Wat is een zwak wachtwoordbeleid? Risico's en hoe u het kunt oplossen

Wat is een zwak wachtwoordbeleid?

Een zwak wachtwoordbeleid is een authenticatieconfiguratie die er niet in slaagt voldoende sterke inloggegevens af te dwingen, waardoor systemen kwetsbaar blijven voor brute force-, credential stuffing- en password spraying-aanvallen. Formeel geclassificeerd als CWE-521 door MITRE, bestaat deze kwetsbaarheid wanneer een applicatie of systeem wachtwoorden toestaat die een tegenstander realistisch kan raden, kraken of op schaal kan testen.

Een zwak wachtwoordbeleid vereist geen enkele regel kwaadaardige code. De aanvaller heeft simpelweg een geldige inloggegevenscombinatie nodig. Zodra die is verkregen, opereert hij als een legitieme gebruiker, onzichtbaar voor op signatures gebaseerde beveiligingstools en vaak maandenlang onopgemerkt. Verizon’s 2025 Data Breach Investigations Report (DBIR) stelde vast dat misbruik van inloggegevens de meest voorkomende initiële aanvalsvector is. IBM's 2025 Cost of a Data Breach rapport stelde vast dat inloggegevensgebaseerde datalekken tot 186 dagen nodig hebben om te identificeren, een van de langste identificatietijdlijnen binnen aanvalscategorieën. Dat is een half jaar waarin een tegenstander inlogt als iemand die u vertrouwt.

De schade reikt verder dan individuele accounts. Zwakke wachtwoordbeleiden maken laterale verplaatsing, privilege-escalatie en persistente toegang in volledige omgevingen mogelijk. Elk van die uitkomsten is terug te voeren op een beleidsbeslissing die iemand kan wijzigen.

Hoe werkt een zwak wachtwoordbeleid?

Een zwak wachtwoordbeleid creëert uit te buiten omstandigheden op meerdere lagen van het authenticatieproces. De kwetsbaarheid is geen enkele mislukking, maar een keten van ontoereikende controles die aanvallers achtereenvolgens evalueren en uitbuiten.

De beslisboom van de aanvaller

Voordat tegenstanders een aanval op inloggegevens uitvoeren, voeren zij beleidsverkenning uit. MITRE documenteert dit als policy discovery, waarbij aanvallers lockout-drempels, minimale lengtevereisten en complexiteitsregels in kaart brengen om de optimale aanvalstechniek te selecteren en identificatie te vermijden.

De uitbuitingsketen verloopt doorgaans als volgt:

1. Verkenning. De aanvaller identificeert extern blootgestelde authenticatie-eindpunten, remote desktop protocol (RDP), virtual private network (VPN), Outlook Web Access (OWA) en single sign-on (SSO)-portalen, en onderzoekt beleidskenmerken.
2. Techniekselectie. Op basis van waargenomen beleidszwaktes selecteert de aanvaller de aanval met de hoogste efficiëntie, waarbij de techniek wordt afgestemd op het specifieke ontdekte gat.
3. Verkrijging van inloggegevens. De aanvaller verkrijgt via de gekozen techniek een geldige combinatie van gebruikersnaam en wachtwoord.
4. Misbruik na compromittering. MITRE classificeert deze fase onder valid accounts, waarbij de tegenstander als een legitieme gebruiker opereert binnen initiële toegang, persistentie en privilege-escalatie.

Zelfs conservatieve lockout-beleiden zijn op zichzelf onvoldoende. MITRE benadrukt de Quad7 campaign, waarbij aanvallers password spraying uitvoerden met één enkele poging per account binnen een periode van 24 uur via gecompromitteerde small office/home office (SOHO)-routers. Alleen snelheidsbeperking per account kan een aanval die is vormgegeven om daaronder te blijven niet stoppen.

Beveiligingsframeworks classificeren die keten van mislukkingen op drie verschillende manieren, en degene die u aanhaalt bepaalt hoe de oplossing prioriteit krijgt.

OWASP- en MITRE-classificatie

Zwakke wachtwoordbeleiden bevinden zich op het snijvlak van drie belangrijke beveiligingsframeworks, die de zwakte elk vanuit een andere hoek classificeren. Inzicht in deze mapping helpt beveiligingsteams beleidsaudits te koppelen aan workflows voor kwetsbaarheidsbeheer en threat intelligence.

