En 400-6655-581
5
返回列表
> 資源中心 > 文章>產(chǎn)品>UEBA> 國家安全部在線提示:弱口令,高風(fēng)險(xiǎn),速修改!

國家安全部在線提示:弱口令,高風(fēng)險(xiǎn),速修改!

文章

2024-08-29瀏覽次數(shù):95

近日,國家安全部發(fā)布了一篇主題為《弱口令,高風(fēng)險(xiǎn),速修改!》的文章。文章中提到國家安全機(jī)關(guān)工作發(fā)現(xiàn)的3起因弱口令引起的企業(yè)客戶隱私數(shù)據(jù)泄露、公司郵件數(shù)據(jù)泄露,以及危害國家安全風(fēng)險(xiǎn)事件。

 

對(duì)此,國家安全機(jī)關(guān)再次提示:數(shù)字化時(shí)代,有關(guān)單位和個(gè)人應(yīng)提高信息安全意識(shí),履行網(wǎng)絡(luò)安全義務(wù),增強(qiáng)網(wǎng)絡(luò)防護(hù),避免使用弱口令,防止數(shù)據(jù)被竊取、泄露,影響國家安全。

 

那么,企業(yè)組織要如何履行網(wǎng)絡(luò)安全義務(wù),避免使用弱口令?

 

 

 

01

看似簡單的弱口令卻難解決?

 

從問題解決邏輯上來看,解決方法很簡單。

 

首先,找出企業(yè)所有的弱口令賬號(hào)、僵尸賬號(hào)等。在此基礎(chǔ)上進(jìn)行賬號(hào)密碼整改,無效賬號(hào)全面清除,弱口令賬號(hào)全面按要求修改。

 

未來,所有賬號(hào)密碼修改遵循國家密碼要求,進(jìn)行高強(qiáng)密碼設(shè)置,并每三個(gè)月一修改。

 

然而,從具體實(shí)施上來看,卻并不容易。

 

首先,數(shù)字化時(shí)代,一家稍有規(guī)模的企業(yè)系統(tǒng)應(yīng)用數(shù)至少十幾個(gè),規(guī)模大的企業(yè)甚至有成百上千套。這些應(yīng)用系統(tǒng)建設(shè)時(shí)間還不一,有的甚至可以追溯到幾十年前;

 

系統(tǒng)管理人員流動(dòng)性大,不同系統(tǒng)管理制度各不相同;企業(yè)人員規(guī)模龐大、流動(dòng)性大,還伴隨著人員的入轉(zhuǎn)調(diào)離等人事變動(dòng);

 

除了人的身份賬號(hào),企業(yè)還有特權(quán)賬號(hào)、接口賬號(hào)、設(shè)備賬號(hào)、某個(gè)應(yīng)用程序賬號(hào)等......

 

要從這成百上千套應(yīng)用系統(tǒng)找出企業(yè)包括人員、設(shè)備、接口、應(yīng)用程序等所有弱口令賬號(hào)、僵尸賬號(hào)等高危賬號(hào),僅靠管理員依次排查,這樣的效率和準(zhǔn)確性屬實(shí)堪憂。

 

而這還只是第一步,接下來賬號(hào)整改又是一大難題。尤其是其中的人員配合問題,僅靠管理員制度的要求是不行的。

 

何況有的企業(yè)每個(gè)員工賬號(hào)密碼十幾個(gè),要員工記憶完全不一樣的十幾個(gè)強(qiáng)密碼的確是強(qiáng)人所難,更遑論還要每三個(gè)月改一次密。

 

 

 

02

弱密碼檢測快速突破第一關(guān)卡

 

為了幫助企業(yè)告別弱密碼,滿足企業(yè)合法合規(guī)的安全等級(jí)要求,派拉軟件自主研發(fā)了弱密碼檢測系統(tǒng)。

 

該系統(tǒng)支持多種加密算法、校驗(yàn)密碼強(qiáng)度,同時(shí)保障整體系統(tǒng)的密碼安全性。整個(gè)系統(tǒng)實(shí)現(xiàn)了從弱密碼發(fā)現(xiàn),到審計(jì),再到治理全流程一體化管理。

 

圖片

 

也就是說,企業(yè)利用弱密碼檢測系統(tǒng),可以根據(jù)企業(yè)自身特征進(jìn)行弱密碼規(guī)則定義,在系統(tǒng)原有的弱密碼庫(200 萬明文密碼庫、200 萬 Hash 弱密碼庫等,并根據(jù)互聯(lián)網(wǎng)爬蟲將互聯(lián)網(wǎng)常用語義錄入系統(tǒng)弱密碼庫)基礎(chǔ)上進(jìn)行補(bǔ)充,然后一鍵快速掃描與弱密碼庫相符的企業(yè)所有應(yīng)用系統(tǒng)弱密碼賬號(hào)。

