Política de seguridad de contraseña del servidor FTP común

Dado que los servidores FTP a menudo se utilizan como herramientas para cargar y descargar archivos, la importancia de la seguridad es diferente. Porque si son atacados por atacantes sin escrúpulos, no solo los archivos en el servidor FTP pueden ser destruidos o robados, lo que es más importante, si están infectados con virus y troyanos en estos archivos, supondrán una amenaza potencial para todos los usuarios de FTP. Por lo tanto, es extremadamente urgente proteger la seguridad del servidor FTP.

Para proteger el servidor FTP, debe comenzar con la seguridad de proteger su contraseña. Aquí hablaré sobre algunas políticas de seguridad de contraseña que son comunes a los servidores FTP, para ayudar a todos a mejorar la seguridad de los servidores FTP. //Este artículo se transfirió desde la red de aplicaciones de hardware y software de www.45it.com

Estrategia 1: período de contraseña

A veces, el servidor FTP no solo se usa para los empleados, sino que también se da temporalmente en una cuenta. Utilizado por socios externos. Si el autor administra el servidor FTP, el departamento de ventas a menudo envía archivos al cliente a través del servidor FTP porque algunos archivos son grandes y no se pueden enviar por correo electrónico. Por lo tanto, cuando el cliente o proveedor necesita algunos archivos grandes, el autor tiene que darles una cuenta temporal y una contraseña para el servidor FTP.

La práctica actual del autor es configurar una cuenta en el servidor FTP, pero la contraseña es válida el mismo día y caducará automáticamente al día siguiente. En este caso, cuando el cliente o proveedor necesita usar un servidor FTP, solo necesito cambiar algunas contraseñas. En lugar de tener que crear un usuario cada vez que lo use, elimínelo después de que haya terminado de usarlo. Al mismo tiempo, también puede evitar los riesgos de seguridad causados ​​por no cerrar sesión en la cuenta temporal a tiempo, ya que la contraseña caducará automáticamente.

La mayoría de los servidores FTP, como el software del servidor FTP que viene con el sistema operativo de Microsoft, tienen administración de términos de contraseña. En general, para las cuentas temporales, puede mejorar la seguridad de las cuentas temporales con la administración de la cuenta y el término de la contraseña. Para los usuarios internos, también es posible instar a los empleados a aumentar la frecuencia de los cambios de contraseña a través de la gestión de plazos.

Estrategia 2: las contraseñas deben cumplir con las reglas de complejidad

Hoy en día, muchos bancos han realizado una verificación de la complejidad de las contraseñas para la seguridad de las cuentas de usuario. Una contraseña como 888888 ya no se acepta. Desde un punto de vista criptográfico, esta forma de contraseña es muy peligrosa. Debido a que pueden usar algunas herramientas para descifrar contraseñas, como el diccionario electrónico de contraseñas, es muy fácil descifrarlas.

Por lo tanto, para mejorar la seguridad de la contraseña, lo más sencillo es aumentar la complejidad de la contraseña. En el servidor FTP, las reglas de complejidad de las contraseñas se pueden usar para obligar a los usuarios a adoptar contraseñas con niveles de seguridad más altos. Específicamente, se puede realizar la siguiente configuración de la regla de complejidad.

1, no puede usar números puros o caracteres puros como contraseñas

Si un pirata informático quiere descifrar una cuenta de servidor FTP, el tiempo que toma está directamente relacionado con la composición de la contraseña. Por ejemplo, una contraseña de ocho dígitos, una es un número puro y la otra es una combinación de números y caracteres. Tales como 82372182 y 32dwl98s respectivamente. Estas dos contraseñas parecen similares, pero para la herramienta de descifrado de contraseñas, es muy diferente. La contraseña puramente digital anterior, a través de algunas herramientas avanzadas de descifrado de contraseñas, puede tardar solo 24 horas en descifrarla; sin embargo, para la última combinación de letras y números, el crack tardará 2400 horas o más. La dificultad de agrietamiento es al menos 100 veces mayor que la original.

Se puede ver que la contraseña combinada con caracteres y números es bastante segura. Para hacer esto, podemos configurarlo en el servidor FTP para que no acepte configuraciones de contraseña de caracteres simples o numéricas.

2, la contraseña no puede ser la misma que el nombre de usuario

De hecho, todos sabemos que muchas veces el servidor está dañado debido a una administración incorrecta. El mismo nombre de usuario y contraseña son uno de los factores más inseguros para los servidores FTP.

A muchos usuarios, incluidos los administradores de red, les gusta configurar sus contraseñas con el mismo nombre de usuario para facilitar la administración y la memoria. Esto es conveniente de usar, pero obviamente es una operación muy insegura. De acuerdo con la idea de diseño del diccionario de ataques con contraseña, primero verifica si la contraseña de la cuenta del servidor FTP está vacía; si no está vacía, intentará usar la misma contraseña para descifrarla. Si los dos anteriores ya no son posibles, intente con otras contraseñas posibles.