De CWE-classificatie legt de hoofdoorzaak vast, Open Worldwide Application Security Project (OWASP) groepeert deze met gerelateerde authenticatiefouten, en MITRE ATT&CK brengt het daaropvolgende aanvallersgedrag in kaart. Die gelaagde weergave laat ook zien dat CWE-521 zelden de enige aanwezige zwakte is.

De zwakte bevindt zich op het abstractieniveau "Base" in de CWE-hiërarchie, waardoor dit de voorkeursclassificatie is voor hoofdoorzaakanalyse en openbaarmaking van kwetsbaarheden. De bovenliggende zwakte is CWE-287, waardoor deze binnen de bredere familie van authenticatiefouten valt die ongeautoriseerde toegang mogelijk maken.

Gezamenlijk toegewezen zwaktes onder OWASP A07

CWE-521 verschijnt niet geïsoleerd onder OWASP A07. De categorie groepeert deze met verschillende gerelateerde zwaktes die vaak naast elkaar bestaan in dezelfde omgeving:

• CWE-307: Ontbrekende snelheidsbeperking of accountvergrendeling, waardoor onbeperkte brute-forcepogingen mogelijk zijn
• CWE-640: Zwakke mechanismen voor wachtwoordherstel die een verder sterk beleid omzeilen
• CWE-262/263: Ontbrekende of ineffectieve controles op wachtwoordveroudering
• CWE-798: Hardcoded inloggegevens die door geen enkele beleidswijziging kunnen worden verholpen

Deze gezamenlijke toewijzing is belangrijk omdat het oplossen van alleen CWE-521, bijvoorbeeld door een langere minimumlengte af te dwingen, de bredere A07-blootstelling niet oplost als aangrenzende zwaktes open blijven. Effectieve remediatie vereist dat het volledige cluster wordt aangepakt.

Frameworks benoemen de zwakte. Omgevingen veroorzaken deze, meestal via acht terugkerende hiaten.

Oorzaken van zwak wachtwoordbeleid

Zwak wachtwoordbeleid komt zelden voort uit één enkele misconfiguratie. De meeste kwetsbare omgevingen combineren meerdere hiaten in beheersmaatregelen die elkaar versterken, waardoor wat op zichzelf een kleine zwakte zou kunnen zijn, verandert in een betrouwbaar aanvalspad.

1. Geen afdwinging van minimumlengte

Het niet afdwingen van NIST's richtlijn voor minimumlengte, of CISA's operationele doel van 15 tekens, maakt brute-forceaanvalspatronen die aan CWE-521 zijn toegewezen direct mogelijk. NIST's conformiteitscriteria stellen dat de lengte van een onthouden geheim de meest betrouwbare maatstaf is om sterkte te bepalen.

2. Bekend zwakke of veelvoorkomende wachtwoorden toestaan

Applicaties die wachtwoorden zoals "Password1" of "admin/admin" toestaan zonder deze te controleren aan de hand van lijsten met bekende slechte wachtwoorden, zijn kwetsbaar ongeacht andere beleidscontroles. OWASP's authenticatierichtlijnen bevelen aan om ten minste te testen tegen de slechtste meest voorkomende wachtwoorden als minimale basislijn.

3. Geen snelheidsbeperking of accountvergrendelingsmechanismen

Zonder throttling slagen brute force attacks ongeacht complexiteitseisen. Snelheidsbeperking en wachtwoordsterkte zijn onafhankelijke beheersmaatregelen, en hun tekortkomingen versterken elkaar.

4. Zwakke of onveilige wachtwoordopslag

Opslag in platte tekst, versleutelde (omkeerbare) of zwak gehashte vorm (MD5, unsalted SHA-1, NTLM) verandert een uitsluitend online aanvalsoppervlak in een offline oppervlak, waardoor alle authenticatiebeperking uit de vergelijking verdwijnt.

5. Ineffectieve mechanismen voor herstel van inloggegevens

Kennisgebaseerde beveiligingsvragen "cannot be made safe" volgens OWASP. CWE-640, Weak Password Recovery Mechanism, betekent dat een sterk wachtwoordbeleid volledig kan worden omzeild door een zwakke herstelstroom.

6. Ontbrekende of ineffectieve MFA

OWASP's A07-classificatie vermeldt ontbrekende multi-factor authentication (MFA) expliciet als een directe kwetsbaarheidsvoorwaarde. NIST SP 800-63B stelt vast dat wachtwoorden alleen uitsluitend geschikt zijn voor contexten met lage zekerheid.

