Punti chiave
- Distingui tra le credenziali archiviate per le risorse di rete e i verificatori di accesso in cache usati per l’accesso offline al computer, perché richiedono metodi di gestione diversi.
- Automatizza la pulizia delle credenziali archiviate con script PowerShell basati su cmdkey e controlla gli accessi in cache tramite le impostazioni di registro dei criteri di gruppo.
- Impedisci la memorizzazione delle credenziali nella cache applicando il criterio di gruppo che imposta a zero il numero di accessi in cache e abilitando Credential Guard.
- Integra la pulizia delle credenziali negli eventi standard del ciclo di vita IT, come l’offboarding dei dipendenti e i cicli di sostituzione dei dispositivi.
- Mantieni log dettagliati di tutti gli interventi di pulizia e dello stato delle policy per generare report di conformità pronti per gli audit.
Memorizzare i dati di accesso sui portatili può diventare un rischio serio, soprattutto quando un dispositivo viene smarrito o un dipendente lascia l’azienda. Sapere come eliminare le credenziali memorizzate nella cache non basta: serve una strategia scalabile.
In questa guida imparerai un processo completo per individuare, rimuovere e prevenire le credenziali memorizzate nella cache in tutto il tuo ambiente, con automazione e documentazione a prova di audit.
Procedura passo passo per cancellare le credenziali di Windows memorizzate nella cache
Cancellare le credenziali memorizzate nella cache è fondamentale per mantenere la sicurezza e risolvere i problemi di accesso.
📌Situazione d’uso: dovresti cancellare le credenziali di Windows memorizzate nella cache dopo un incidente di sicurezza, quando riassegni un dispositivo o quando un dipendente lascia l’azienda. È anche un passaggio di troubleshooting frequente per i problemi di accesso alle risorse di rete.
📌Prerequisiti: un processo efficace richiede preparazione. Assicurati di avere quanto segue:
- Un inventario dei tuoi endpoint (comprese le versioni OS come Windows 11) e i dettagli degli account amministratore locali.
- Verifica che i tuoi strumenti di automazione (PowerShell, Intune, RMM) siano pronti per l’esecuzione da remoto.
- Controlla che le policy di sicurezza di base, come Credential Guard, siano attive per rafforzare la tua postura prima di iniziare.
Una volta soddisfatti questi requisiti, segui i passaggi qui sotto.
Passaggio 1: individua le credenziali memorizzate nella cache e valuta il rischio
Per prima cosa, individua tutti gli accessi memorizzati per capire la tua esposizione al rischio. Devi anche distinguere tra le credenziali archiviate per le risorse e le credenziali di accesso memorizzate nella cache per l’accesso offline.
Come individuare le credenziali archiviate
Per le password salvate che danno accesso a risorse specifiche, come le condivisioni di rete, usa questi metodi:
- Interfaccia grafica:apri Gestione credenziali di Windows, cercandola dal menu Start.
- Riga di comando: esegui
cmdkey /listnel Prompt dei comandi (come amministratore). - Archivi dei browser: controlla le password salvate nelle impostazioni di Chrome, Firefox e così via.
Cosa sono le credenziali di accesso memorizzate nella cache
Le credenziali di accesso memorizzate nella cache sono verificatori con hash creati durante l’accesso al dominio per consentire l’uso offline e non vengono gestite come le password archiviate.
- Scopo:consentono l’accesso a un PC aggiunto al dominio quando non riesce a contattare il server.
- Controllo: sono gestite esclusivamente dal criterio di gruppo Numero di accessi precedenti da memorizzare nella cache.
- Archiviazione: sono conservate in modo sicuro nel registro di sistema, non in Gestione credenziali.
Valutazione del rischio
Elenca tutte le credenziali individuate e annota i dispositivi associati. I rischi principali sono:
- Credenziali archiviate: possono essere estratte e usate per movimenti laterali all’interno della tua rete.
- Verificatori di accesso in cache: consentono l’accesso offline a un dispositivo con una vecchia password, aggirando le modifiche recenti alle password.
