Eu tenho um pouco de configuração incomum: Eu sou um banco com sistemas, que não são acessíveis de fora (sem acesso direto à internet). Para obter acesso a esses sistemas, primeiro você precisa entrar fisicamente na zona de funcionários do banco (segurança fora do escopo aqui) e, em seguida, fazer login através de sua conta AD pessoal no computador Windows. A partir daí, os dados sensíveis são acessíveis através de programas separados com seus próprios logins, que são independentes do AD. Os usuários não podem instalar software nessas máquinas por conta própria.
A situação atual é: a política de senha do AD está definida para ter um comprimento mínimo de senha de 5 caracteres, idade máxima de 180 dias e sua conta será bloqueada por 1 hora após a quinta tentativa falhada.
Pergunta: Você considera essas configurações do AD como seguras? Quais riscos você pode identificar? (Por exemplo, Força Bruta: Você pode adivinhar no máximo 5 * 24 = 120 senhas por dia, e somente manualmente, já que nenhuma automação é possível, mais você tem que estar fisicamente na frente do computador)