7. Contraproductieve complexiteits- en verplichte rotatieregels

OWASP merkt op dat verplichte rotatie en complexiteit van tekencompositie gebruikers aanmoedigen om zwakke wachtwoorden te hergebruiken en voorspelbare patronen te creëren. NIST SP 800-63-3 heeft deze praktijken in 2017 formeel afgeschaft.

8. Organisatorische en lifecyclebeheerfouten

Tekortkomingen in credential hygiene, slapende accounts, gedeelde credentials en accounts van vertrokken gebruikers vormen operationele zwakheden die door geen enkele regel voor wachtwoordcomplexiteit worden aangepakt. CIS Control 5 catalogiseert deze als afzonderlijke zwakheden.

Acht hiaten, elk op zichzelf klein. Samen verklaren ze waarom één zwakke credential een bedrijfsrisico wordt in plaats van een helpdeskticket.

Impact en risico van zwak wachtwoordbeleid

De impact van zwak wachtwoordbeleid strekt zich uit van compromittering van individuele accounts tot volledige inbreuken op organisaties, wettelijke sancties en reputatieschade.

Financiële impact

Een IBM report uit 2024 stelde vast dat de wereldwijde gemiddelde kosten van een inbreuk $4.88 miljoen bereikten.

Vertragingen bij identificatie

Credential-gebaseerde inbreuken kennen een van de langste identificatietijdlijnen: tot 186 dagen om te identificeren, volgens de gegevens van IBM uit 2025. Tijdens dit venster gaan adversaries die met geldige credentials opereren op in legitiem verkeer, een patroon dat SANS omschrijft als "living off the land." Niets wat zij doen ziet eruit als een aanval, omdat een op signatures gebaseerde tool geen signature heeft voor een succesvolle login.

Wettelijke blootstelling

Wettelijke kaders behandelen zwak wachtwoordbeleid nu als meetbare compliance-fouten. PCI DSS FAQ stelde vanaf  maart 2025 een verplichte minimale wachtwoordlengte vast voor betaalkaartomgevingen. De Britse Product Security and Telecommunications Infrastructure Act verbiedt standaardwachtwoorden zoals "admin" voor IoT-apparaten, met financiële sancties bij niet-naleving.

Samengesteld risico van niet-beheerde apparaten

De Verizon 2025 DBIR stelde vast dat bedrijfslogins voorkwamen in infostealer-logs die waren verzameld van apparaten die de onderneming nooit heeft beheerd. Die credentials worden buiten uw controles gestolen en daarbinnen gebruikt, waardoor een perimetergericht model niets heeft om mee te werken.

Aanvallers improviseren niets hiervan. Ze kiezen uit een gedocumenteerde, veelgebruikte reeks technieken.

Hoe aanvallers zwak wachtwoordbeleid misbruiken

Alle credential-aanvalstechnieken vallen onder MITRE ATT&CK, waarbij de bovenliggende techniek T1110 is, Brute Force. Elke subtechniek richt zich op een ander beleidshiaat, en aanvallers kiezen de aanpak die het best aansluit op de zwakheden die zij tijdens reconnaissance ontdekken.

Wachtwoordraden (T1110.001)

Aanvallers proberen systematisch wachtwoorden tegen doelaccounts, met focus op SSO, cloudapplicaties en federated authentication-endpoints. MITRE's T1110.001 entry documenteert dat APT28 gedurende uren of dagen herhaalde pogingen uitvoerde per doelaccount.

• Misbruikte beleidszwakte: Geen lockoutbeleid, korte minimumlengte, ongewijzigde standaardcredentials.

Password Spraying (T1110.003)

Eén wachtwoord, of een kleine lijst, wordt getest op duizenden accounts, waarbij men onder de lockoutdrempels per account blijft. MITRE's T1110.003 entry documenteert meerdere benoemde groepen die deze techniek gebruiken, waaronder APT28, APT29 en Midnight Blizzard.

• Misbruikte beleidszwakte: Voorspelbare wachtwoordpatronen, Season+Year en CompanyName+Number, geen identificatie van gedistribueerde mislukking over accounts heen, geen MFA op extern toegankelijke services.

Credential Stuffing (T1110.004)

Credentials uit breach dumps van derden worden getest tegen bedrijfsservices, waarbij wachtwoordhergebruik wordt misbruikt. OWASP's credential stuffing overview merkt op dat aanvallers breach data ook gebruiken om credential recovery-mechanismen te omzeilen met blootgestelde telefoonnummers, e-mailadressen en antwoorden op beveiligingsvragen.

