一般的なFTPサーバーのパスワードセキュリティポリシー

FTPサーバーはファイルのアップロードとダウンロードのためのツールとしてよく使用されるため、セキュリティの重要性は異なります。悪意のある攻撃者によって攻撃された場合、FTPサーバ上のファイルだけが破壊または盗難される可能性があるので、さらに重要なのは、これらのファイル上のウイルスやトロイの木馬に感染すると、すべてのFTPユーザにとって潜在的な脅威となるためです。したがって、FTPサーバーのセキュリティを保護することは非常に緊急です。

FTPサーバーを保護するには、まずパスワードを保護するというセキュリティから始める必要があります。ここでは、FTPサーバーのセキュリティを向上させるために、FTPサーバーに共通のいくつかのパスワードセキュリティポリシーについて説明します。 //この記事はwww.45it.comから転送されてきました。コンピュータのソフトウェアとハ​​ードウェアのアプリケーションネットワーク

戦略1：パスワードの期間

時々、FTPサーバーは従業員だけに使われるのではなく、一時的にアカウントを与えます外部パートナーによって使用されます。作成者がFTPサーバーを管理している場合、ファイルのサイズが大きく電子メールで送信できないため、販売部門はFTPサーバーを介してクライアントにファイルを送信することがよくあります。したがって、クライアントまたはサプライヤがいくつかの大きなファイルを必要とするとき、作者はそれらにFTPサーバのための一時的なアカウントとパスワードを与えなければなりません。

作者の現在のやり方はFTPサーバー上にアカウントを設定することですが、パスワードは同じ日に有効で次の日に自動的に期限切れになります。この場合、クライアントまたはベンダーがFTPサーバーを使用する必要があるときは、パスワードを変更するだけで済みます。使用するたびにユーザーを作成するのではなく、使用が終了したら削除します。同時に、パスワードが自動的に期限切れになるため、一時的なアカウントを期限内にログアウトしないことによるセキュリティ上のリスクも回避できます。

Microsoftオペレーティングシステムに付属のFTPサーバーソフトウェアなど、ほとんどのFTPサーバーにはパスワードによる管理があります。一般に、一時アカウントの場合、アカウントとパスワードの期間管理を使用して一時アカウントのセキュリティを向上させることができます。内部ユーザーの場合は、期限管理を通じてパスワード変更の頻度を増やすよう従業員に促すこともできます。

戦略2：パスワードは複雑さのルールに準拠しなければならない

今日、多くの銀行がユーザーアカウントのセキュリティのためにパスワードの複雑さの検証を行っています。 888888などのパスワードは受け付けられなくなりました。暗号化の観点からは、この形式のパスワードは非常に危険です。彼らはパスワードの電子辞書などのようないくつかのパスワードクラッキングツールを使用することができるので、それはクラックすることは非常に簡単です。

したがって、パスワード自体のセキュリティを向上させるための最も簡単な方法は、パスワードの複雑さを増すことです。 FTPサーバーでは、パスワードの複雑さの規則を使用して、ユーザーにセキュリティレベルの高いパスワードを強制的に採用させることができます。具体的には、以下の複雑度ルール設定を行うことができる。

1、純粋な数字や純粋な文字をパスワードとして使用することはできません。

ハッカーがFTPサーバーアカウントを解読したい場合、かかる時間はパスワードの構成に直接関係します。たとえば、8桁のパスワード、一方は純粋な数字、もう一方は数字と文字の組み合わせです。それぞれ82372182と32dwl98sなど。これら2つのパスワードは似ていますが、パスワード解読ツールでは非常に異なります。いくつかの高度なパスワードクラッキングツールによる以前の純粋なデジタルパスワードは、クラックするのに24時間しかかかりませんが、文字と数字の後者の組み合わせでは、クラックは2400時間以上かかります。ひび割れの難易度は、元のものよりも少なくとも100倍大きくなります。

パスワードと文字や数字を組み合わせて使用​​することは非常に安全であることがわかります。これを行うには、純粋な数値またはプレーン文字のパスワード設定を受け付けないようにFTPサーバーに設定します。

2、パスワードをユーザー名と同じにすることはできません。

実際、私たちは皆、不適切な管理のためにサーバーが壊れていることを知っています。同じユーザー名とパスワードは、FTPサーバーにとって最も安全性の低い要素の1つです。

ネットワーク管理者を含む多くのユーザーは、メモリと管理を容易にするために、同じユーザー名でパスワードを設定することを好みます。これは使用するのに便利ですが、それは明らかに非常に危険な操作です。パスワード攻撃辞書の設計思想によれば、まずFTPサーバーのアカウントのパスワードが空かどうかをチェックし、空でなければ、同じパスワードを使ってクラックを試みます。上記の2つが不可能になった場合は、他の可能なパスワードを試してください。