 

掃描過程,系統(tǒng)支持AD、LDAP、Radius、DB、Linux等多種掃描方式,可對(duì)現(xiàn)有資產(chǎn)已經(jīng)存在的密碼進(jìn)行密文掃描,無需解密,從而保證企業(yè)賬號(hào)密碼數(shù)據(jù)的安全性。

 

掃描出的弱密碼數(shù)據(jù),系統(tǒng)可以在線靈活開啟通知策略,管理員可根據(jù)人員、系統(tǒng)、賬號(hào)重要等級(jí)等各要素的不同,靈活設(shè)定并開啟賬號(hào)處理策略(如強(qiáng)制改密)。

 

后續(xù)新建的或賬號(hào)新增的其他應(yīng)用系統(tǒng)改密操作,可以通過派拉軟件弱密碼檢測系統(tǒng)提供 的Open API進(jìn)行調(diào)用,對(duì)密碼進(jìn)行弱密碼校驗(yàn),從源頭解決企業(yè)弱密碼問題。

 

 

 

03

賬號(hào)密碼安全與用戶體驗(yàn)優(yōu)化

 

清除了所有累積已久的弱密碼賬號(hào),接下來企業(yè)需要考慮如何持續(xù)有效的安全管控弱密碼賬號(hào)以及其他風(fēng)險(xiǎn)賬號(hào),并在此基礎(chǔ)上優(yōu)化用戶體驗(yàn)。

 

派拉軟件認(rèn)為,通過將企業(yè)內(nèi)部員工身份,供應(yīng)商、經(jīng)銷商等B端身份,C端用戶身份,設(shè)備、API、IOT、機(jī)器人等非自然人身份進(jìn)行統(tǒng)一OneID治理,結(jié)合八大建設(shè)步驟,可以快速解決企業(yè)身份賬號(hào)、密碼、人員管理與辦公難題。

 

1

圖片

理數(shù)據(jù):一次梳理,身份全清

 

在清除各種弱密碼、孤兒賬號(hào)、影子賬號(hào)、僵尸賬號(hào)等各類風(fēng)險(xiǎn)賬號(hào)等基礎(chǔ)上,全面梳理企業(yè)所有應(yīng)用系統(tǒng)數(shù)字身份歷史數(shù)據(jù),了解企業(yè)數(shù)字身份管理現(xiàn)狀。

 

基于利舊準(zhǔn)則,在摸清企業(yè)已有身份數(shù)據(jù)與管理情況后,結(jié)合企業(yè)實(shí)際數(shù)字身份管理要求,為后續(xù)制定數(shù)字身份治理與管理的規(guī)范制度做好數(shù)據(jù)調(diào)研基礎(chǔ)。

 

2

圖片

定規(guī)章:細(xì)化規(guī)則,統(tǒng)籌把控

 

在梳理數(shù)據(jù)基礎(chǔ)上,定制統(tǒng)一身份認(rèn)證規(guī)范、統(tǒng)一身份管理規(guī)范、應(yīng)用帳號(hào)管理規(guī)范、帳號(hào)管理集成技術(shù)標(biāo)準(zhǔn)、應(yīng)用集成接口規(guī)范與集成指引等系列規(guī)章制度。

 

圖片

 

通過細(xì)化管理規(guī)則,提前統(tǒng)籌把控身份管理與安全問題,結(jié)合數(shù)字身份治理與管理平臺(tái),將身份與訪問管理制度線上化與流程化,有效保障企業(yè)數(shù)字身份管理與安全的強(qiáng)落地,并為后續(xù)更多新業(yè)務(wù)應(yīng)用系統(tǒng)集成與身份管理提供標(biāo)準(zhǔn)化抓手。

 

3

圖片

納單點(diǎn):一個(gè)身份,全網(wǎng)通用

 

在統(tǒng)一數(shù)字身份管理規(guī)章制度的基礎(chǔ)上,快速打通企業(yè)上百個(gè)業(yè)務(wù)系統(tǒng),實(shí)現(xiàn)單點(diǎn)登錄,讓員工擺脫多個(gè)賬號(hào)密碼困擾,僅憑一個(gè)身份,即可跨瀏覽器無感知安全便捷地訪問所有業(yè)務(wù)應(yīng)用系統(tǒng),提升效率的同時(shí)優(yōu)化員工辦公體驗(yàn)。

 

4

圖片

強(qiáng)認(rèn)證:一次認(rèn)證,便捷通行

 

借助統(tǒng)一門戶與單點(diǎn)登錄,員工只需在門戶中認(rèn)證一次,即可直接訪問權(quán)限范圍內(nèi)的業(yè)務(wù)應(yīng)用,無需反復(fù)認(rèn)證。

 

圖片

 