• Misbruikte beleidszwakte: Geen handhaving tegen wachtwoordhergebruik tussen services, geen controle van breach credentials bij login, afwezigheid van MFA.

Password Cracking (T1110.002)

Dit is een aanval in twee fasen. Eerst extraheren aanvallers wachtwoordhashes uit credential stores, NTDS.dit en /etc/shadow. Vervolgens kraken ze de hashes offline op GPU-versnelde infrastructuur met tools zoals Hashcat en John the Ripper, volledig buiten het bereik van het slachtoffer. MITRE's T1110.002-vermelding documenteert dat FIN6 wachtwoordhashes uit ntds.dit extraheert voor offline kraken en dat Salt Typhoon zwakke versleutelingswachtwoorden kraakt uit configuratiebestanden van netwerkapparaten.

• Beleidszwakte die wordt uitgebuit: Korte wachtwoorden verkorten de kraaktijd. Verouderde hashing algoritmen, MD5, NTLM en SHA-1 zonder salt maken vooraf berekende aanvallen mogelijk.

Kerberoasting (T1558.003)

Elke geauthenticeerde domeingebruiker kan Kerberos Service Tickets aanvragen voor accounts met Service Principal Names. Deze tickets zijn versleuteld met de wachtwoordhash van het serviceaccount. Aanvallers exporteren de tickets en kraken ze offline. Er zijn geen verhoogde bevoegdheden vereist en er is geen अतिरिक्तe netwerkinteractie nodig na het verzamelen van tickets.

• Beleidszwakte die wordt uitgebuit: Serviceaccounts met zwakke wachtwoorden, gebrek aan monitoring voor bulk-SPN-query's en serviceaccounts die zijn vrijgesteld van complexiteitseisen op gebruikersniveau.

Vijf technieken, één voorwaarde: voor elk ervan is een wachtwoord nodig dat een sterker beleid zou hebben afgewezen. Dat is het aangrijpingspunt. Waar het wordt toegepast, hangt af van welke systemen zijn blootgesteld.

Wie wordt getroffen door zwak wachtwoordbeleid?

Zwak wachtwoordbeleid treft elke organisatie en elk systeem dat wachtwoordgebaseerde authenticatie gebruikt. De blootstelling varieert echter per branche, systeemtype en implementatiemodel.

Meest kwetsbare applicatietypen

MITRE ATT&CK-documentatie identificeert specifieke services en protocollen waarop aanvallers zich routinematig richten:

Branches met het hoogste risico

De gemene deler van de bovenstaande services is dat ze authenticatie rechtstreeks blootstellen aan netwerken die aanvallers kunnen bereiken. Het risico concentreert zich verder in bepaalde branches.

• Exploitanten van kritieke infrastructuur worden geconfronteerd met blootstelling aan regelgeving vanuit zowel CISA’s Cybersecurity Performance Goals (CPG) 2.0 en operationele dreigingsinformatieadviezen. 
• Gezondheidszorg en financiële dienstverlening combineren waardevolle data met complexe verouderde omgevingen. 
• Overheidsinstanties zijn onderworpen aan Federal Information Security Modernization Act (FISMA)-vereisten voor continue monitoring en NIST SP 800-63B-4 naleving.
• IoT- en operationele technologieomgevingen (OT) hebben te maken met een structureel probleem: apparaten worden vaak geleverd met hardcoded of standaardreferenties die beheerders niet kunnen wijzigen. CISA publiceerde een ICS-advies voor een SinoTrack GPS-apparaat waarvan het standaardwachtwoord publiekelijk bekend was, zonder mechanisme dat een wijziging afdwingt.
• Kleine en middelgrote bedrijven beschikken doorgaans niet over toegewijde beveiligingsteams om wachtwoordbeleid te auditen, MFA af te dwingen of te monitoren op credentialaanvallen, waardoor ze ondanks hun kleinere aanvalsoppervlakken onevenredig kwetsbaar zijn.

Praktijkvoorbeelden van misbruik van zwak wachtwoordbeleid

Niets hiervan is theoretisch. Elk van de volgende incidenten begon met één referentie, wat laat zien hoe zwak wachtwoordbeleid zich vertaalt in operationele en financiële schade in verschillende sectoren en systeemtypen.

SolarWinds Supply Chain-aanval (2020)

Een zwak wachtwoord op de SolarWinds-updateserver, blootgesteld van juni 2018 tot november 2019, verleende toegang die een supply chain-compromittering mogelijk maakte die gevolgen had voor Amerikaanse federale departementen en instanties.

