國家安全部在線提示：弱口令，高風(fēng)險，速修改！

近日，國家安全部發(fā)布了一篇主題為《弱口令，高風(fēng)險，速修改！》的文章。文章中提到國家安全機(jī)關(guān)工作發(fā)現(xiàn)的3起因弱口令引起的企業(yè)客戶隱私數(shù)據(jù)泄露、公司郵件數(shù)據(jù)泄露，以及危害國家安全風(fēng)險事件。

對此，國家安全機(jī)關(guān)再次提示：數(shù)字化時代，有關(guān)單位和個人應(yīng)提高信息安全意識，履行網(wǎng)絡(luò)安全義務(wù)，增強(qiáng)網(wǎng)絡(luò)防護(hù)，避免使用弱口令，防止數(shù)據(jù)被竊取、泄露，影響國家安全。

那么，企業(yè)組織要如何履行網(wǎng)絡(luò)安全義務(wù)，避免使用弱口令？

01

看似簡單的弱口令卻難解決？

從問題解決邏輯上來看，解決方法很簡單。

首先，找出企業(yè)所有的弱口令賬號、僵尸賬號等。在此基礎(chǔ)上進(jìn)行賬號密碼整改，無效賬號全面清除，弱口令賬號全面按要求修改。

未來，所有賬號密碼修改遵循國家密碼要求，進(jìn)行高強(qiáng)密碼設(shè)置，并每三個月一修改。

然而，從具體實施上來看，卻并不容易。

首先，數(shù)字化時代，一家稍有規(guī)模的企業(yè)系統(tǒng)應(yīng)用數(shù)至少十幾個，規(guī)模大的企業(yè)甚至有成百上千套。這些應(yīng)用系統(tǒng)建設(shè)時間還不一，有的甚至可以追溯到幾十年前；

系統(tǒng)管理人員流動性大，不同系統(tǒng)管理制度各不相同；企業(yè)人員規(guī)模龐大、流動性大，還伴隨著人員的入轉(zhuǎn)調(diào)離等人事變動；

除了人的身份賬號，企業(yè)還有特權(quán)賬號、接口賬號、設(shè)備賬號、某個應(yīng)用程序賬號等......

要從這成百上千套應(yīng)用系統(tǒng)找出企業(yè)包括人員、設(shè)備、接口、應(yīng)用程序等所有弱口令賬號、僵尸賬號等高危賬號，僅靠管理員依次排查，這樣的效率和準(zhǔn)確性屬實堪憂。

而這還只是第一步，接下來賬號整改又是一大難題。尤其是其中的人員配合問題，僅靠管理員制度的要求是不行的。

何況有的企業(yè)每個員工賬號密碼十幾個，要員工記憶完全不一樣的十幾個強(qiáng)密碼的確是強(qiáng)人所難，更遑論還要每三個月改一次密。

02

弱密碼檢測快速突破第一關(guān)卡

為了幫助企業(yè)告別弱密碼，滿足企業(yè)合法合規(guī)的安全等級要求，派拉軟件自主研發(fā)了弱密碼檢測系統(tǒng)。

該系統(tǒng)支持多種加密算法、校驗密碼強(qiáng)度，同時保障整體系統(tǒng)的密碼安全性。整個系統(tǒng)實現(xiàn)了從弱密碼發(fā)現(xiàn)，到審計，再到治理全流程一體化管理。

也就是說，企業(yè)利用弱密碼檢測系統(tǒng)，可以根據(jù)企業(yè)自身特征進(jìn)行弱密碼規(guī)則定義，在系統(tǒng)原有的弱密碼庫（200 萬明文密碼庫、200 萬 Hash 弱密碼庫等，并根據(jù)互聯(lián)網(wǎng)爬蟲將互聯(lián)網(wǎng)常用語義錄入系統(tǒng)弱密碼庫）基礎(chǔ)上進(jìn)行補充，然后一鍵快速掃描與弱密碼庫相符的企業(yè)所有應(yīng)用系統(tǒng)弱密碼賬號。

掃描過程，系統(tǒng)支持AD、LDAP、Radius、DB、Linux等多種掃描方式，可對現(xiàn)有資產(chǎn)已經(jīng)存在的密碼進(jìn)行密文掃描，無需解密，從而保證企業(yè)賬號密碼數(shù)據(jù)的安全性。

