1.弱口令：

所謂弱口令就是容易被猜測或重復的口令，弱口令會對信息安全造成嚴重安全隱患。不要令測試賬戶擁有的口令強度弱且沒有幾乎沒有有效監(jiān)控。由于弱口令引發(fā)的網(wǎng)絡安全事件不勝枚舉，就在我們身邊也是時常發(fā)生的。很多人，可能為了懶省事或方便自己，最終也方便了黑客。注意：不要在系統(tǒng)或互聯(lián)網(wǎng)站點，使用重復相同的安全口令。

[[392072]]

2.軟件補丁更新：

軟件補丁更新，是提升網(wǎng)絡安全的一種有效方式之一。因為存在漏洞，當然補丁修補后會解決發(fā)現(xiàn)相應的漏洞。修補漏洞原則上也是減少信息系統(tǒng)攻擊面。沒有打過安全補丁、過時的、有漏洞的或仍處于默認配置狀態(tài)的軟件，會為信息系統(tǒng)帶來嚴重風險。大多數(shù)漏洞都可以通過及時打上安全補丁和測試予以避免。

3.遠程訪問點：

無安全措施或無監(jiān)控的遠程訪問點，等于為企業(yè)網(wǎng)絡被隨意訪問打開了一條“捷徑”。有時，最大的隱患是公司前雇員的賬號沒有關閉。也就是內(nèi)部人員轉(zhuǎn)變成外部人員過程中，授權(quán)沒有及時收回，可能為系統(tǒng)帶來嚴重風險。

4.信息泄漏：

信息泄漏使攻擊者可以了解有關操作系統(tǒng)和應用程序的版本、用戶、組、共享以及DNS的信息。使用諸如百度、谷歌、Facebook、校園網(wǎng)、QQ、微信諸如此類工具，可以為攻擊者提供巨量的信息。

5.非必要的服務：

運行不必要的服務(諸如：FTP、DNS、RPC等)的主機，為攻擊者提供了更大的攻擊面。非必要的服務或軟件，是我們在測評中強調(diào)的安全風險，我們在測評中會訪談形式先問一下，然后再上機進行驗證是否存在非必要多余的服務或安裝了非必須的軟件。

6.配置不當?shù)姆阑饓Γ?/h3>

防火墻規(guī)則可能變得非常復雜，或許可能引發(fā)彼此互相沖突。常常增加的測試規(guī)則，或緊急情況時打上的補丁后來忘記刪除，從而防火墻規(guī)則可能允許攻擊者訪問DMZ或內(nèi)部網(wǎng)絡。一個正確合理的配置策略，是有利于保護網(wǎng)絡的。反之，則對網(wǎng)絡是巨大的風險。

7.配置不當?shù)幕ヂ?lián)網(wǎng)服務器：

互聯(lián)網(wǎng)服務器配置不當，尤其是跨站腳本和SQL注入漏洞的網(wǎng)頁服務器，更可能嚴重損害內(nèi)部整個網(wǎng)絡安全。配置不當?shù)陌踩录?，我們時?？梢栽诰W(wǎng)上看到，諸如亞馬遜云服務經(jīng)常配置錯誤，發(fā)生數(shù)據(jù)泄露。

8.不充分的日志記錄：

由于互聯(lián)網(wǎng)網(wǎng)關及主機的監(jiān)控不足，攻擊者有機會在你的網(wǎng)絡環(huán)境中肆意妄為。所以必須考慮監(jiān)控外流的通信流量，以便檢測出網(wǎng)絡中是否潛伏有高級和持久的“破壞者”(黑客)。很多單位設備的日志是默認狀態(tài)，但是很多默認狀態(tài)屬于未開啟，則日志記錄可能只存在極少的默認信息，是不能滿足日志留存要求的。特別，我們《網(wǎng)絡安全法》找到需要留存不低于六個月的法條，也就伴隨著直接的合規(guī)風險。

9.過度寬松的文件和目錄訪問控制：

Windows和UNIX內(nèi)部的文件共享只有少量或者幾乎沒有訪問控制，這樣就讓攻擊者可以在網(wǎng)絡中自由地導出亂竄，悄悄偷走最敏感的數(shù)據(jù)。所謂攻不進、拿不走、看不懂是安全防護的三個層級，然而有時過于寬松的訪問控制導致你不知道他何時拿走了數(shù)據(jù)。

10.缺乏記錄成冊的安全策略：

任意的或未記錄成冊的安全控制使得在系統(tǒng)或網(wǎng)絡中執(zhí)行不一致的安全標準，必然導致系統(tǒng)被攻破。這個則屬于網(wǎng)絡安全管理層面的東西了，人防則更多的需要考慮管理制度體系以及總體安全策略甚至安全操作規(guī)程的制定等等。

數(shù)據(jù)信息是推動世界發(fā)展、科技進步的不竭動力，所以數(shù)據(jù)的安全非常重要。希望以上整理的網(wǎng)絡安全10大安全漏洞能給予各位提供一些參考。