弱口令問題一直是網(wǎng)絡(luò)安全中的“老大難”問題。尤其是近兩年，隨著企業(yè)數(shù)字化轉(zhuǎn)型的推進(jìn)，業(yè)務(wù)應(yīng)用與互聯(lián)網(wǎng)交互不斷深入，大量重要數(shù)據(jù)與信息存儲、流轉(zhuǎn)于業(yè)務(wù)系統(tǒng)內(nèi)，成為被黑客覬覦的焦點(diǎn)之一。目前，因弱口令問題造成的信息泄露、內(nèi)網(wǎng)滲透等安全問題仍層出不窮。在攻防演練過程中也可以看到，弱口令漏洞以將近30%的比例高居受黑客青睞的攻擊排行榜的前兩名，僅次于0day漏洞。

可見，精準(zhǔn)檢測和高效防范弱口令風(fēng)險是網(wǎng)絡(luò)安全建設(shè)中的重要環(huán)節(jié)。國家互聯(lián)網(wǎng)應(yīng)急中心在針對勒索病毒給出的官方防范措施中，也將使用強(qiáng)口令以及不同設(shè)備使用不同口令作為首要建議。

什么是弱口令

網(wǎng)絡(luò)環(huán)境中的主機(jī)、網(wǎng)絡(luò)設(shè)備、安全設(shè)備、IoT設(shè)備、業(yè)務(wù)系統(tǒng)中等使用的容易被他人猜中或被破解工具破解的口令均為弱口令。通常包括以下幾種：

· 空口令

· 默認(rèn)管理口令

· 簡單口令

· 網(wǎng)上已經(jīng)泄露的口令

· 適當(dāng)組合變化的口令

· 個人或組織的習(xí)慣口令

弱口令為什么會成為安全事件的導(dǎo)火索

弱口令與個人習(xí)慣及安全意識相關(guān)。為了避免忘記密碼，人們經(jīng)常使用一個容易記住或自己熟悉的密碼，甚至直接采用系統(tǒng)的默認(rèn)密碼。而口令就相當(dāng)于進(jìn)入家門的鑰匙，將鑰匙拱手他人，網(wǎng)絡(luò)和系統(tǒng)中的重要數(shù)據(jù)、敏感信息文件等都將暴露在黑客面前。并且弱口令一旦被破解，其利用難度低，黑客能夠輕而易舉的登堂入室，執(zhí)行該賬號所擁有權(quán)限下的所有動作，例如篡改或刪除網(wǎng)頁、系統(tǒng)、數(shù)據(jù)，非法獲取系統(tǒng)中的重要信息等，甚至可能導(dǎo)致服務(wù)器淪陷。

盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人

針對弱口令漏洞頻發(fā)且危害嚴(yán)重的問題，盛邦安全于近期發(fā)布新一代弱口令檢測系統(tǒng)，采用“應(yīng)用+協(xié)議”的多維度精準(zhǔn)口令匹配、動態(tài)口令字典構(gòu)造、權(quán)限級聯(lián)架構(gòu)等創(chuàng)新技術(shù)，結(jié)合盛邦安全多年積累的15萬+資產(chǎn)指紋庫，輔以專家級攻防團(tuán)隊實(shí)戰(zhàn)經(jīng)驗(yàn)，能夠幫助用戶自動化地開展資產(chǎn)信息收集、應(yīng)用服務(wù)口令發(fā)現(xiàn)、橫向口令爆破、弱口令脆弱性監(jiān)控、資產(chǎn)弱口令級聯(lián)管理等工作，令弱口令檢測真正做到常態(tài)化、場景化、專業(yè)化。

該系統(tǒng)可滿足用戶實(shí)時掌握資產(chǎn)口令安全狀態(tài)、降低數(shù)據(jù)泄露風(fēng)險、提升人員密碼安全意識、提高安全防御能力等多種需求，適用于攻防演習(xí)、安全檢測、等保合規(guī)等多種應(yīng)用場景。相比傳統(tǒng)或開源弱口令掃描工具，該系統(tǒng)具備以下核心優(yōu)勢：