掃描出的弱密碼數(shù)據(jù)，系統(tǒng)可以在線靈活開啟通知策略，管理員可根據(jù)人員、系統(tǒng)、賬號重要等級等各要素的不同，靈活設(shè)定并開啟賬號處理策略(如強(qiáng)制改密)。

后續(xù)新建的或賬號新增的其他應(yīng)用系統(tǒng)改密操作，可以通過派拉軟件弱密碼檢測系統(tǒng)提供 的Open API進(jìn)行調(diào)用，對密碼進(jìn)行弱密碼校驗，從源頭解決企業(yè)弱密碼問題。

03

賬號密碼安全與用戶體驗優(yōu)化

清除了所有累積已久的弱密碼賬號，接下來企業(yè)需要考慮如何持續(xù)有效的安全管控弱密碼賬號以及其他風(fēng)險賬號，并在此基礎(chǔ)上優(yōu)化用戶體驗。

派拉軟件認(rèn)為，通過將企業(yè)內(nèi)部員工身份，供應(yīng)商、經(jīng)銷商等B端身份，C端用戶身份，設(shè)備、API、IOT、機(jī)器人等非自然人身份進(jìn)行統(tǒng)一OneID治理，結(jié)合八大建設(shè)步驟，可以快速解決企業(yè)身份賬號、密碼、人員管理與辦公難題。

在清除各種弱密碼、孤兒賬號、影子賬號、僵尸賬號等各類風(fēng)險賬號等基礎(chǔ)上，全面梳理企業(yè)所有應(yīng)用系統(tǒng)數(shù)字身份歷史數(shù)據(jù)，了解企業(yè)數(shù)字身份管理現(xiàn)狀。

基于利舊準(zhǔn)則，在摸清企業(yè)已有身份數(shù)據(jù)與管理情況后，結(jié)合企業(yè)實際數(shù)字身份管理要求，為后續(xù)制定數(shù)字身份治理與管理的規(guī)范制度做好數(shù)據(jù)調(diào)研基礎(chǔ)。

通過細(xì)化管理規(guī)則，提前統(tǒng)籌把控身份管理與安全問題，結(jié)合數(shù)字身份治理與管理平臺，將身份與訪問管理制度線上化與流程化，有效保障企業(yè)數(shù)字身份管理與安全的強(qiáng)落地，并為后續(xù)更多新業(yè)務(wù)應(yīng)用系統(tǒng)集成與身份管理提供標(biāo)準(zhǔn)化抓手。

支持30+種認(rèn)證登錄方式，后端直接配置登錄方式，包括賬密、短信、OTP、掃碼、人臉識別、無密碼、社交登錄等。這也就意味著在保障安全前提下，員工可以無密碼登錄，更加高效便捷。

基于定義角色、權(quán)限策略和訪問規(guī)則，實現(xiàn)精確的授權(quán)管理，確保每個用戶只能訪問其所需的資源，提高數(shù)據(jù)安全性和合規(guī)性。

在重要風(fēng)險決策點，如注冊、登錄、應(yīng)用系統(tǒng)訪問、業(yè)務(wù)功能獲取等環(huán)節(jié)，進(jìn)行相關(guān)身份安全風(fēng)險的識別與風(fēng)險管控等，如各種撞庫、代理登錄、批量登錄、非常態(tài)登錄等登錄風(fēng)險問題，機(jī)器人訪問、批量注冊、虛假注冊等風(fēng)險，幫助企業(yè)智能化、自動化、全面化的實現(xiàn)安全監(jiān)測與風(fēng)險識別。

管理員可通過個性化配置可視化的報表和日志分析審計視圖，快速掌握系統(tǒng)的安全狀況和用戶活動，及時發(fā)現(xiàn)和應(yīng)對潛在的安全風(fēng)險，實現(xiàn)訪問可視化、透明化、安全化。

管理員通過配置自動化審批與人工+智能化決策，快速進(jìn)行審批與授權(quán)等操作，減輕企業(yè)IT團(tuán)隊的負(fù)擔(dān)，提高用戶體驗和工作效率。

弱口令就像是一扇未上鎖的門，隨時可能被不法分子利用。而一個復(fù)雜的口令、一次加強(qiáng)的二次認(rèn)證、一個AI風(fēng)險大模型的嵌入、一份全鏈路的安全審計......都可能成為保護(hù)企業(yè)“數(shù)字世界”的堅實盾牌。

立即行動，持續(xù)優(yōu)化您的企業(yè)數(shù)字身份安全管控，履行國家網(wǎng)絡(luò)安全義務(wù)！