國家安全部在線提示：弱口令，高風(fēng)險(xiǎn)，速修改！

近日，國家安全部發(fā)布了一篇主題為《弱口令，高風(fēng)險(xiǎn)，速修改！》的文章。文章中提到國家安全機(jī)關(guān)工作發(fā)現(xiàn)的3起因弱口令引起的企業(yè)客戶隱私數(shù)據(jù)泄露、公司郵件數(shù)據(jù)泄露，以及危害國家安全風(fēng)險(xiǎn)事件。

對(duì)此，國家安全機(jī)關(guān)再次提示：數(shù)字化時(shí)代，有關(guān)單位和個(gè)人應(yīng)提高信息安全意識(shí)，履行網(wǎng)絡(luò)安全義務(wù)，增強(qiáng)網(wǎng)絡(luò)防護(hù)，避免使用弱口令，防止數(shù)據(jù)被竊取、泄露，影響國家安全。

那么，企業(yè)組織要如何履行網(wǎng)絡(luò)安全義務(wù)，避免使用弱口令？

01

看似簡單的弱口令卻難解決？

從問題解決邏輯上來看，解決方法很簡單。

首先，找出企業(yè)所有的弱口令賬號(hào)、僵尸賬號(hào)等。在此基礎(chǔ)上進(jìn)行賬號(hào)密碼整改，無效賬號(hào)全面清除，弱口令賬號(hào)全面按要求修改。

未來，所有賬號(hào)密碼修改遵循國家密碼要求，進(jìn)行高強(qiáng)密碼設(shè)置，并每三個(gè)月一修改。

然而，從具體實(shí)施上來看，卻并不容易。

首先，數(shù)字化時(shí)代，一家稍有規(guī)模的企業(yè)系統(tǒng)應(yīng)用數(shù)至少十幾個(gè)，規(guī)模大的企業(yè)甚至有成百上千套。這些應(yīng)用系統(tǒng)建設(shè)時(shí)間還不一，有的甚至可以追溯到幾十年前；

系統(tǒng)管理人員流動(dòng)性大，不同系統(tǒng)管理制度各不相同；企業(yè)人員規(guī)模龐大、流動(dòng)性大，還伴隨著人員的入轉(zhuǎn)調(diào)離等人事變動(dòng)；

除了人的身份賬號(hào)，企業(yè)還有特權(quán)賬號(hào)、接口賬號(hào)、設(shè)備賬號(hào)、某個(gè)應(yīng)用程序賬號(hào)等......

要從這成百上千套應(yīng)用系統(tǒng)找出企業(yè)包括人員、設(shè)備、接口、應(yīng)用程序等所有弱口令賬號(hào)、僵尸賬號(hào)等高危賬號(hào)，僅靠管理員依次排查，這樣的效率和準(zhǔn)確性屬實(shí)堪憂。

而這還只是第一步，接下來賬號(hào)整改又是一大難題。尤其是其中的人員配合問題，僅靠管理員制度的要求是不行的。

何況有的企業(yè)每個(gè)員工賬號(hào)密碼十幾個(gè)，要員工記憶完全不一樣的十幾個(gè)強(qiáng)密碼的確是強(qiáng)人所難，更遑論還要每三個(gè)月改一次密。

02

弱密碼檢測快速突破第一關(guān)卡

為了幫助企業(yè)告別弱密碼，滿足企業(yè)合法合規(guī)的安全等級(jí)要求，派拉軟件自主研發(fā)了弱密碼檢測系統(tǒng)。

該系統(tǒng)支持多種加密算法、校驗(yàn)密碼強(qiáng)度，同時(shí)保障整體系統(tǒng)的密碼安全性。整個(gè)系統(tǒng)實(shí)現(xiàn)了從弱密碼發(fā)現(xiàn)，到審計(jì)，再到治理全流程一體化管理。

也就是說，企業(yè)利用弱密碼檢測系統(tǒng)，可以根據(jù)企業(yè)自身特征進(jìn)行弱密碼規(guī)則定義，在系統(tǒng)原有的弱密碼庫（200 萬明文密碼庫、200 萬 Hash 弱密碼庫等，并根據(jù)互聯(lián)網(wǎng)爬蟲將互聯(lián)網(wǎng)常用語義錄入系統(tǒng)弱密碼庫）基礎(chǔ)上進(jìn)行補(bǔ)充，然后一鍵快速掃描與弱密碼庫相符的企業(yè)所有應(yīng)用系統(tǒng)弱密碼賬號(hào)。

掃描過程，系統(tǒng)支持AD、LDAP、Radius、DB、Linux等多種掃描方式，可對(duì)現(xiàn)有資產(chǎn)已經(jīng)存在的密碼進(jìn)行密文掃描，無需解密，從而保證企業(yè)賬號(hào)密碼數(shù)據(jù)的安全性。

掃描出的弱密碼數(shù)據(jù)，系統(tǒng)可以在線靈活開啟通知策略，管理員可根據(jù)人員、系統(tǒng)、賬號(hào)重要等級(jí)等各要素的不同，靈活設(shè)定并開啟賬號(hào)處理策略(如強(qiáng)制改密)。