Colonial Pipeline-ransomwareaanval (2021)

De grootste pijpleiding voor geraffineerde olieproducten in de VS werd stilgelegd nadat aanvallers één referentie op een verouderd VPN-account compromitteerden zonder MFA. Het bedrijf betaalde $4.4 million aan Bitcoin-losgeld.

Een gelijktijdige DOI OIG-audit stelde vast dat het Amerikaanse Department of the Interior geen MFA op assets had geïmplementeerd, wachtwoordhergebruik over meerdere accounts toestond en inactieve accounts niet tijdig uitschakelde, wat bevestigde dat het faalpatroon van Colonial Pipeline systemisch was binnen federale organisaties.

Target Corporation (2013)

Bij deze inbreuk werden tientallen miljoenen betaalkaartrecords blootgelegd. Een beveiligingsbeoordeling na de inbreuk gerapporteerd door KrebsOnSecurity stelde vast dat het wachtwoordbeleid van Target niet werd afgedwongen, bestanden met geldige netwerkreferenties op meerdere servers waren opgeslagen en systemen overal zwakke of standaardwachtwoorden gebruikten. Beoordelaars verkregen onmiddellijk toegang als systeembeheerder met behulp van die zwakke wachtwoorden.

RockYou-datalek (2009)

Een SQL-injectie kwetsbaarheid legde wachtwoorden in platte tekst bloot, meer dan drie decennia nadat wachtwoordhashing was uitgevonden. De inbreuk leverde de woordenlijst "rockyou.txt" op, die een standaard cracking-woordenboek blijft bij penetratietests en praktijkgerichte aanvallen.

Tijdlijn en geschiedenis van kwetsbaarheden in wachtwoordbeleid

Zwakheden in wachtwoordbeleid worden al uitgebuit sinds de vroegste dagen van computing. De volgende tijdlijn volgt de belangrijkste mijlpalen vanaf de uitvinding van wachtwoordgebaseerde authenticatie tot en met de meest recente wijzigingen in regelgeving en standaarden.

De standaarden zijn al jaren juist. De kloof zit in de implementatie. Die dichten begint met weten waar de zwakke beleidsregels zich daadwerkelijk in uw omgeving bevinden.

Hoe zwakke wachtwoordbeleidsregels te detecteren

Het vinden van zwakke wachtwoorden vereist zowel proactieve auditing van bestaande referenties als realtime monitoring van authenticatieactiviteit. Geen enkele methode is voldoende.

Proactieve auditing van wachtwoordhashes

Extraheer wachtwoordhashes uit NTDS.dit of /etc/shadow en haal ze door crackingtools om kraakbare wachtwoorden te vinden voordat aanvallers dat doen. Dit is een purple-teamtechniek, waarbij dezelfde tools die tegenstanders gebruiken op geplande basis worden ingezet tegen uw eigen credential stores. Dit is vooral kritiek voor serviceaccounts met SPN's, die doelwitten zijn voor Kerberoasting. 

Monitor op gebruik van RC4-encryptie in Kerberos ticket aanvragen en audit bulk-SPN-query's, beide indicatoren van actieve Kerberoasting-verkenning. Een CISA advisory bevestigde dit risico: het team kraakte het zwakke wachtwoord van een geprivilegieerd serviceaccount met behulp van een gangbare woordenlijst nadat het een leesbare /etc/shadow had gevonden in een wereldwijd toegankelijke back-up.

SIEM-gebaseerde correlatie van authenticatieafwijkingen

Belangrijke signaturen om te correleren in een SIEM-platform zijn onder meer:

• Credential stuffing: Meerdere mislukte authenticaties met verschillende combinaties van gebruikersnaam/wachtwoord vanaf één IP.
• Spraying: Reeksen mislukte authenticaties met roterende gebruikersnamen.
• Insider threat: Uitvoering van tools voor wachtwoordauditing binnen de omgeving.

Het correleren van deze signalen vereist gecentraliseerde loginname en voldoende retentie om langzaam voortschrijdende campagnes zichtbaar te maken. Wanneer drempelwaarden per account er niet in slagen gedistribueerde aanvallen te detecteren, vullen gedragsmatige benaderingen die leemte op.

Gedragsanalyse van credential attacks

Op lockout gebaseerde controles kunnen gedistribueerde spraying, één poging per account per dag of grootschalige stuffing niet aanpakken. Gedragsanalyse werkt op het patroon in plaats van op de drempelwaarde. 

