提到弱口令惩琉,先想到的是123456這樣的密碼闷供,大家覺得這個不可思議吧烟央,但是實際上真實存在,在我來到公司的時候歪脏,第一次安全眾測疑俭,發(fā)現(xiàn)數(shù)百個這樣的弱密碼。
本節(jié)我們來探討企業(yè)安全中常發(fā)生的內部系統(tǒng)弱口令問題婿失,以及如何整治钞艇。
1.弱口令會在什么地方發(fā)生
郵箱/OA,這是最易發(fā)生弱口令的地方
SSL VPN豪硅,這是進入公司內部網(wǎng)絡的重要入口
運營類系統(tǒng)哩照,這類系統(tǒng)在我們公司非常多
工程效率相關的平臺,比如Redmine / Zabbix
企業(yè)使用的外部系統(tǒng)懒浮,如各應用市場/iOS開發(fā)者中心/微信開發(fā)平臺/企業(yè)微博/域名服務/招聘網(wǎng)站/云服務系統(tǒng)等
2.弱口令的危害
如果這些系統(tǒng)都在內網(wǎng)飘弧,那么即使存在弱口令,危害相對較低砚著,但我們公司由于業(yè)務的屬性次伶,上述的系統(tǒng)大多對外開放,使用對象主要是內部員工稽穆。
這邊主要講下郵箱和運營系統(tǒng):
郵箱一旦有弱口令被攻破冠王,里面的信息非常豐富:
如果你是財務人員,那有各種財務報表
如果你是HR秧骑,那就有員工的薪資資料版确,比如offer
如果你是運維人員,那你們公司服務器帳號密碼就有了
所以郵箱是重要的入口乎折,一旦被攻破绒疗,還能發(fā)生二次安全泄漏,比如一般人郵件都不刪除的骂澄,會保留公司使用的外部系統(tǒng)的帳號密碼吓蘑,這樣就又進入了其他系統(tǒng)。
還有運營系統(tǒng)坟冲,里面一般有大量的公司用戶資料/項目資料磨镶,一旦泄漏出去,危害巨大健提,所以也是重點關注對象琳猫。
3.哪些弱口令會被攻破
從攻防角度來看,我們來看看哪些弱口令會被攻破私痹,首先由于是內部系統(tǒng)脐嫂,所以用戶名很容易被枚舉(如Top500中國姓名),主要的弱密碼會有以下幾種:
常見的若密碼紊遵,如123456账千,123123,888888
公司相關的暗膜,比如abc123456
用戶名相關的:比如zhangsan@2015
4.弱口令整治之治標
首先要能檢測到匀奏,我們的做法是把AD中帳號拉出來,寫密碼字典爆破学搜,剛開始就爆破比如123456常見密碼娃善,后來就爆破公司相關/姓名相關。
接下來就是推動整改恒水,一種做法是發(fā)郵件通知会放,必須于一定時間修改完,或者給管理員直接重置密碼钉凌,并發(fā)消息告知本人咧最。
5.若口令整治之治本
以上只能治標,要想治本御雕,需要解決兩個問題:
統(tǒng)一登錄入口矢沿,實現(xiàn)安全認證
統(tǒng)一密碼重置入口和密碼強度策略
基于以上,開發(fā)了統(tǒng)一認證平臺酸纲,實現(xiàn)統(tǒng)一認證和登錄捣鲸,支持帳號密碼+驗證碼、持釘釘認證或微信登錄闽坡,即保障安全性栽惶,也提升了用戶登錄的便利(當然這個系統(tǒng)自身安全性要求很高愁溜,需要做好控制),如下:
這里要說明下外厂,如果使用帳號密碼登錄冕象,使用短信作為第二認證因子,以防爆破汁蝶。
此外還將密碼重置入口統(tǒng)一收歸到這個平臺渐扮,我們采用以下密碼安全策略:
內部系統(tǒng)弱口令的整改是個漫長的過程,涉及老系統(tǒng)接入改造掖棉,前前后后經(jīng)歷了一年半時間才將這個問題徹底解決墓律。
6.小結
弱口令在很多企業(yè)是普遍存在的,如果這個問題不解決幔亥,很多安全措施其實是無力的耻讽,比如你做了防SQL注入,人家直接就登錄你系統(tǒng)了帕棉,后果很嚴重齐饮。
對于弱口令,思路是檢測--->治標(修改或重置密碼)--->建立機制(如統(tǒng)一認證平臺)笤昨。
?
歡迎大家關注“企業(yè)安全最佳實踐”