后續(xù)新建的或賬號(hào)新增的其他應(yīng)用系統(tǒng)改密操作，可以通過派拉軟件弱密碼檢測系統(tǒng)提供 的Open API進(jìn)行調(diào)用，對(duì)密碼進(jìn)行弱密碼校驗(yàn)，從源頭解決企業(yè)弱密碼問題。

03

賬號(hào)密碼安全與用戶體驗(yàn)優(yōu)化

清除了所有累積已久的弱密碼賬號(hào)，接下來企業(yè)需要考慮如何持續(xù)有效的安全管控弱密碼賬號(hào)以及其他風(fēng)險(xiǎn)賬號(hào)，并在此基礎(chǔ)上優(yōu)化用戶體驗(yàn)。

派拉軟件認(rèn)為，通過將企業(yè)內(nèi)部員工身份，供應(yīng)商、經(jīng)銷商等B端身份，C端用戶身份，設(shè)備、API、IOT、機(jī)器人等非自然人身份進(jìn)行統(tǒng)一OneID治理，結(jié)合八大建設(shè)步驟，可以快速解決企業(yè)身份賬號(hào)、密碼、人員管理與辦公難題。

在清除各種弱密碼、孤兒賬號(hào)、影子賬號(hào)、僵尸賬號(hào)等各類風(fēng)險(xiǎn)賬號(hào)等基礎(chǔ)上，全面梳理企業(yè)所有應(yīng)用系統(tǒng)數(shù)字身份歷史數(shù)據(jù)，了解企業(yè)數(shù)字身份管理現(xiàn)狀。

基于利舊準(zhǔn)則，在摸清企業(yè)已有身份數(shù)據(jù)與管理情況后，結(jié)合企業(yè)實(shí)際數(shù)字身份管理要求，為后續(xù)制定數(shù)字身份治理與管理的規(guī)范制度做好數(shù)據(jù)調(diào)研基礎(chǔ)。

通過細(xì)化管理規(guī)則，提前統(tǒng)籌把控身份管理與安全問題，結(jié)合數(shù)字身份治理與管理平臺(tái)，將身份與訪問管理制度線上化與流程化，有效保障企業(yè)數(shù)字身份管理與安全的強(qiáng)落地，并為后續(xù)更多新業(yè)務(wù)應(yīng)用系統(tǒng)集成與身份管理提供標(biāo)準(zhǔn)化抓手。

支持30+種認(rèn)證登錄方式，后端直接配置登錄方式，包括賬密、短信、OTP、掃碼、人臉識(shí)別、無密碼、社交登錄等。這也就意味著在保障安全前提下，員工可以無密碼登錄，更加高效便捷。

基于定義角色、權(quán)限策略和訪問規(guī)則，實(shí)現(xiàn)精確的授權(quán)管理，確保每個(gè)用戶只能訪問其所需的資源，提高數(shù)據(jù)安全性和合規(guī)性。

在重要風(fēng)險(xiǎn)決策點(diǎn)，如注冊(cè)、登錄、應(yīng)用系統(tǒng)訪問、業(yè)務(wù)功能獲取等環(huán)節(jié)，進(jìn)行相關(guān)身份安全風(fēng)險(xiǎn)的識(shí)別與風(fēng)險(xiǎn)管控等，如各種撞庫、代理登錄、批量登錄、非常態(tài)登錄等登錄風(fēng)險(xiǎn)問題，機(jī)器人訪問、批量注冊(cè)、虛假注冊(cè)等風(fēng)險(xiǎn)，幫助企業(yè)智能化、自動(dòng)化、全面化的實(shí)現(xiàn)安全監(jiān)測與風(fēng)險(xiǎn)識(shí)別。

管理員可通過個(gè)性化配置可視化的報(bào)表和日志分析審計(jì)視圖，快速掌握系統(tǒng)的安全狀況和用戶活動(dòng)，及時(shí)發(fā)現(xiàn)和應(yīng)對(duì)潛在的安全風(fēng)險(xiǎn)，實(shí)現(xiàn)訪問可視化、透明化、安全化。

管理員通過配置自動(dòng)化審批與人工+智能化決策，快速進(jìn)行審批與授權(quán)等操作，減輕企業(yè)IT團(tuán)隊(duì)的負(fù)擔(dān)，提高用戶體驗(yàn)和工作效率。

弱口令就像是一扇未上鎖的門，隨時(shí)可能被不法分子利用。而一個(gè)復(fù)雜的口令、一次加強(qiáng)的二次認(rèn)證、一個(gè)AI風(fēng)險(xiǎn)大模型的嵌入、一份全鏈路的安全審計(jì)......都可能成為保護(hù)企業(yè)“數(shù)字世界”的堅(jiān)實(shí)盾牌。

立即行動(dòng)，持續(xù)優(yōu)化您的企業(yè)數(shù)字身份安全管控，履行國家網(wǎng)絡(luò)安全義務(wù)！