Het markeert afwijkende apparaatkenmerken, niet-menselijke interactiestromen, ongebruikelijke toegangslocaties en gelijktijdige aanmeldingen vanaf één account.

Screening van breach corpus

CISA's FY2025 FISMA metrics vereisen dat instanties continu verifiëren of accounts kunnen worden gecompromitteerd met referenties uit eerdere datalekken en bekende zwakke wachtwoorden, waaronder woordenboekwoorden en de eigen gebruikersnaam van de gebruiker. Dit positioneert screening van breach corpus als een verplichte, doorlopende controle, niet als een eenmalige controle.

Identity Threat Response

De SANS analyse van identiteitsaanvallen definieert Identity Threat Detection and Response (ITDR) als een verzameling tools en best practices om identiteitssystemen te verdedigen, compromittering te detecteren en efficiënte herstelmaatregelen mogelijk te maken. De kernuitdaging is dat aanvallers die geldige inloggegevens gebruiken opgaan in legitieme activiteit. ITDR vereist identiteitszichtbaarheid in cloud-, on-premises- en hybride omgevingen, met dekking voor alle gebruikers, alle accounts, menselijke en serviceaccounts, alle toegangsrechten en alle configuraties.

Zodra u weet hoe u de zwakte kunt vinden, is de volgende stap het invoeren van preventieve controles.

Hoe zwakke wachtwoordbeleidsregels te voorkomen

Preventie vereist dat uw wachtwoordbeleid wordt afgestemd op de huidige wettelijke normen, terwijl elk van de acht hoofdoorzaken wordt aangepakt.

Dwing een minimale wachtwoordlengte van 15 tekens af

CISA’s advies uit 2025 koppelt beleidsregels met minder dan 15 tekens expliciet aan T1110.001, .002, .003 en .004 als aanvalsmogelijkmaker. Dit is de operationeel best onderbouwde drempel van welke gezaghebbende bron dan ook. PCI DSS FAQ vereist een minimale wachtwoordlengte voor betaalkaartomgevingen.

Implementeer phishingbestendige MFA voor alle toegangspunten

De richtlijn van CISA uit 2025 specificeert phishingbestendige MFA, niet zomaar een willekeurige MFA-implementatie. PCI DSS v4.0.1 vereist MFA voor alle toegang tot omgevingen met kaarthoudergegevens en accepteert FIDO2-passkeys volgens FAQ 1595. NIST SP 800-63B-4 vereist MFA op authenticator assurance level 2 (AAL2) en AAL3, waarbij AAL3 daarnaast weerstand tegen verifier-impersonation en verifier-compromise vereist.

Controleer wachtwoorden aan de hand van gelekte corpora

Controleer alle nieuwe en gewijzigde wachtwoorden op bekende gecompromitteerde waarden, woordenboekwoorden en de eigen gebruikersnaam van de gebruiker. OWASP beveelt aan om minimaal te testen tegen de ergste meest voorkomende wachtwoorden. CISA FISMA-metrics vereisen continue monitoring, geen momentopnames. Vervang verplichte rotatievereisten door deze aanpak van continue screening.

Elimineer onveilige opslag en stel rotatie van inloggegevens in

Verbied opslag van wachtwoorden in platte tekst en controleer hier regelmatig op. Gebruik sterke hashingalgoritmen met salt: bcrypt, scrypt en Argon2. Een SANS analyse van rotatie van inloggegevens stelt vast dat organisaties in staat moeten zijn om inloggegevens wekelijks te roteren. Het onvermogen om dat te doen wijst op onvoldoende operationele hygiëne van inloggegevens. Die capaciteit vereist een speciale infrastructuur voor secrets management.

Schakel slapende accounts binnen 45 dagen uit

CIS Controls vereisen verwijdering of uitschakeling van slapende accounts na 45 dagen inactiviteit. SANS identificeert het onmiddellijk uitschakelen van inactieve accounts als kernhygiëne voor identity and access management (IAM).

Implementeer least privilege met speciale administratoraccounts

Beperk administratorrechten tot speciale adminaccounts. Voer algemene computeractiviteiten, browsen, e-mail en productiviteit uit vanaf niet-geprivilegieerde accounts. CISA CPG verwijst naar NIST SP 800-53 Rev 5 AC-5, Separation of Duties, en AC-6, Least Privilege, als sturende controles.

Implementeer enterprise-wachtwoordmanagers

De wachtwoordrichtlijn van CISA beveelt aan een bedrijfsbrede wachtwoordmanager te implementeren om unieke inloggegevens per asset af te dwingen.