Questo inventario fornisce le prove necessarie per pianificare una pulizia mirata.
Passaggio 2: automatizza la pulizia su tutti gli endpoint
Distribuisci script per cancellare in modo efficiente le credenziali da più computer. L’automazione è diversa per le credenziali archiviate (per le risorse) e per le credenziali di accesso in cache (per l’accesso offline).
Automazione della pulizia delle credenziali archiviate
- Crea lo script di distribuzione:
- Usa uno script PowerShell o il tuo strumento RMM per eseguire la pulizia. Ecco uno script PowerShell di base che usa il comando cmdkey per elencare ed eliminare le credenziali:
- Elenca tutte le credenziali archiviate:
cmdkey /list
- Elimina una credenziale specifica in base al nome della destinazione:
cmdkey /delete "TARGET_NAME"Write-Output "Deleted credential for TARGET_NAME"
- Pianifica l’esecuzione: esegui lo script tramite il tuo RMM o Intune fuori dall’orario di lavoro. Assicurati che venga eseguito con diritti di amministratore e che registri le proprie azioni come prova per gli audit.
- Verifica e registra: configura lo script in modo che generi un semplice file di log che confermi l’eliminazione su ogni dispositivo. In questo modo avrai prove immediate per gli audit.
Automazione della gestione delle credenziali di accesso in cache
Le credenziali di accesso memorizzate nella cache non possono essere rimosse a posteriori con uno script. Devi invece configurare un’impostazione di criterio di gruppo che ne impedisca la creazione.
Segui questa procedura per disattivare la memorizzazione nella cache:
- Apri l’Editor Gestione criteri di gruppo e vai a:
- Configurazione del computer > Criteri > Impostazioni di Windows > Impostazioni sicurezza > Criteri locali > Opzioni di sicurezza
- Individua e fai doppio clic sul criterio: Accesso interattivo: numero di accessi precedenti da memorizzare nella cache (nel caso in cui il domain controller non sia disponibile).
- Imposta il valore su 0 e fai clic su OK.
⚠️Note importanti:
- Per rendere effettiva la modifica sui dispositivi esistenti è necessario riavviare il sistema.
- Questa impostazione impedisce solo la memorizzazione di nuove credenziali nella cache: non elimina quelle già presenti.
- Per un’applicazione coerente su tutta la rete, distribuisci questa policy tramite i criteri di gruppo di Active Directory o un MDM come Microsoft Intune.
Al termine, le credenziali archiviate per le risorse vengono rimosse e gli utenti dovranno autenticarsi di nuovo. La modifica del registro impedisce la memorizzazione locale delle password di dominio per i futuri accessi offline, risolvendo entrambi i rischi principali.
Passaggio 3: rafforza le policy per evitare che il problema si ripresenti
Per una sicurezza duratura, configura policy che impediscano la memorizzazione delle credenziali nella cache.
Implementa i controlli di sicurezza fondamentali
Usa i criteri di gruppo o strumenti MDM come Intune per distribuire due impostazioni chiave. Per prima cosa, imposta su 0 il criterio “Accesso interattivo: numero di accessi precedenti da memorizzare nella cache (nel caso in cui il domain controller non sia disponibile)” per disattivare le informazioni di accesso al dominio in cache usate per l’accesso offline. In secondo luogo, abilita Credential Guard sui dispositivi Windows per proteggere gli hash tramite l’isolamento basato su hardware.
Limita l’accesso degli account
Configura le policy per negare i diritti di accesso locale agli account di servizio e ai gruppi con privilegi elevati. Assicurati che questi account siano limitati ai soli accessi non interattivi, in modo da impedire che le loro credenziali vengano memorizzate nella cache durante le sessioni interattive.
Una volta applicate, queste policy impediranno l’archiviazione locale delle credenziali di dominio, eliminando il vettore di attacco delle credenziali in cache e garantendo una protezione continua.
Passaggio 4: integra la pulizia negli eventi del ciclo di vita
Integra la manutenzione delle credenziali nelle tue procedure IT standard per una sicurezza continuativa. Prevedi azioni automatizzate specifiche sia per le credenziali archiviate sia per le credenziali di accesso in cache nei momenti chiave.
