密碼，是人類(lèi)保障財(cái)產(chǎn)和秘密最常見(jiàn)的安全防護(hù)手段，主要是指那些為了登錄、查看、修改、授權(quán)等操作所需身份驗(yàn)證的數(shù)字與字符組合。其本質(zhì)是系統(tǒng)對(duì)使用者進(jìn)行身份認(rèn)證，即確認(rèn)你就是你。在信息化高度發(fā)展的今天，從涉及國(guó)民經(jīng)濟(jì)的金融交易、防偽稅控，到涉及公民權(quán)益的電子支付、網(wǎng)上辦事等，密碼的應(yīng)用深入到社會(huì)生產(chǎn)生活的各方各面，隨之而來(lái)的密碼爆破、弱密碼、空密碼、明文密碼等密碼安全問(wèn)題也日益嚴(yán)峻。

據(jù)此前騰訊安全發(fā)布的相關(guān)報(bào)告指出，過(guò)去一年檢測(cè)到的密碼爆破攻擊明顯上升。默認(rèn)用戶名攻擊達(dá)到70億次，其中root超37億次、administrator近33億次、admin近22億次。

這也導(dǎo)致了全球范圍內(nèi)信息泄露事件層出不窮。2021年上半年，勒索病毒席卷美國(guó)，受害企業(yè)損失動(dòng)輒數(shù)千萬(wàn)美元。在分析這些黑客入侵事件時(shí)可以發(fā)現(xiàn)，攻擊源頭要么與信息系統(tǒng)的安全漏洞有關(guān)，要么與使用簡(jiǎn)單密碼、缺省密碼或空密碼有關(guān)。

密碼被盜用往往會(huì)導(dǎo)致災(zāi)難性的后果，企業(yè)可能因業(yè)務(wù)系統(tǒng)崩潰而陷入困境。但在密碼安全管理實(shí)踐中，諸如企業(yè)安全管理規(guī)章流于形式，執(zhí)行情況難以掌握；運(yùn)維人員缺少系統(tǒng)性工具對(duì)密碼相關(guān)流量進(jìn)行監(jiān)控與風(fēng)險(xiǎn)檢測(cè)；業(yè)務(wù)存在未授權(quán)訪問(wèn)風(fēng)險(xiǎn)，沒(méi)有更可靠的工具進(jìn)行全面評(píng)估等多個(gè)難題，亟待解決。

為解決上述難題，通過(guò)旁路部署騰訊高級(jí)威脅檢測(cè)系統(tǒng)（NTA，御界），對(duì)網(wǎng)絡(luò)出入流量、網(wǎng)絡(luò)間流量進(jìn)行鏡像分析，從中發(fā)現(xiàn)黑客入侵活動(dòng)。針對(duì)黑客入侵事件中最突出的密碼安全問(wèn)題，將此類(lèi)風(fēng)險(xiǎn)合并為“密碼安全”專(zhuān)題，可以直觀展示弱密碼風(fēng)險(xiǎn)、空密碼風(fēng)險(xiǎn)（未授權(quán)訪問(wèn)）、明文密碼風(fēng)險(xiǎn)三類(lèi)密碼風(fēng)險(xiǎn)，方便政企機(jī)構(gòu)安全運(yùn)維人員掌握全網(wǎng)密碼管理現(xiàn)狀，并提供直觀有效的密碼安全檢測(cè)管理平臺(tái)。

（騰訊高級(jí)威脅檢測(cè)系統(tǒng)密碼安全專(zhuān)題頁(yè)面）

針對(duì)三類(lèi)不同的密碼風(fēng)險(xiǎn)，騰訊高級(jí)威脅檢測(cè)系統(tǒng)分別提供了不同的應(yīng)對(duì)措施。

弱密碼風(fēng)險(xiǎn)，一般指密碼設(shè)置過(guò)于簡(jiǎn)單。騰訊高級(jí)威脅檢測(cè)系統(tǒng)支持“規(guī)則模式”和“字典模式”兩種不同的自定義弱密碼配置，以滿足不同企業(yè)對(duì)密碼強(qiáng)度的要求。其中，“規(guī)則模式”用于快速設(shè)置檢測(cè)規(guī)則，可匹配大多數(shù)企業(yè)的密碼強(qiáng)度策略要求。“字典模式”則可以對(duì)接企業(yè)人事系統(tǒng)等，更細(xì)粒度地設(shè)置弱密碼的內(nèi)容。

空密碼風(fēng)險(xiǎn)，通常也稱(chēng)為未授權(quán)訪問(wèn)。騰訊高級(jí)威脅檢測(cè)系統(tǒng)支持GitLab、PostgreSQL、ZooKeeper、Dubbo等50多種組件的空密碼檢測(cè)，從而及時(shí)告警安全運(yùn)維人員積極采取措施修復(fù)空密碼風(fēng)險(xiǎn)。

明文密碼風(fēng)險(xiǎn)，包含明文密碼傳輸、明文密碼存儲(chǔ)、密碼存儲(chǔ)在攻擊者能訪問(wèn)的文件等場(chǎng)景。騰訊高級(jí)威脅檢測(cè)系統(tǒng)支持在流量側(cè)檢測(cè)明文密碼傳輸，通過(guò)事件告警通知安全運(yùn)維人員及時(shí)處置風(fēng)險(xiǎn)。

（密碼安全專(zhuān)題中告警數(shù)量趨勢(shì)列表）

在信息化高度發(fā)展、互聯(lián)網(wǎng)萬(wàn)物互聯(lián)的今天，沒(méi)有密碼安全就意味著網(wǎng)絡(luò)安全難以得到保障。騰訊高級(jí)威脅檢測(cè)系統(tǒng)本次推出的“密碼安全專(zhuān)題”，強(qiáng)化了政企密碼安全管理能力，幫助安全運(yùn)維人員監(jiān)督落實(shí)各種風(fēng)險(xiǎn)管控措施。令黑客入侵、內(nèi)網(wǎng)橫向移動(dòng)時(shí)普遍采用的爆破攻擊手法失效，從而為各個(gè)行業(yè)提供安全保障。