Dat is het beleid. Tooling zorgt ervoor dat het standhoudt over tienduizend accounts.

Tools voor detectie en preventie

Het aanpakken van zwakke wachtwoordbeleidsregels op schaal vereist een combinatie van proactieve audittools, monitoring van authenticatie en infrastructuur voor beleidsafdwinging. De volgende categorieën bestrijken het primaire toolinglandschap.

Tools voor wachtwoordauditing en -kraken (proactief)

• Hashcat: GPU-versnelde wachtwoordauditing en de primaire tool voor proactief hashkraken.
• John the Ripper: Gratis, open-source wachtwoordauditing met ondersteuning voor meerdere indelingsformaten van inloggegevens.

Deze tools laten zien welke inloggegevens in uw omgeving zouden bezwijken voor dezelfde technieken die aanvallers gebruiken. Zodra u weet wat kraakbaar is, hebt u zichtbaarheid nodig in actieve exploitatiepogingen.

Netwerk- en authenticatiemonitoring

• SIEM-platforms: Correleren authenticatiegebeurtenissen over endpoints, identiteitsopslagplaatsen en cloudservices om spraying-, stuffing- en brute-forcepatronen te detecteren.
• ITDR-oplossingen: Speciaal gebouwde identiteitsbescherming voor het geval waarin de aanvaller al over geldige inloggegevens beschikt en opgaat in normale activiteit.

Monitoring brengt lopende aanvallen aan het licht, maar voorkomt ze niet. Afdwingingstools dichten de beleidslacunes die monitoring blootlegt.

Beleidsafdwinging

• Active Directory-groepsbeleid: Dwing minimale wachtwoordlengte, complexiteit en geschiedeniscontroles af in Windows-omgevingen.
• Privileged Access Management (PAM): Sla geprivilegieerde referenties op in een kluis en roteer ze automatisch, waarmee de wachtwoordhygiëne van serviceaccounts en beheerders wordt aangepakt.

Deze categorieën behandelen auditing, monitoring en handhaving onafhankelijk van elkaar. SentinelOne verenigt deze functies binnen één platform.

Hoe SentinelOne kan helpen

Het Singularity™ Platform bestrijkt de aanvalsketen voor referenties in de identiteitsopslag, op het endpoint en in de respons.

• Identiteitsbescherming. Singularity Identity detecteert misbruik van referenties en afwijkende authenticatieactiviteit in Active Directory en cloud-identiteitsopslagplaatsen. Wanneer aanvallers geldige referenties gebruiken die zijn verkregen via brute force of credential stuffing, brengt gedrags-AI de anomalie aan het licht zonder dat een bekende signatuur vereist is.
• Gedrags-AI op het endpoint. De agentgebaseerde gedrags-AI van SentinelOne analyseert procesgedrag op apparaatniveau. Deze detecteert de laterale verplaatsing en privilege-escalatie die volgen op een succesvolle aanval op referenties.
• Storyline technologie. Storyline Active Response (STAR)™ reconstrueert de volledige aanvalsketen vanaf het initiële misbruik van referenties via laterale verplaatsing tot en met gegevenstoegang, waardoor analisten volledige forensische context krijgen. Wanneer een tegenstander wekenlang opereert met geldige referenties, verbindt Storyline de activiteit tot één samenhangend verhaal in plaats van analisten gebeurtenissen handmatig te laten correleren over niet-verbonden tools heen.
• Purple AI™ voor onderzoek. Purple AI™ versnelt het onderzoek van incidenten op basis van referenties door zoekopdrachten in natuurlijke taal mogelijk te maken in Singularity Data Lake. Onderzoek van IDC found dat klanten van Purple AI 63% snellere dreigingsidentificatie en een vermindering van 55% in mean time to respond (MTTR) realiseren. Analisten kunnen vragen naar authenticatieafwijkingen die gekoppeld zijn aan serviceaccounts en binnen enkele seconden gecorreleerde resultaten ontvangen in plaats van uren te besteden aan het uitvoeren van query's op meerdere platforms.
• AI SIEM en Data Lake. De data lake en AI SIEM van SentinelOne bieden realtime-inname vanuit elke bron met normalisatie volgens Open Cybersecurity Schema Framework (OCSF). AI SIEM werkt 100x sneller dan verouderde SIEM-oplossingen, zodat u signalen van brute force, spraying en credential stuffing kunt correleren over identiteits-, endpoint- en cloudtelemetrie heen terwijl de aanval nog gaande is.
• Autonome respons. Wanneer aanvallen op basis van referenties zijn bevestigd, isoleert de autonome responsengine van SentinelOne gecompromitteerde endpoints en stopt laterale verplaatsing zonder te wachten op menselijke tussenkomst. In de 2024 MITRE ATT&CK Evaluations, genereerde SentinelOne 88% minder waarschuwingen dan concurrerende oplossingen. Dat is veel minder ruis om door te spitten terwijl een incident met referenties zich ontvouwt.

