数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
伴随信息技术革命的浪潮，互联网已经深入到人们生活的方方面面，网络安全问题也相伴而生，针对国家关键信息基础设施的网络攻击事件时有发生，侵犯个人隐私、窃取个人信息、诈骗钱财的违法犯罪行为依然猖獗，网络安全风险已经成为突出的安全问题。随着互联网技术的飞速发展，网络安全的威胁来源和攻击手段也在不断变化，网络攻击和防护是矛和盾的关系，只有深入了解网络攻击的技术方法和攻击路径，才能针对性做好安全防护工作，做到知己知彼，百战不殆。
网络安全是一项系统性工作，安全风险存在于员工安全意识、技术防护措施、系统运维管理等多个维度，下面针对具体安全风险给出针对性的对策建议。数字化转型网www.szhzxw.cn
1.安全风险描述：网络和服务器设备及邮件、OA等重要应用系统存在弱口令。
对策建议：在安全运维管理规范中明确口令设置管理规则，管理员在管理网络、安全、服务器等设备时，不使用相同口令，避免采取特定规则设置，口令满足复杂度要求，并定期更换；对于员工和用户使用的邮箱、OA及其他应用系统密码，建议设置强制定期更改口令策略，并严格口令复杂度要求。
2.安全风险描述：邮件或主机中存储设备资产及密码表、VPN账号证书、网络安全设计方案、拓扑图等敏感信息，被攻击者利用。数字化转型网www.szhzxw.cn
对策建议：加强员工网络安全意识培训，培养邮件安全使用意识；通过操作规程约束、签署保密协议等方式，加强敏感信息存储使用管理，限制内部人员通过邮件发送或在主机内存储、传输设备资产及密码表、VPN账号证书、网络安全设计方案、拓扑图等敏感信息；通过经常性安全检查和网络监测技术手段，排查敏感信息泄露问题。
3.安全风险描述：源代码、账号/密码、证书等敏感信息在互联网上泄露（GitHub、百度文库等）。
对策建议：对在互联网上泄露的敏感信息进行定期排查和清理（网盘、搜索引擎、学术网站、代码托管平台、招投标网站、文库等）；在与供应商合同中明确系统开发过程中关于源代码泄露、安全漏洞等安全责任。数字化转型网www.szhzxw.cn
4.安全风险描述：员工遭到社会工程学攻击。
对策建议：加强员工网络安全教育培训，提高员工安全防护意识；加强外来人员安全管理，防止未授权设备和移动介质非法接入。数字化转型网www.szhzxw.cn
5.安全风险描述：域管理员账号及密码被攻击者抓取，导致域控服务器很快被攻破。
对策建议：加强域账号密码管理；加强域账号密码管理使用，不随意使用域管理员账号登录域终端;在域控服务器上配置本机防火墙，限定特定IP地址访问域控服务器3389管理后台;将域控服务器与业务服务器划分到不同安全域，通过交换机访问控制策略限制域控服务器的3389等端口访问权限，采取白名单方式限定特定管理主机登录域控服务器3389后台权限；启用堡垒机进行服务器运维管理。
6.安全风险描述：邮件、OA、VPN等重要系统应用遭到字典攻击或撞库攻击。
对策建议：设置密码安全策略强制用户定期更改密码，并设定复杂度要求;设置连续错误登录账户锁定等登录次数限制;重要业务系统身份认证采取双因子认证方式。
7.安全风险描述：VPN账号被破解。数字化转型网www.szhzxw.cn
对策建议：VPN用户身份认证采取双因素认证方式;设置VPN账号登录次数限制;按照最小化权限原则设置VPN账号权限限制，禁止使用VPN账号拨入内网进行系统运维、后台管理等操作。
8.安全风险描述：内网安全漏洞未及时修补，被攻击者利用进行横向移动。数字化转型网www.szhzxw.cn
对策建议：在安全运维管理规范中明确安全漏洞补丁管理职责分工，定期组织落实补丁更新和漏洞修补工作;通过搭建补丁更新服务器、部署企业版终端防护系统等方式，集中管理推送各终端和服务器的安全漏洞补丁。数字化转型网www.szhzxw.cn
9.安全风险描述：部署在互联网上的知名厂商OA、邮件、VPN等系统存在0day漏洞，被攻击者利用。
对策建议：采取在服务器上采取部署主机安全监测、代码修改监测等技术措施，加强互联网上重要应用系统的安全运行监测，及时发现攻击行为;通过引入威胁情报信息，及时发现攻击线索和高危漏洞安全风险，提高0day漏洞攻击响应处置能力。数字化转型网www.szhzxw.cn
声明：本文来自网络，版权归作者所有。文章内容仅代表作者独立观点，不代表数字化转型网立场，转载目的在于传递更多信息。如有侵权，请联系我们。数字化转型网www.szhzxw.cn
数字化转型网数据专题包含哪些内容
数字化转型网信息安全研习社关注网络攻击与防御、网络协议安全、数据存储安全、数据加密、数据传输安全、数据备份与恢复策略、数据完整性保护、软件漏洞与补丁管理、身份认证与授权、设备物理访问控制、环境安全与灾难恢复、安全策略框架、安全审计与合规性、安全事件管理与应急响应、设备安全、数据隐私和管理、数据存储和隔离、加密算法安全、云计算安全等多个方面。
本文由数字化转型网（www.szhzxw.cn）转载而成，来源于网络安全和信息化；编辑/翻译：数字化转型网Jerry。