Per le credenziali archiviate (accessi alle risorse)
Automatizza la rimozione delle password di rete salvate durante gli eventi critici.
- Usale negli script di offboarding: inserisci uno script di pulizia basato su cmdkey per rimuovere dal dispositivo le credenziali archiviate del dipendente in uscita.
- Aggiungile alle checklist: includi Esegui lo script di pulizia delle credenziali archiviate nelle checklist di offboarding e di sostituzione dei dispositivi.
Per le credenziali di accesso in cache (accesso offline)
Queste sono gestite tramite policy, non tramite script. Integra l’applicazione delle policy nel ciclo di vita delle tue distribuzioni.
- Applica la policy in fase di provisioning: assicurati che l’impostazione di criterio di gruppo “Accesso interattivo: numero di accessi precedenti da memorizzare nella cache” venga distribuita ai nuovi dispositivi.
- Verifica la policy negli audit: includi un controllo dello stato di questa policy nelle revisioni di sicurezza trimestrali.
Pianifica una manutenzione regolare
Configura lo script per le credenziali archiviate in modo che venga eseguito ogni mese tramite il tuo RMM per cancellare gli accessi accumulati. Per le credenziali di accesso in cache, la manutenzione consiste nell’applicazione continua della policy.
Passaggio 5: documenta prove e interventi di remediation
Mantieni una documentazione accurata per dimostrare la conformità e monitorare la tua postura di sicurezza.
Crea una registrazione standardizzata
Per ogni intervento di pulizia delle credenziali, registra questi dettagli essenziali in un sistema centrale:
- Nome del dispositivo e account utente/di servizio
- Credenziali specifiche rimosse
- Data e ora dell’intervento
- Nome del tecnico che ha eseguito la pulizia
- Esiti delle verifiche successive
Genera report di conformità mensili
Prepara riepiloghi periodici che includano:
- Numero totale di credenziali rimosse
- Dispositivi non conformi alle policy
- Account ad alto rischio ancora da gestire
- Andamento dell’accumulo di credenziali nel tuo ambiente
Questa documentazione crea una traccia verificabile che dimostra una gestione proattiva della sicurezza. Quando gli auditor esamineranno i tuoi processi, avrai prove chiare di una manutenzione costante delle credenziali e della conformità alle tue policy di sicurezza.
Semplifica la gestione delle credenziali con NinjaOne
NinjaOne centralizza e automatizza la sicurezza delle credenziali, gestendo le credenziali archiviate e applicando le policy per gli accessi in cache.
- Individua e rimuovi le credenziali archiviate: esegui script per trovare e rimuovere gli accessi salvati in Gestione credenziali di Windows.
- Applica e monitora le policy: distribuisci e verifica le impostazioni critiche dei criteri di gruppo, come la disattivazione della memorizzazione delle credenziali nella cache, monitorando al contempo difese come Credential Guard.
- Prove di audit centralizzate: raccogli automaticamente log e prove per un reporting di conformità immediato.
Questo approccio crea un sistema scalabile e automatizzato per una sicurezza continua delle credenziali e una costante preparazione agli audit.
Riduci su larga scala il rischio legato agli accessi memorizzati. Individua, rimuovi e documenta le credenziali in cache con un’automazione guidata dalle policy.
→ Automatizza la pulizia delle credenziali in cache con NinjaOne
Proteggi il tuo ambiente gestendo le credenziali memorizzate nella cache
Eliminare manualmente le credenziali memorizzate nella cache è una correzione reattiva, ma la vera sicurezza nasce da un sistema proattivo. Automatizzando la pulizia, applicando policy preventive, integrando il processo nei cicli di vita IT e mantenendo log dettagliati, costruisci una difesa solida contro gli attacchi basati sulle credenziali.
Questo processo end-to-end trasforma una vulnerabilità diffusa in una pratica di sicurezza documentata e controllata, che soddisfa sia i requisiti tecnici sia quelli di conformità.
Argomenti correlati:
