Etki Alanı Oturum Açma Kimlik Bilgilerini Windows'ta Önbelleğe Alma

Bir etki alanı kullanıcısı Windows'ta oturum açtığında, kimlik bilgileri varsayılan olarak yerel bir bilgisayara kaydedilir (Önbelleğe Alınmış Kimlik Bilgileri: bir kullanıcı adı ve bir parola karması). Bu, AD etki alanı denetleyicileri kullanılamıyor, güç kapalı veya ağ kablosu bilgisayardan çıkarılmış olsa bile kullanıcının bilgisayarda oturum açmasına olanak tanır. Etki alanı hesabı kimlik bilgilerinin önbelleğe alınması, kurumsal ağ olmadığında yerel verilerine bir cihazdan erişebilen dizüstü bilgisayar kullanıcıları için uygundur.

Etki Alanı Kullanıcı Kimlik Bilgilerini Windows'ta Önbelleğe Alma

Bir kullanıcı bu bilgisayarda en az bir kez kimlik doğrulaması yaptıysa ve etki alanı parolası o zamandan beri değiştirilmemişse, önbelleğe alınmış kimlik bilgileri Windows'ta oturum açmak için kullanılabilir. Bozdurulan kimlik bilgilerindeki kullanıcı parolasının süresi asla dolmaz. Etki alanı parola ilkesi, bir kullanıcıyı parolayı değiştirmeye zorlarsa, yerel önbelleğe kaydedilen parola, kullanıcı yeni bir parolayla oturum açana kadar değişmez. AD'deki kullanıcı parolası bilgisayarda son oturum açıldıktan sonra değiştirilmişse ve bilgisayar çevrimdışıysa (etki alanı ağına erişimi olmadan), kullanıcı bilgisayarda eski parolayla oturum açabilecektir.

Active Directory etki alanı mevcut değilse Windows, girilen kullanıcı adı ve parolanın yerel önbellekle eşleşip eşleşmediğini kontrol eder ve bilgisayarda yerel oturum açmaya izin verir.

Önbelleğe alınan kimlik bilgileri, kayıt defterinde HKEY_LOCAL_MACHINE\Security\Cache (

%systemroot%\System32\config\SECURITY

). Kaydedilen her karma NL$x parametresinde depolanır (burada

x

önbelleğe alınmış bir veri dizini). Varsayılan olarak, bir yönetici bile bu kayıt defteri anahtarının içeriğini görüntüleyemez, ancak gerekirse erişim sağlayabilirsiniz.

Yerel önbellekte önbelleğe alınmış kimlik bilgisi yoksa, çevrimdışı bir bilgisayarda oturum açmaya çalıştığınızda aşağıdaki mesajı görürsünüz:

There are currently no logon servers available to service the logon request.

Önbelleğe Alınmış Kimlik Bilgilerini Grup İlkesi ile Yapılandırma

Grup İlkesi seçeneği ile, kimlik bilgileri etki alanı bilgisayarlarında yerel önbelleğe kaydedilebilecek benzersiz kullanıcıların sayısını belirleyebilirsiniz. Kullanıcı kimlik bilgilerinin yerel önbellekte saklanması için kullanıcının bilgisayarda en az bir kez oturum açması gerekir.

Varsayılan olarak, Windows 10 ve Windows Server 2016, yakın zamanda oturum açan 10 kullanıcının kimlik bilgilerini depolar. Bu değeri aşağıdaki GPO seçeneğiyle değiştirebilirsiniz - Etkileşimli oturum açma: Önbelleğe önceki oturum açma sayısı (etki alanı denetleyicisinin kullanılamaması durumunda). Bunu Bilgisayar Yapılandırması -> İlkeler -> Windows Ayarları -> Güvenlik Ayarları -> Yerel İlkeler -> Güvenlik Seçenekleri'nde bulabilirsiniz. herhangi bir değer ayarlayabilirsiniz

0

ile

50

There are currently no logon servers available to service the logon request

HKLM\Software\Microsoft\Windows NT\CurrentVersion\Winlogon

Bir kullanıcı kayıtlı kimlik bilgileriyle oturum açarsa, etki alanı denetleyicisinin kullanılabilir olmadığını görmez. GPO'yu kullanarak, oturum açmak için önbelleğe alınmış kimlik bilgilerinin kullanıldığına dair bir bildirim görüntüleyebilirsiniz. Bunu yapmak için, Bilgisayar yapılandırması -> İlkeler -> Yönetim şablonları -> Windows Bileşenleri -> Windows Oturum Açma Seçenekleri altındaki GPO seçeneğini Kullanıcı oturum açma sırasında oturum açma sunucusu bulunmadığını bildir ilkesini etkinleştirin.

Ardından, bir kullanıcı oturum açtıktan sonra tepside aşağıdaki bildirim görünecektir:

A domain controller for your domain could not be contacted. You have been logged on using cached account information. Changes to your profile since you last logged on might not be available.

HKEY_LOCAL_MACHINE/SOFTWARE/Microsoft/Windows NT/Current Version/Winlogon

Önbelleğe Alınmış Windows Kimlik Bilgilerinin Güvenlik Riskleri

Yerel kimlik bilgilerini önbelleğe almanın bazı güvenlik riskleri vardır. Bir saldırgan, önbelleğe alınmış verilerle bir bilgisayara/dizüstü bilgisayara fiziksel erişim sağladıktan sonra, bir kaba kuvvet saldırısı kullanarak parola karmanızın şifresini çözebilir. Parolanın uzunluğuna ve karmaşıklığına bağlıdır. Bir şifre karmaşıksa, şifreyi kırmak çok zaman alır. Bu nedenle, yerel yönetici izinlerine (veya dahası, etki alanı yönetici hesabına) sahip kullanıcılar için önbelleğe alma kullanılması önerilmez.

Güvenlik risklerini azaltmak için ofis ve yönetici bilgisayarlarında kimlik bilgilerinin önbelleğe alınmasını devre dışı bırakabilirsiniz. Mobil cihazlarda önbelleğe alınan hesap sayısının 1'e düşürülmesi önerilir. Bu, bir yönetici bir bilgisayarda oturum açmış ve verileri önbelleğe alınmış olsa bile, cihaz sahibi günlüklerinden sonra yöneticinin parola karmasının üzerine yazılacağı anlamına gelir. Açık.

İşlev düzeyi Windows Server 2012 R2 veya daha yeni olan AD etki alanları için Korumalı Kullanıcılar grubuna etki alanı yöneticisi hesapları ekleyebilirsiniz. Bu güvenlik grubu için yerel kimlik bilgilerinin önbelleğe alınması yasaktır.

Farklı cihazlar ve kullanıcı kategorileri için önbelleğe alınmış kimlik bilgilerinin kullanımını kontrol etmek üzere etki alanınızda ayrı GPO'lar oluşturabilirsiniz (örneğin, GPO Güvenlik filtreleri, WMI filtreleri kullanarak veya GPP Öğe düzeyinde hedefleme kullanarak CashedLogonsCount kayıt parametresini dağıtarak).

• Mobil (dizüstü bilgisayar) kullanıcıları için:

  CashedLogonsCount = 1

• Ofis masaüstleri için:

  CashedLogonsCount = 0

Bu tür politikalar, etki alanına katılmış cihazlardan ayrıcalıklı kullanıcı karmaları alma şansını azaltacaktır.