fortaleza

# Script de verificación de la fortaleza de las contraseñas
function Test-PasswordStrength {
    param (
        [Parameter(Mandatory=$true)]
        [string]$Password
    )
    
    $score = 0
    if ($Password.Length -ge 12) { $score++ }
    if ($Password -match "[A-Z]") { $score++ }
    if ($Password -match "[a-z]") { $score++ }
    if ($Password -match "[0-9]") { $score++ }
    if ($Password -match "[^A-Za-z0-9]") { $score++ }
    
    return $score
}

4. Auditoría y monitorización

Configuración de la auditoría

# Activación de la auditoría de contraseñas
auditpol /set /category:"Account Logon" /success:enable /failure:enable
auditpol /set /category:"Account Management" /success:enable /failure:enable

# Configuración de los logs
wevtutil sl Security /maxsize:4294967296 /retention:true

Monitorización de los intentos

# Script de monitorización de los intentos de conexión
function Monitor-LoginAttempts {
    $events = Get-EventLog -LogName Security -InstanceId 4625 -After (Get-Date).AddHours(-1)
    foreach ($event in $events) {
        Write-Host "Tentative échouée: $($event.TimeGenerated) - $($event.Message)"
    }
}

5. Recuperación y restablecimiento

Procedimientos de recuperación

# Creación de una cuenta de recuperación
$recoveryPassword = ConvertTo-SecureString "Rec0v3ryP@ss" -AsPlainText -Force
New-LocalUser -Name "RecoveryAdmin" -Password $recoveryPassword -Description "Compte de récupération"

# Configuración de los derechos de recuperación
$recoveryGroup = New-LocalGroup -Name "RecoveryOperators"
Add-LocalGroupMember -Group "RecoveryOperators" -Member "RecoveryAdmin"

Restablecimiento seguro

# Script de restablecimiento de contraseña
function Reset-PasswordSecurely {
    param (
        [Parameter(Mandatory=$true)]
        [string]$Username
    )
    
    $newPassword = [System.Web.Security.Membership]::GeneratePassword(12, 3)
    $securePassword = ConvertTo-SecureString $newPassword -AsPlainText -Force
    Set-LocalUser -Name $Username -Password $securePassword
    
    # Notificación al usuario
    Send-MailMessage -To "user@example.com" -Subject "Réinitialisation de mot de passe" -Body "Votre nouveau mot de passe est: $newPassword"
}

6. Buenas prácticas

Políticas de rotación

# Configuración de la rotación de contraseñas
$rotationPolicy = @{
    "RotationInterval" = 90
    "NotificationDays" = 7
    "GracePeriod" = 3
}

# Script de notificación
function Send-PasswordExpirationNotice {
    $users = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($user in $users) {
        $passwordAge = (Get-Date) - $user.PasswordLastSet
        if ($passwordAge.Days -ge ($rotationPolicy.RotationInterval - $rotationPolicy.NotificationDays)) {
            Send-MailMessage -To "$($user.Name)@example.com" -Subject "Expiration de mot de passe" -Body "Votre mot de passe expire dans $($rotationPolicy.RotationInterval - $passwordAge.Days) jours"
        }
    }
}

Gestión de excepciones

# Gestión de las cuentas de servicio
function Set-ServiceAccountPassword {
    param (
        [Parameter(Mandatory=$true)]
        [string]$ServiceName
    )
    
    $service = Get-Service $ServiceName
    if ($service) {
        $newPassword = [System.Web.Security.Membership]::GeneratePassword(32, 5)
        $securePassword = ConvertTo-SecureString $newPassword -AsPlainText -Force
        
        # Actualización de la contraseña de la cuenta de servicio
        Set-LocalUser -Name $service.UserName -Password $securePassword
        
        # Reinicio del servicio
        Restart-Service $ServiceName
    }
}

7. Herramientas y scripts

Verificación de seguridad

# Script de verificación de la seguridad de las contraseñas
function Test-PasswordSecurity {
    $issues = @()
    
    # Verificación de la política
    $policy = Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\Netlogon\Parameters"
    if ($policy.MinimumPasswordLength -lt 12) {
        $issues += "Longueur minimale insuffisante"
    }
    
    # Verificación de las cuentas
    $accounts = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($account in $accounts) {
        if ($account.PasswordRequired -eq $false) {
            $issues += "Compte $($account.Name) sans mot de passe requis"
        }
    }
    
    return $issues
}

Mantenimiento automático

# Script de mantenimiento de las contraseñas
function Update-PasswordSecurity {
    # Actualización de la política
    net accounts /minpwlen:12 /maxpwage:90 /minpwage:1 /uniquepw:24
    
    # Verificación de las cuentas
    $accounts = Get-LocalUser | Where-Object {$_.Enabled -eq $true}
    foreach ($account in $accounts) {
        if ($account.PasswordRequired -eq $false) {
            Set-LocalUser -Name $account.Name -PasswordRequired $true
        }
    }
    
    # Limpieza de las contraseñas caducadas
    $expiredAccounts = Get-LocalUser | Where-Object {$_.PasswordExpires -and $_.PasswordLastSet -lt (Get-Date).AddDays(-90)}
    foreach ($account in $expiredAccounts) {
        Disable-LocalUser -Name $account.Name
    }
}

Conclusión

La seguridad de las contraseñas en Windows requiere:

• Una política de contraseñas robusta
• Una gestión estricta de las cuentas
• Una monitorización constante
• Procedimientos de recuperación
• Una documentación precisa

Puntos clave que recordar:

• Utilizar contraseñas complejas
• Implantar una rotación periódica
• Vigilar los intentos de conexión
• Mantener procedimientos de recuperación
• Documentar todas las acciones