Vraag een demo aan om te zien hoe het Singularity Platform aanvallen op basis van referenties in uw omgeving detecteert en stopt.

Identiteitsrisico's in uw hele organisatie verminderen

Detecteer en reageer in realtime op aanvallen met holistische oplossingen voor Active Directory en Entra ID.

Vraag een demo aan

Gerelateerde kwetsbaarheden

Zwakke wachtwoordbeleiden bestaan binnen een bredere familie van zwakheden in authenticatie en referentiebeheer. Inzicht in gerelateerde kwetsbaarheidsklassen wijst u op de aangrenzende blootstellingen in uw eigen omgeving.

• CWE-798: Gebruik van hard-coded referenties. Software bevat referenties die in de broncode zijn gecompileerd en niet door beheerders kunnen worden gewijzigd. Geen enkel operationeel wachtwoordbeleid kan een in een binary ingesloten referentie verhelpen. CWE-798 moet worden aangepakt op het niveau van de softwareontwikkelingslevenscyclus. De CWE-259 page heeft specifiek betrekking op hard-coded wachtwoorden, waarbij gecompileerde Java-klassen kunnen worden gedecompileerd om referentiereeksen bloot te leggen.
• CWE-287: Onjuiste authenticatie. Omvat gevallen waarin het authenticatiemechanisme zelf kan worden omzeild. De CWE-287 page documenteert CVE-2017-14623, waarbij een LDAP-pakket authenticatie-omzeiling toestaat met een leeg wachtwoord. Zelfs een maximaal sterk wachtwoordbeleid biedt nul bescherming wanneer het mechanisme volledig wordt omzeild.
• CWE-262: Geen wachtwoordveroudering gebruiken. Beschrijft het niet afdwingen van wachtwoordverval. Opmerkelijk is dat deze CWE een ongebruikelijke positie inneemt: de remediatie ervan, verplichte veroudering, wordt zelf nu ter discussie gesteld als best practice onder NIST SP 800-63-4. De CWE-262-pagina verwijst naar een communitydiscussie uit 2021 met de titel "Time to retire CWE-262 and CWE-263."
• CWE-263: Wachtwoordveroudering met lange vervaltermijn. Het tegenovergestelde probleem van CWE-262: beleid is aanwezig maar zo los geconfigureerd dat het geen betekenisvolle beperking biedt voor de levensduur van inloggegevens.
• CWE-307: Onjuiste beperking van buitensporige authenticatiepogingen. Gezamenlijk toegewezen aan CWE-521 onder OWASP A07, en dekt de afwezigheid van rate limiting- of lockoutmechanismen.
• CWE-640: Zwak wachtwoordherstelmechanisme. Een sterk wachtwoordbeleid dat volledig wordt omzeild door een zwakke herstelstroom met kennisgebaseerde beveiligingsvragen.

Als u echte openbaarmakingen van kwetsbaarheden volgt, kunt u ook zien hoe vaak deze zwakte voorkomt in product-CVE's.

Gerelateerde CVE's

De volgende tabel documenteert CVE's die verband houden met zwak wachtwoordbeleid, standaardreferenties en hardcoded kwetsbaarheden in inloggegevens. 

Alle vermeldingen linken naar geverifieerde pagina's in de SentinelOne-kwetsbaarhedendatabase en zijn geordend van nieuw naar oud. CISA Known Exploited Vulnerabilities worden vermeld waar van toepassing.

Belangrijkste conclusie

Zwakke wachtwoordbeleidsregels blijven een van de meest consequent uitgebuite authenticatiefouten omdat ze aanvallers legitieme toegang geven. De maatregelen die deze dichten, zijn al vastgelegd en al beschikbaar: langere minimumlengtes, phishing-resistente MFA, screening tegen gelekte wachtwoordcorpora, hashing met salt, en gedragsgebaseerde analyse. 

Elk item op die lijst is een beslissing die iemand in uw organisatie dit kwartaal kan nemen. Neem ze, en één geldige referentie is niet langer een route naar de volledige omgeving.