支持30+種認(rèn)證登錄方式,后端直接配置登錄方式,包括賬密、短信、OTP、掃碼、人臉識(shí)別、無密碼、社交登錄等。這也就意味著在保障安全前提下,員工可以無密碼登錄,更加高效便捷。

 

5

圖片

授權(quán)限:一個(gè)后臺(tái),精細(xì)授權(quán)

 

管理員可在一個(gè)后臺(tái)對(duì)所有數(shù)字身份進(jìn)行統(tǒng)一授權(quán),靈活定義和管理用戶對(duì)資源和功能的訪問權(quán)限。通過對(duì)業(yè)務(wù)應(yīng)用系統(tǒng)重要程度等級(jí)劃分,將訪問權(quán)限根據(jù)需求不斷細(xì)化到每個(gè)應(yīng)用、菜單欄、行、列,甚至數(shù)據(jù)級(jí)等。

 

圖片

 

基于定義角色、權(quán)限策略和訪問規(guī)則,實(shí)現(xiàn)精確的授權(quán)管理,確保每個(gè)用戶只能訪問其所需的資源,提高數(shù)據(jù)安全性和合規(guī)性。

 

6

圖片

控風(fēng)險(xiǎn):嵌入大模型,安全防護(hù)

 

整個(gè)用戶資源訪問過程中,嵌入AI大模型,結(jié)合用戶與實(shí)體行為分析(UEBA)能力,根據(jù)不同業(yè)務(wù)安全風(fēng)險(xiǎn)場景,采取風(fēng)險(xiǎn)控制引擎,依據(jù)身份因子、瀏覽器因子、操作系統(tǒng)因子、行為因子等各種風(fēng)險(xiǎn)因子;

 

圖片

 

在重要風(fēng)險(xiǎn)決策點(diǎn),如注冊(cè)、登錄、應(yīng)用系統(tǒng)訪問、業(yè)務(wù)功能獲取等環(huán)節(jié),進(jìn)行相關(guān)身份安全風(fēng)險(xiǎn)的識(shí)別與風(fēng)險(xiǎn)管控等,如各種撞庫、代理登錄、批量登錄、非常態(tài)登錄等登錄風(fēng)險(xiǎn)問題,機(jī)器人訪問、批量注冊(cè)、虛假注冊(cè)等風(fēng)險(xiǎn),幫助企業(yè)智能化、自動(dòng)化、全面化的實(shí)現(xiàn)安全監(jiān)測與風(fēng)險(xiǎn)識(shí)別。

 

7

圖片

全審計(jì):一份日志,全盤審計(jì)

 

對(duì)企業(yè)所有業(yè)務(wù)應(yīng)用系統(tǒng)進(jìn)行統(tǒng)一全面安全審計(jì),打破過去各業(yè)務(wù)系統(tǒng)獨(dú)立審計(jì)的困局,實(shí)現(xiàn)一份日志,即可追溯管理員、用戶在整個(gè)內(nèi)生“數(shù)字世界”從點(diǎn)擊鏈接進(jìn)入到登錄、認(rèn)證、訪問、操作、權(quán)限變更等全流程行為與軌跡。

 

圖片

 

管理員可通過個(gè)性化配置可視化的報(bào)表和日志分析審計(jì)視圖,快速掌握系統(tǒng)的安全狀況和用戶活動(dòng),及時(shí)發(fā)現(xiàn)和應(yīng)對(duì)潛在的安全風(fēng)險(xiǎn),實(shí)現(xiàn)訪問可視化、透明化、安全化。

 

8

圖片

自服務(wù):一個(gè)中心,便捷服務(wù)

 

直觀易用的自服務(wù)門戶,使用戶能夠自主管理和訪問其賬號(hào)和權(quán)限。例如,企業(yè)員工可以在線快速自主提交信息修改、密碼找回/修改/重置、查看和更新個(gè)人信息、賬號(hào)權(quán)限調(diào)整等申請(qǐng)。

 

圖片

 

管理員通過配置自動(dòng)化審批與人工+智能化決策,快速進(jìn)行審批與授權(quán)等操作,減輕企業(yè)IT團(tuán)隊(duì)的負(fù)擔(dān),提高用戶體驗(yàn)和工作效率。

 

弱口令就像是一扇未上鎖的門,隨時(shí)可能被不法分子利用。而一個(gè)復(fù)雜的口令、一次加強(qiáng)的二次認(rèn)證、一個(gè)AI風(fēng)險(xiǎn)大模型的嵌入、一份全鏈路的安全審計(jì)......都可能成為保護(hù)企業(yè)“數(shù)字世界”的堅(jiān)實(shí)盾牌。

 

立即行動(dòng),持續(xù)優(yōu)化您的企業(yè)數(shù)字身份安全管控,履行國家網(wǎng)絡(luò)安全義務(wù)!