基于15萬+指紋庫，有效發(fā)現(xiàn)默認(rèn)口令及互聯(lián)網(wǎng)泄露口令

傳統(tǒng)弱口令掃描工具只能解決空口令、簡單口令及適當(dāng)組合變化的口令，無法針對設(shè)備或業(yè)務(wù)系統(tǒng)默認(rèn)管理口令、網(wǎng)上泄露的口令以及個人或組織習(xí)慣的口令進(jìn)行猜解。盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人，通過高穩(wěn)定存活探測引擎和高精度指紋識別引擎，探測發(fā)現(xiàn)包括未知資產(chǎn)在內(nèi)的網(wǎng)絡(luò)空間資產(chǎn)存活狀態(tài)、端口開放情況及運(yùn)行服務(wù)情況；同時關(guān)聯(lián)15萬+指紋庫提取并梳理網(wǎng)絡(luò)資產(chǎn)畫像，并通過專業(yè)的互聯(lián)網(wǎng)泄露口令庫及默認(rèn)口令庫，結(jié)合通用協(xié)議字典庫，更有針對性地開展弱口令檢測工作。 

四位一體的口令規(guī)則庫，實(shí)現(xiàn)全面且立體化的弱口令檢測

傳統(tǒng)弱口令掃描工具檢測手段單一，僅支持基于協(xié)議的口令即常見服務(wù)及數(shù)據(jù)庫口令的猜解，無法針對某個廠商和型號的設(shè)備及業(yè)務(wù)系統(tǒng)弱口令進(jìn)行檢測。盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人，通過高精度指紋識別及自動化資產(chǎn)測繪技術(shù)，可自動識別IT資產(chǎn)的類型、應(yīng)用、使用協(xié)議、服務(wù)、URL入口等，同時精確匹配“設(shè)備+應(yīng)用+入口+協(xié)議”四位一體弱口令規(guī)則庫，從而實(shí)現(xiàn)更加立體、全面、智能化的應(yīng)用級弱口令檢測。

動態(tài)口令橫向爆破技術(shù)+模擬社工攻擊的弱口令構(gòu)造技術(shù)，“自定義”專屬口令字典

傳統(tǒng)弱口令掃描工具缺乏自動化生成口令字典的能力，無法基于用戶特定場景自動化生成專屬口令字典。盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人，采用動態(tài)口令橫向撞庫技術(shù)和應(yīng)用+協(xié)議多維精準(zhǔn)口令檢測技術(shù)，建立梯度口令字典構(gòu)造模型，可滿足多場景下的弱口令檢測需求。系統(tǒng)支持從已檢測口令結(jié)果、應(yīng)用層多級口令字典、IT資產(chǎn)缺省口令字典和協(xié)議層多級口令字典等多個維度，動態(tài)組合構(gòu)造應(yīng)用級弱口令規(guī)則字典。

在不同用戶場景下，可基于關(guān)鍵詞、字母、數(shù)字、特殊字符自動化生成專屬口令字典，針對性開展弱口令檢測，從攻擊視角檢測弱口令風(fēng)險。

整改進(jìn)展清晰可見，數(shù)據(jù)變化一覽無遺

傳統(tǒng)弱口令掃描工具需要人工跟蹤弱口令整改情況，無法監(jiān)測資產(chǎn)弱口令動態(tài)變化趨勢，分析弱口令階段情況及整改進(jìn)展。盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人，可以周期性的開展弱口令檢測和定期網(wǎng)絡(luò)資產(chǎn)弱口令專項(xiàng)普查，監(jiān)測弱口令數(shù)據(jù)動態(tài)變化趨勢，直觀展現(xiàn)資產(chǎn)弱口令變化情況及整改進(jìn)展情況。

物聯(lián)網(wǎng)、5G、大數(shù)據(jù)等新業(yè)態(tài)和技術(shù)應(yīng)用的發(fā)展帶來了網(wǎng)絡(luò)空間資產(chǎn)暴露面乃至攻擊面的不斷擴(kuò)大，而用戶業(yè)務(wù)的復(fù)雜化和多變性也讓新型攻擊手段不斷涌現(xiàn)。盛邦安全新一代弱口令檢測系統(tǒng)——密碼獵人正是這樣一款為應(yīng)對新型攻擊、能夠高效開展弱口令專項(xiàng)問題整治的新型武器，幫助用戶將弱口令的安全隱患防于未萌之先、克于方萌之際。