Entonces, a los ojos de los piratas informáticos, si la contraseña es la misma que la del nombre de usuario, es equivalente a no establecer una contraseña. Para este fin, en la política de seguridad de contraseña del servidor FTP, también es obligatorio el principio de prohibir que la contraseña sea coherente con la contraseña.

3, la longitud de los requisitos de contraseña

Aunque la seguridad de la contraseña no es proporcional a la longitud de la contraseña, en general, la contraseña es generalmente más corta que la abreviada. Para una contraseña aleatoria, descifrar una contraseña de 7 bits es una docena de veces más difícil que descifrar una contraseña de 5 dígitos, aunque la longitud de la contraseña solo se incrementa en dos. Por lo tanto, en la política de contraseñas del servidor FTP, el autor debe obligar a la contraseña del usuario a alcanzar seis dígitos. Si la contraseña establecida por el usuario tiene menos de seis dígitos, el servidor rechazará la aplicación para el cambio de contraseña del usuario.

Estrategia 3: Historial de contraseñas

Para mejorar la seguridad del servidor FTP, es necesario especificar un intervalo de tiempo para que el usuario no repita la contraseña. Por ejemplo, en el servidor FTP empresarial del autor, hay una carpeta dedicada a almacenar la información del pedido del cliente, que es conveniente para que el personal relevante vea este contenido a tiempo cuando están en un viaje de negocios. La información en esta carpeta es altamente confidencial. Si se filtran estos contenidos, la empresa puede perder una gran cantidad de pedidos, lo que tendrá un impacto fatal en la empresa.

Por lo tanto, para el servidor FTP que almacena dicha información confidencial, el autor teme menospreciar la seguridad. Para este fin, el autor ha habilitado la función de registro del historial de contraseñas. De acuerdo con esta estrategia, el usuario debe cambiar la contraseña del servidor FTP cada dos semanas. Al mismo tiempo, el usuario no puede reutilizar esta contraseña dentro de los 60 días. En otras palabras, después de habilitar la función de historial de contraseña, el servidor FTP registra la contraseña que el usuario ha usado en dos meses. Si la contraseña que acaba de establecer el usuario se usa dentro de dos meses, el servidor rechazará la solicitud de cambio de contraseña del usuario.

Se puede ver que la función de registro del historial de contraseñas puede mejorar hasta cierto punto la seguridad de la contraseña del servidor FTP.

Estrategia 4: Estrategia de bloqueo de cuenta

En teoría, las contraseñas complejas también pueden verse comprometidas por diccionarios electrónicos. Para hacer esto, además de adoptar estas estrategias, también necesitamos habilitar la Política de bloqueo de cuenta. Esta estrategia puede evitar efectivamente los ataques de contraseña por parte de delincuentes.

La política de bloqueo de cuenta significa que cuando un usuario supera el número especificado de inicios de sesión fallidos, el servidor bloquea automáticamente la cuenta y advierte al administrador. A través de esta estrategia, cuando una persona sin escrúpulos intenta iniciar sesión en el servidor FTP con una contraseña diferente, ya que solo puede intentarlo tres veces como máximo (si el administrador no establece el número de inicios de sesión en un máximo de 3), la cuenta se bloqueará. Esto invalidará su ataque de contraseña.

Hay varias cosas que se deben tener en cuenta al usar una estrategia de bloqueo de cuenta.

Primero, use la elevación manual o la elevación automática. Si se usa la prohibición manual, la cuenta bloqueada debe ser prohibida manualmente por el administrador. Si se configura para que se elimine automáticamente, el servidor desbloqueará automáticamente la cuenta cuando la cuenta esté bloqueada por un período de tiempo determinado. Si los requisitos de seguridad para el servidor son relativamente altos, entonces el autor sugiere que el levantamiento manual de la prohibición es mejor.

El segundo es el número de inicios de sesión incorrectos. Si este número se establece demasiado, no podrá proteger. Si la configuración es demasiado pequeña, el usuario puede activar un bloqueo de cuenta debido a un error de entrada de contraseña inadvertido, lo que agrega mucho trabajo al administrador del servidor. Para este fin, la opinión del autor es que este número generalmente se puede configurar de tres a cinco veces. Esto no solo garantiza la necesidad de seguridad, sino que también brinda una cierta oportunidad para que el usuario ingrese la contraseña incorrecta.

En tercer lugar, debería poder alertar automáticamente al administrador del servidor cuando se produce un bloqueo de cuenta. Porque como servidor FTP, no puede decir si es un ataque malicioso o un accidente. Esto requiere que el administrador del servidor realice juicios basados ​​en la experiencia. El servidor FTP solo puede proporcionar protección temporal. Por lo tanto, cuando se produce un bloqueo de cuenta, el servidor debe poder alertar al administrador para determinar si hay un ataque malicioso. Si lo hace, debe tomar las medidas adecuadas para evitar que esto vuelva a suceder.