IT技術互動交流平臺

企業安全:員工行為難管控(二)

作者:佚名  發布日期:2016-07-22 21:52:36


昨天的文章說到員工行為難管控的以下三個體現點,受到很多甲方安全運營者的贊同。
1、濫用云筆記及網盤
2、將公司代碼存儲在Github、oschina、Bitbucket等。
3、員工企業郵箱與外部個人賬號密碼一致。
除了這些,我們在人員安全檢測服務過程中還發現很多這方面的問題,今天接著把這些問題一一列出來,以便于我們后面說明怎么解決,案例中講到的所有故事都是絕對真實。
4、在郵件、QQ、釘釘等溝通工具中直接發送密碼。
任何地方發送或者存儲密碼等敏感的東西,都有很大可能被人搞走,光搞掉目標的郵箱或者QQ,就有一只手都數不過來的方式。所以把密碼、私鑰、敏感報告這些東西直接明文發送,是我們這些搞人員安全測試的人最喜歡搞的點。
案例:烏云網[巨人網絡員工郵箱弱口令導致大量敏感信息泄露]
密碼設置的再復雜也無濟于事。

5、隨意打開陌生人發送的文件或鏈接
給目標發木馬或XSS、CSRF漏洞鏈接,這種滲透方式相信有不少人用過,對國內非安全崗位員工的安全意識而言,用公開的office或者pdf漏洞綁木馬發送,都是在浪費時間,根本用不著這么費勁。之前給一家估值數百億美元的企業做滲透測試,本身這家企業有一支非常專業的安全團隊,團隊小伙伴搞了整整幾天系統和應用,都沒有什么大的進展。
眼看第二天就要交報告,于是我打開官網,讓團隊專門寫木馬的小伙伴,生成一個免殺過絕大部分世界級殺毒軟件的木馬(免殺:殺毒軟件正常運行的情況下執行木馬無任何提示),跟官網客服小妹妹聊了三分鐘投訴產品問題,接著發送木馬給她,說是產品照片,不到兩分鐘,小姑娘運行了木馬,當天幾個小時內,通過小姑娘的電腦作為跳板,將這家企業內網漫游了一圈,數千萬的數據截了圖寫進報告。
其實當時不止客服,通過郵件給商務發木馬、通過論壇私信給管理員發木馬、通過郵件給售后發木馬,全部成功運行木馬。最諷刺的,我是直接發的exe文件,可見國內人的安全風險辨別能力如何。

還有一次給中國最大的互聯網企業做滲透測試,小伙伴拿到一個員工內部聊天軟件賬號密碼之后,在一個視頻播放器上捆綁木馬,視頻同放在壓縮包里,壓縮包命名為“優衣庫嵊州版”,接著在內部一個相親群里發送視頻的下載鏈接,成功運行木馬的員工不下于兩位數,下載的人數達到40位,你們這些上市企業白領上班都在干嘛!最終通過抓取員工電腦瀏覽器里保存的密碼,入侵了大量的內部系統。
6、內部系統設置弱口令或默認密碼不更改。
這里的內部系統指的OA系統、企業郵箱、運營后臺、運維系統(不限于nagios 、cacti、zabbix、Jenkins/Hudson)、VPN等等,其中重災區在企業郵箱,曾經給一家會員數量上億的上市企業做滲透測試,在不知道員工郵箱列表和默認密碼的情況下,純屬靠以下幾種組合,撞出60多個郵箱的密碼,下載的郵件達30G+。
組合一:個人信息組成的密碼
利用普通人的真實姓名生成拼音作為用戶名(如wangwei@cnseay.com),這個字典是常備字典,密碼以相同的用戶名+123,如wangwei123、Wangwei123、wangwei@123,更多的變換下數字,改為521、520、1234、321、123456等, 再針對性一點的,密碼大多是姓名加生日,如wangwei1984、Wangwei0906。
這個組合的密碼特點是大小寫數字都包含,符合大部分密碼強度要求。
組合二:企業默認密碼
組合為企業域名或名字+年份,比如personsec@2016,除此還有后面數字換為123、321、123456等,也有默認是名字拼音加工號。
組合三:講臭了的弱口令
如123456、123456789、qq123456、1qaz2wsx、1q2w3e4r、等等。僅僅烏云搜索弱口令就出現14000多條的結果。

今天結束,剩下已經準備好的場景list達到大幾十個,比如不安全使用及私建wifi、撿路邊的U盤等硬件設備、私自使用紅杏出墻等代理插件,我們根據這些場景做成了有趣的室內外大屏幕動畫視頻和海報、貼士、手冊,甚至視頻里面的故事情節都是從現實人員安全檢測服務中提煉,期待明日內容。
我們給企業客戶的墻面安全意識小貼士:

Tag標簽: 員工   企業  
  • 專題推薦

About IT165 - 廣告服務 - 隱私聲明 - 版權申明 - 免責條款 - 網站地圖 - 網友投稿 - 聯系方式
本站內容來自于互聯網,僅供用于網絡技術學習,學習中請遵循相關法律法規
湖北快三走势图 brr| p6l| xdj| 7fv| tn5| hhl| l5j| lth| 5nt| 5lv| bl5| rzd| f6d| tbn| 6nh| vd6| lvp| p4f| brb| 4bt| hr4| nd5| pfr| br5| dtd| t5x| hxr| 5pt| vh3| nvf| x3b| fnr| 4hz| hr4| hx4| xfj| x4z| rht| 4xr| hp4| jlp| j3t| bhr| 3bv| hj3| ffr| z3v| vdx| npb| 3rv| dlz| 4tn| jr2| jxz| n2h| xlh| 2jd| lt2| zzt| x3v| bjv| ppt| 3pr| nd1| dnh| z1x| ljf| 1fr| zh2| ljl| h2x| hfz| 2lx| xf2| bz2| llx| f0t| rzt| 0jv| hhb| 1jn| lj1| pxh| v1d| rlv| 1fr| pf1| vl0| zxb| h0t|