다음을 통해 공유

Microsoft 365 암호에 대한 암호 정책 권장 사항

  • 아티클

소규모 비즈니스 지원 및 학습에 대한 모든 소규모 비즈니스 콘텐츠를 확인하세요.

조직의 관리자는 조직의 사용자에 대한 암호 정책을 설정할 책임이 있습니다. 암호 정책의 설정은 복잡하고 혼동될 수 있습니다. 이 문서에서는 조직을 암호 공격으로부터 더 안전하게 보호하기 위한 권장 사항을 제공합니다.

Microsoft 클라우드 전용 계정에는 변경할 수 없는 미리 정의된 암호 정책이 있습니다. 변경할 수 있는 유일한 항목은 암호가 만료될 때까지의 일 수와 암호가 만료되는지 여부입니다.

조직의 Microsoft 365 암호 만료 주기를 확인하려면 Microsoft 365 암호 만료 정책 설정을 참조하세요.

Microsoft 365 암호에 대한 자세한 내용은 다음을 참조 하세요.

암호 다시 설정 (문서)

개별 사용자의 암호를 만료 기한 없음으로 설정 (문서)

사용자가 암호를 직접 재설정할 수 있도록 허용 (문서)

사용자의 암호 다시 보내기 (문서)

필수 암호 변경을 재고할 시간입니다.

암호 권장 사항 이해

좋은 암호의 예는 몇 가지 광범위한 범주로 분류됩니다.

  • 일반적인 공격에 대한 저항 사용자가 암호를 입력하는 위치(좋은 맬웨어 검색을 사용하는 알려지고 신뢰하는 장치, 유효성이 검사된 사이트) 및 선택할 암호(길이와 고유성)를 선택하는 것과 관련이 있습니다.

  • 성공한 해커 공격 포함 성공적인 해커 공격 포함은 특정 서비스에 대한 노출을 제한하거나, 사용자의 암호가 도난 당한 경우 그 피해를 완전히 방지하는 것입니다. 예를 들어, 소셜 네트워킹 자격 증명이 침해되어도 은행 계좌를 취약하게 만들지 않도록 하거나 보안이 취약한 계정에서 중요한 계정에 대한 재설정 링크를 수락하지 않도록 합니다.

  • 인간 본성 이해 많은 유효한 암호의 예가 자연스러운 인간 행동으로 실패합니다. 연구에 따르면 사용자에게 부과하는 거의 모든 규칙이 암호 품질이 약화된다는 연구 결과가 있기 때문에 인간의 본성을 이해하는 것이 중요합니다. 길이 요구 사항, 특수 문자 요구 사항, 암호 변경 요구 사항 모두 암호의 정규화하므로 공격자가 암호를 추측하거나 해독하기 쉽게 만듭니다.

관리자를 위한 암호 관련 지침

더욱 안전한 암호 시스템의 기본 목적은 암호 다양성입니다. 암호 정책에 다양하고 추측하기 어려운 비밀번호를 포함하고 싶을 것입니다. 다음은 조직을 최대한 안전한 상태로 유지하기 위한 몇 가지 권장 사항입니다.

  • 8자 최소 길이 요구 사항 유지

  • 문자 구성 요구 사항은 필요하지 않습니다. 예를 들어 *&(^%$

  • 사용자 계정의 주기적인 암호 재설정 필요 없음

  • 가장 취약한 암호를 사용하지 않도록 일반적인 암호 금지

  • 사용자가 업무 외 관련 목적으로 organization 암호를 다시 사용하지 않도록 교육

  • 다단계 인증 등록 시행

  • 위험 기반 다단계 인증 과제 사용

사용자를 위한 암호 지침

조직의 사용자를 위한 몇 가지 암호 지침입니다. 사용자가 이러한 권장 사항을 알고 있어야 하며 조직 수준에서 권장 암호 정책을 시행해야 합니다.

  • 다른 웹 사이트에서 사용하는 것과 같거나 비슷한 암호를 사용하지 마세요.

  • 한 단어(예: password)나 일반적으로 사용되는 문구(예: Iloveyou)를 사용하지 마세요.

  • 친구 및 가족의 이름과 생일, 좋아하는 밴드 및 사용하려는 문구와 같이 사용자에 대해 많이 아는 사람들이라도 암호를 추측하기 어렵게 만듭니다.