だから、ハッカーの目から見れば、パスワードがユーザー名と同じであれば、パスワードを設定しないことと同じです。そのため、FTPサーバーのパスワードセキュリティポリシーでは、パスワードとパスワードの整合性を保つことを禁止するという原則も必須です。

3、パスワード要件の長さ

パスワードのセキュリティはパスワードの長さに比例しませんが、一般的に、パスワードは一般的に短いパスワードより短くなります。ランダムなパスワードの場合、7ビットのパスワードをクラックすることは、5桁のパスワードをクラックするよりも10倍も困難です。ただし、パスワードの長さは2だけ増えます。したがって、FTPサーバーのパスワードポリシーでは、作成者はユーザーのパスワードを6桁にする必要があります。ユーザーが設定したパスワードが6桁より小さい場合、サーバーはユーザーパスワードの変更を申請を拒否します。

戦略3：パスワードの履歴

FTPサーバーのセキュリティを向上させるためには、ユーザーがパスワードを繰り返さないように時間間隔を指定する必要があります。たとえば、作成者のエンタープライズFTPサーバーには、顧客の注文情報を格納するための専用のフォルダーがあります。これは、関係者が出張中にこのコンテンツを確認するのに便利です。このフォルダ内の情報は機密性が高いです。これらのコンテンツが漏洩した場合、会社は大量の注文を失う可能性があり、それは会社に致命的な影響を与えるでしょう。

そのため、このような機密情報を格納しているFTPサーバーの場合、作者はセキュリティを見下ろすことを恐れています。このため、作者はパスワード履歴記録機能を有効にしました。この戦略によると、ユーザーは隔週でFTPサーバーのパスワードを変更する必要があります。同時に、ユーザーは60日以内にこのパスワードを再利用することはできません。つまり、パスワード履歴機能が有効になった後、FTPサーバーはユーザーが2か月以内に使用したパスワードを記録します。ユーザーが新しく設定したパスワードが2か月以内に使用された場合、サーバーはユーザーのパスワード変更要求を拒否します。

パスワード履歴記録機能により、FTPサーバーのパスワードのセキュリティをある程度向上させることができます。

戦略4：アカウントロックアウト戦略

理論上、複雑なパスワードも電子辞書によって侵害される可能性があります。これを行うには、これらの戦略を採用するだけでなく、アカウントロックアウトポリシーも有効にする必要があります。この戦略は、犯罪者によるパスワード攻撃を効果的に回避することができます。

アカウントロックアウトポリシーは、ユーザーが指定されたログイン失敗回数を超えると、サーバーが自動的にアカウントをロックして管理者に警告することを意味します。この方法では、悪意のあるユーザーが異なるパスワードでFTPサーバーにログインしようとすると、最大3回しか試行できないため（管理者が最大3回のログイン回数の設定に失敗した場合）、アカウントはロックされます。これは彼らのパスワード攻撃を無効にするでしょう。

アカウントロックアウト戦略を使用する際に注意が必要な点がいくつかあります。

まず、手動持ち上げまたは自動持ち上げを使用します。手動禁止が使用されている場合、ロックされたアカウントは管理者によって手動で禁止される必要があります。自動的に禁止されるように設定されている場合、アカウントが一定期間ロックされると、サーバーは自動的にアカウントのロックを解除します。サーバーのセキュリティ要件が比較的高い場合、作成者は手動で禁止を解除することをお勧めします。

2番目は、不正なログインの数です。この数を設定しすぎると保護できなくなります。設定が小さすぎると、不注意によるパスワード入力エラーのためにユーザーがアカウントロックを引き起こし、それによってサーバー管理者に多くの作業を追加する可能性があります。この目的のために、著者の意見は、この数は通常3〜5回に設定できると考えています。これはセキュリティの必要性を確実にするだけでなく、ユーザが間違ったパスワードを入力するための一定の機会も提供します。

3つ目は、アカウントのロックアウトが発生したときにサーバー管理者に自動的に通知できるようにすることです。 FTPサーバーとして、悪意のある攻撃なのか事故なのかを見分けることができないからです。これには、サーバー管理者が経験に基づいて判断する必要があります。 FTPサーバーは一時的な保護のみを提供できます。したがって、アカウントのロックアウトが発生すると、サーバーは管理者に警告して悪意のある攻撃があるかどうかを判断できるようになります。もしそうなら、あなたはこれが再び起こるのを避けるために適切な措置をとる必要があります。