企业通过密码管理策略来防范密码破解

发布时间：2014-08-13 15:58:33作者：知识屋

　是如何破解操作系统密码的？如何在企业里防范密码破解行为的发生？

　　黑客（或称为未经授权的用户）有一系列的方式来破解操作系统密码。当然首先要数暴利攻击。在这种情况下，他或她获取了屏幕系统的认证并经过反复的算术实验和错误的洗礼最终得到了密码（记住：未经授权的用户同样需要和密码配合使用的登录名称）。如果系统管理员使用的是容易被猜到的弱密码，又或者系统管理员没有改变默认密码（这包括厂商在安装过程中使用的默认密码），那么这将无疑大大地简化了入侵者的操作。无论你是否相信，有些时候用户的确会将密码写下来（一般会放在他们的键盘下或放在他们桌子的最上层抽屉里）。

　　有些系统需要接受厂商远程访问以寻求解决方案和实施更新，在这些系统中同样可能会使用默认的或常用的密码。有时，IT员工会和不同权限的用户共享某一密码，或者在不同的系统下使用相同的密码。有时密码会以固定值的形式写死在基础软件中，这有可能会遭到攻击（例如目录同步脚本）。最后，在这样一个经济低迷的时期，在管理员和其他权限的用户（像软件开发者）离职之后，如果密码一直不变的话，他们还是同样能够访问企业内部的系统。这些员工对组织内部的运作有一个很清晰的认识，有可能会加入针对该组织的恶意攻击活动。又或者在某些情况下会将敏感数据（例如客户账户信息）复制下来卖出去或者在将来的欺诈活动中加以利用。

　　那么应采取怎样的策略来阻止操作系统密码的破解呢？答案集中在安全领域的三个方面：流程、员工和技术。保护系统密码的策略包括：

　　对于流程来说（例如政策和进程）：

　　改变每个新的和现有系统中的所有默认密码。

　　不要让特权用户账户在不同的系统中使用相同的密码。

　　经常改变密码（大多数的组织会在存有敏感数据的系统上设置为每三十天改变一次密码，而发生人事变动的时候也会改变密码）。

　　严格限定管理访问的权限，只将权限授予那些真正需要访问的人。

　　千万不要将系统的密码写下来（任何密码都如此）。

　　不要让软件脚本包含系统级别的账户或密码信息。

　　对于员工来说：

　　为开发人员创建各自的密码，按照机能给他们分配权限（开发的员工不需要用于定义内容领域的根权限——即使他们会对这一限定产生争执）。

　　根据员工的工作情况维护用户权限。（当某员工加入了某一特定的项目团队，你需要基于其角色来创建新的账户。当他或她的工作发生变更，这些权限将不再需要用到时你需要改变或清除之前为其设置的权限。而如果他或她辞职了，你还需要及时清除所有的权限。）

　　对于技术来说：