企业规模越大，“弱口令”治理难度就越大，数量庞大、责任主体多、用户网络安全意识不强、缺少管控手段等均是“弱口令”治理面临的难题。
为应对上述难题，需采取系统化、体系化的治理措施，从技术与管理2个层面，强化技术监控与管控，完善治理机制，多措并举高效解决“弱口令”问题。
1. 建设“弱口令”风险实时监测平台，准确识别信息系统用户“弱口令”风险运用网络流量监测和大数据分析技术，建设“弱口令”风险实时监测平台。该平台共分为4个层级：第一层是通讯层，按照网络拓扑图识别企业网络各个方向的全部流量；第二层是数据层，将全部网络流量通过镜像的方式进行收集、汇聚，存储在数据库中；第三层是服务层，运用大数据智能分析技术对每一个网络流量包进行精准解析，从IP部首提取源IP地址、目的IP地址等信息，从应用数据提取用户名等信息；第四层是展示层，对解析出的用户口令进行复杂度判定，将不符合复杂度要求的“弱口令”有关信息进行直观、便捷地展示，并告警提示。通过上述流程，当用户使用“弱口令”登录信息系统时，风险实时监测平台从网络流量包中解析出用户名和口令字段，辨析口令复杂度，将口令复杂度不符合要求的用户相关信息加入告警列表并集中展示，实现对“弱口令”风险的实时监测和准确识别。
2. 运用终端安全管理系统，堵塞操作系统用户“弱口令”风险漏洞面对终端数量较多，难以管理的难题，部署终端安全管控系统，集成防病毒、安全策略分发、准入控制、防数据泄露、外设管控等功能于一体，每台终端须安装终端管理软件，实现全网终端统一、安全、高效的管理。研究制定终端计算机操作系统用户口令安全管控策略，依托终端安全管理系统安全策略分发功能，自动推送下发至全网各终端，实时自动检查客户端口令设置的规范性，对不符合复杂度要求的口令强制用户进行修改，否则无法登录使用终端。此措施既可大幅提升终端安全配置效率，也可有效阻断用户自行修改口令复杂度策略的路径。
3. 有效发挥领导层统筹协调作用，压实“弱口令”治理主体责任在运用“弱口令”风险实时监测平台实时监测“弱口令”的基础上，还应发挥领导层统筹协调、监督管理的作用，督导“弱口令”主体落实防护责任。定期将风险监测情况形成“弱口令”网络安全态势分析报告，提交领导层负责人审阅，使领导层及时掌握最新情况。同时召开专题会议，研究部署“弱口令”风险治理工作，明确责任分工，压实“弱口令”治理主体责任，组织开展“拉网式”排查和全方位整改。
4. 建立“弱口令”通报机制，实现风险精准治理每周定期分析“弱口令”风险实时监测平台报警数据，将“弱口令”用户按业务管理和安全管理2个维度分别进行分组，在综合办公平台进行“精准”通报。明确“弱口令”风险整改的主体责任，由业务管理部门组织内、外用户实施整改；安全管理部门负责督促和指导辖内用户限期完成风险整改。
（摘自《保密科学技术》2023年2月刊）
|
|
|
|
|
|
|
|
|
版权说明：论坛帖子主题均由合作第三方提供并上传，若内容存在侵权，请进行举报
私信