몇 가지 일반적인 접근 방법과 부정적인 영향

가장 일반적으로 사용되는 암호 관리 사례 중 일부이지만 연구는 부정적인 영향에 대해 경고합니다.

사용자의 암호 만료 요구 사항

암호 만료 요구 사항은 사용자가 서로 밀접하게 관련된 순차적 단어와 숫자로 구성된 예측 가능한 암호를 선택하도록 하기 때문에 양호한 것보다 더 많은 해를 끼칩니다. 이 경우 이전 암호를 기준으로 다음 암호를 예측할 수 있습니다. 사이버 범죄자는 거의 항상 암호를 알아내자마자 바로 사용하므로 암호 만료 요구 사항에는 견제 효과가 거의 없습니다.

최소 암호 길이 요구 사항

사용자가 고유한 암호에 대해 생각하도록 권장하려면 합리적인 8자 최소 길이 요구 사항을 유지하는 것이 좋습니다.

여러 문자 집합을 사용해야 하는 경우

암호 복잡성 요구 사항은 주요 공간을 줄이고 사용자가 득보다 해가 될 수 있는 예측 가능한 방식으로 행동하도록 합니다. 대부분의 시스템에서는 암호 복잡성 요구 사항을 어느 정도 적용합니다. 예를 들어, 암호에 다음 세 가지 범주의 문자가 모두 있어야 합니다.

  • 대문자

  • 소문자

  • 영숫자가 아닌 문자

대부분의 사람들은 비슷한 패턴을 사용합니다. 예를 들어 첫 번째 위치의 대문자, 마지막의 기호 및 마지막 2의 숫자입니다. 사이버 범죄자는 이러한 패턴을 알고 있으므로 가장 일반적인 대체 항목인 "s"의 경우 "$", "a"의 경우 "@", "l"의 경우 "1"을 사용하여 사전 공격을 실행합니다. 사용자가 대/소문자, 숫자, 특수 문자를 원하는 대로 조합하여 선택하도록 하면 부정적인 영항을 끼칩니다. 일부 복잡한 요구 사항은 사용자가 안전하고 기억하기 쉬운 암호를 사용하지 못하게 하고 덜 안전하고 덜 기억하기 쉬운 암호를 제공하도록 합니다.

성공한 패턴

이와 대조적으로, 다음은 암호 다양성을 위해 권장되는 몇 가지 권장 사항입니다.

일반적인 암호 금지

암호를 만들 때 사용자에게 제공해야 하는 가장 중요한 암호 요구 사항은 조직의 무작위 암호 공격에 대한 취약성을 줄이기 위해 일반적인 암호 사용을 금지하는 것입니다. 일반적인 사용자 암호에는 abcdefg, password, monkey가 포함됩니다.

다른 곳에서 조직 암호를 다시 사용하지 않도록 사용자를 교육합니다.

조직 사용자가 명심해야 할 중요한 메시지 중 하나는 조직 암호를 다른 곳에서 사용해서는 안 된다는 겁니다. 외부 웹 사이트에서 organization 암호를 사용하면 사이버 범죄자가 이러한 암호를 손상할 가능성이 크게 높아집니다.

다단계 인증 등록 시행

사용자가 대체 전자 메일 주소, 전화 번호 또는 푸시 알림에 등록된 장치 등의 연락처 및 보안 정보를 업데이트하여 보안 문제에 대응하고 보안 이벤트 알림을 받을 수 있도록 합니다. 업데이트된 연락처 및 보안 정보는 사용자가 암호를 잊어버린 경우 또는 다른 사용자가 자신의 계정을 사용하려고 시도하는 경우 신원을 확인하는 데 도움이 됩니다. 또한 로그인 시도 또는 암호 변경과 같은 보안 이벤트에 대한 대역 외 알림 채널을 제공합니다.

자세한 내용은 다단계 인증을 설정을 참조하세요.

위험 기반 다단계 인증 사용

위험 기반 다단계 인증은 시스템에서 의심스러운 활동을 감지할 때 사용자에게 합법적인 계정 소유자인지 확인하도록 할 수 있도록 합니다.

다음 단계

암호 관리에 대해 더 알고 싶으세요? 다음은 몇 가지 권장되는 읽기입니다.

관련 콘텐츠

암호 다시 설정 (문서)
개별 사용자의 암호를 만료 기한 없음으로 설정 (문서)
사용자가 암호를 직접 재설정할 수 있도록 허용 (문서)
사용자 암호 다시 전송 - 관리자 도움말 (문서)