Парольная политика: длина, админы и сервисные учётки

Памятка сотруднику говорит, как не писать пароль на стикере. Этот материал — про правило для систем: какая длина, кому другое правило и где это включено. Без трёх строк в политике администратор ставит «как в старом домене»: сложность из спецсимвола, смена каждые 90 дней и один короткий пароль на сервисную учётку. Зафиксируйте три класса записей и проверьте, что контроллер домена и PAM это реально требуют.

Статья опирается на логику направления «Управление доступом» из методики зрелости Группы Сбер (источник); это методика для крупных компаний, мы используем её как ориентир и пересказываем своими словами. Отдельная учётка администратора и отзыв при увольнении: привилегированный доступ. Текст для людей: памятка на одну страницу.

Три класса записей

Класс	Длина и смена	Чего не делать
Пользователь	Не короче 14 символов (или 8, если на входе уже MFA). Смена — при компрометации и при уходе из роли, не по календарю	Требовать «букву, цифру и спецсимвол» как главное правило: люди ставят предсказуемый шаблон
Администратор	Отдельная учётка, не короче пользовательской, MFA обязателен. Повседневная почта и браузер — под обычной записью	Общий пароль «админов» и вход администратором в браузер
Сервисная	Длинный случайный секрет в хранилище, владелец, запрет интерактивного входа. Смена при смене владельца, утечке или выводе системы	Тот же пароль на тест и продуктив; пароль в конфиге в открытом виде

Цифры длины — ориентир: CIS Controls v8.1 для уникальных паролей указывает минимум 8 при MFA и 14 без MFA; рекомендации Microsoft для облачных учёток — от 14 и без истечения по календарю. Это не закон РФ. Если регулятор или договор требует периодической смены — оформите как исключение с датой пересмотра, а не как «так принято».

Исключение из политики согласует ответственный за ИБ, как в матрице ответственности. Выдача прав идёт заявкой: заявка на доступ.

Шаг 1. Посмотрите, что сейчас включено

Команды только читают настройки. На контроллере домена (модуль ActiveDirectory):

Get-ADDefaultDomainPasswordPolicy | Select-Object MinPasswordLength, ComplexityEnabled, MaxPasswordAge, PasswordHistoryCount, LockoutThreshold

На экране — длина, флаг сложности, максимальный возраст пароля, история и порог блокировки. Если MaxPasswordAge равен 90 дням, а MFA уже есть — это кандидат на пересмотр, не доказательство зрелости.

На Debian 12 и Ubuntu файл качества пароля:

grep -vE '^#|^$' /etc/security/pwquality.conf

Имеет смысл поле minlen. Не копируйте чужой файл с minclass «как в интернете»: сначала решите, что именно требует политика. Локальная политика Windows без домена:

net accounts

В выводе — минимальная длина и максимальный возраст пароля для локальных учёток.

Шаг 2. Запишите политику, а не лозунг

В документ на одну страницу внесите: три класса, числа длины, запрет повторного использования рабочего пароля на личных сайтах, обязанность MFA для удалённого и административного входа, запрет пароля в репозитории, кто выдаёт исключение. Для сервисных записей — ссылка на перечень ПО и хранилище секретов, не «пароль в письме».

Не учите людей придумывать «сложный» короткий пароль. Разрешайте длинную фразу и вставку из менеджера паролей. Сравнение с известными утёкшими значениями полезнее набора правил «обязательно восклицательный знак».

Удалённый вход: MFA для SSH и WireGuard, sshd_config.

Диагностика

Симптом	Причина и что делать
Политика есть, домен требует 8 символов и сложность	Документ не доехал до Default Domain Policy. Меняйте длину после решения, на тестовом OU, не «с завтра у всех сразу»
Сервисные учётки с PasswordNeverExpires	Так и должно быть при длинном секрете и владельце. Проверка списка: аудит AD
Люди меняют пароль, дописывая месяц	Календарная смена без длины. Уберите принудительный срок для пользователей с MFA, оставьте смену при инциденте
Один пароль на три стенда	Нет класса «сервисная». Заведите владельца и разные секреты

Где это в модели зрелости

Материал относится к направлению «Управление доступом» (хаб: управление доступом, карта: карта зрелости). Гигиена здесь — явные правила для разных классов учёток, а не продукт менеджера паролей. Длина, MFA и отдельные административные записи закрывают базовый риск подбора лучше, чем ежеквартальная смена короткого пароля.

Как проверить

В политике три класса с числами длины и правилом смены.
Get-ADDefaultDomainPasswordPolicy или net accounts и pwquality.conf не противоречат документу.
Администраторы входят отдельной учёткой, MFA включён.
У каждой сервисной учётки есть владелец и запись в хранилище секретов, не в чате.
Исключения (короче, без MFA, общий пароль оборудования) имеют дату пересмотра.

Источники

CIS Controls v8.1, контроль 5 (учётные записи, уникальные пароли). Это не закон РФ: cisecurity.org.
NIST SP 800-63B, сила пароля: длина важнее правил состава символов. Это не закон РФ: pages.nist.gov.
Microsoft Learn, рекомендации по парольной политике: learn.microsoft.com.
Методика оценки уровня зрелости кибербезопасности компании, Группа Сбер: sberbank.ru.