Ich würde mir vorstellen, dass es zwei Möglichkeiten gibt, wie sie zu den Informationen gekommen sind, aus denen sie diese Schlussfolgerung gezogen haben.

1. Sie haben den Befehl net accounts / domain ausgeführt auf einem Benutzercomputer, auf dem die Kennwortkomplexitätsanforderungen für Ihr Unternehmen gespeichert wurden (vorausgesetzt Windows / Active Directory)
2. Sie haben erzwungene (oder erratene) Benutzerkennwörter erfolgreich brutal ausgeführt, weil sie schwach waren. Jüngste Passwort-Dumps wie LinkedIn haben eine Fülle von realen Passwörtern bereitgestellt, mit denen Pen-Tester vor Ort versucht haben, Passwörter zu knacken.
ol>

Ohne weitere Informationen ist es schwer zu sagen, wie sie zu diesem Schluss gekommen sind (wir haben keine Ahnung, was das rote Team getan hat oder was im Umfang war), aber diese beiden Möglichkeiten sind meine Angenommen, sie haben es getan.

Nicht wirklich.

Was ein Tester möglicherweise weiß:

• Kennwortrichtlinie : Bei der Anmeldung oder beim Ändern eines Kennworts kann die Anwendung die möglichen Kennwörter einschränken , was zu schwachen Passwörtern führt. Die Kennwortrichtlinie kann auch schwache Kennwörter zulassen, dies wäre jedoch ein separates Problem.
• Kennwortlänge : Der Tester hat möglicherweise Informationen zur Kennwortlänge erhalten, z. B. über Blind SQL Injection und hat sich möglicherweise nicht die Mühe gemacht, das Kennwort zu erfassen.
• Das Kennwort : Der Tester hat möglicherweise Zugriff auf die Kennwörter erhalten, z. B. durch SQL-Injection oder durch Bruteforcing der Anmeldung. Diese Probleme sollten jedoch auch separat aufgeführt werden.

Ja, dies ist möglich.

Windows-Netzwerke sind möglicherweise anfällig für Null Session-Angriffe, mit denen der Angreifer Systemdetails auflisten kann:

... erhalten anonymen Zugriff auf IPC $. Standardmäßig ermöglichen Hosts der Windows NT-Familie den anonymen Zugriff auf System- und Netzwerkinformationen über NetBIOS, sodass Folgendes ermittelt werden kann:

• Benutzerliste
• Maschinenliste
• NetBIOS-Namensliste
• Freigabeliste
• Kennwortrichtlinieninformationen
• Gruppen- und Mitgliederliste
• Richtlinieninformationen der lokalen Sicherheitsbehörde
• Vertrauensinformationen zwischen Domänen und Hosts

Ein angemessener, vollständiger und professioneller Pen-Testbericht muss alle Ergebnisse detailliert enthalten. Es sollte nicht nur auflisten, wie sie zu ihren Schlussfolgerungen gekommen sind, sondern auch, welche Methoden sie verwendet haben, und möglicherweise Screenshots ihrer Beweise. Wenn nicht, können Sie weitere Details anfordern und diese sind verpflichtet, die Details zu erklären oder anzugeben.

Trotzdem glaube ich, dass sie ohne weitere Details die Kennwortrichtlinie im Allgemeinen finden und darauf basierend raten können, sie zu ändern oder zu verbessern, wenn sie glauben, dass sie schwach oder unvollständig ist. Selbst dann können und sollten sie nicht davon ausgehen, dass ein bestimmtes Benutzerkennwort nur aufgrund dieser Richtlinie schwach ist. Komplexe oder sichere Kennwörter können (in einigen Fällen) auch mit einer nicht so starken Kennwortrichtlinie erstellt werden.

Die meisten Schwachstellen treten auf, wenn der Benutzer ein schwaches Kennwort auswählt, unabhängig von der geltenden Kennwortrichtlinie.

Wiederholen Sie nach mir: Es ist nicht möglich, die Passwortstärke zu bestimmen, selbst wenn Sie das Passwort kennen!

Nochmals: Es ist nicht möglich, die Passwortstärke zu bestimmen, selbst wenn Sie das Passwort kennen!

Auf der anderen Seite können Sie die Kennwortstärken anhand Ihrer Kennwortrichtliniendokumente ermitteln. Wenn in Ihrem Kennwortrichtliniendokument nicht angegeben ist, wie Kennwörter generiert werden sollen, ist korrekt, dass Sie eine schwache Kennwortrichtlinie und damit eine schwache Kennwortstärke haben.

Eine gute Kennwortrichtlinie gibt mindestens die Mindestentropieanforderung für das Kennwort an verschiedene sichere Abschnitte und die Methode zur Kennwortgenerierung, anstatt wie Kennwörter oberflächlich aussehen sollten.

Es kann einige Informationen darüber geben, wie die Passwörter gespeichert werden. Beispiel: Sharity Light-Leitfaden , Abschnitt 3, empfiehlt, aus Gründen der Kompatibilität "LmCompatibilityLevel" = dword: 1 "festzulegen. Dies führt dazu, dass Kennwörter weniger sicher gespeichert werden.

In diesem Fall, was der Benutzer eingibt ist jedoch nicht das erkannte Problem. Es wird jedoch darauf hingewiesen, wie die Anmeldeinformationen gespeichert werden. Durch Ändern solcher Speicherdetails kann das Ergebnis vernünftigerweise als eine Änderung beschrieben werden, die "Kennwörter verstärkt".

Stärke = Länge + Großbuchstaben / Nicht-Großbuchstaben + Zahlen + Sonderzeichen