安全问题总结
名称 |
解决办法或建议 |
密码明文传输 |
尽量使用加密传输 比如：https |
弱密码 |
密码强度限制和校验 |
暴力破解 |
增加密码复杂度 |
Sql注入 |
封堵漏洞 |
配置文件和日志文件记录明文密码 |
配置文件和日志文件不要使用明文密码 |
Linux使用root权限部署项目 |
限制应用权限突破，使用普通权限部署应用 |
域控管理员权限控制 |
域控管理员权限限制到人 |
物理介质传输控制 |
所有外来物理介质 都必须检查之后 方可介入内部网络 |
钓鱼知识普及 |
定期测试和普及钓鱼软件知识 |
杀毒软件和补丁 |
定期更新杀毒软件和系统软件补丁 |
对外端口收紧 |
对外开放的端口限制 关闭一切不用的外网端口 |
实时监控和关注漏洞平台 |
实时监控内部软件漏洞和关注漏洞平台发布的已知漏洞 及时更新 |
默认端口更改 |
修改常用的已知默认端口 |
安全加固（安全设备+杀毒+监测） |
可以在资金允许条件下使用更高级别的安全设备和监控设备 |
秘钥和密码的规范 |
秘钥和密码必须规范使用 |
应用权力突破 |
安装和部署应用，以及运行时候 尽量不要使用最高权限用户 |
版本隐藏 |
隐藏应用软件的版本号 |
共享信息安全 |
共享信息和端口的安全规范 |
代码管理规范 |
代码管理隐私规范，不能私自外传，因按照保密和规范执行 |
漏洞修复 |
对于系统软件 自研软件 操作系统等的漏洞及时修补，不能修补的可以采取网络隔离或者交换机策略限制等 |
封堵小工具和脚本 |
根据各自环境准备一些脚本以及小工具以备不时之需 |
应急处理办法 |
有一套应急处理办法 降损失降低 |
密码定期修改 |
密码不能长期一直不变，需要定期修改密码，防止密码泄露 |
密码不要所有一致 |
所有机器 又有应用以及操作系统等不要使用一个密码，应该使用不同且满足复杂度的密码 |
定期清除浏览器缓存区 |
定期清除登录的cookie，防止网站漏洞泄露用户密码 |
每天记得开关机 |
清除电脑内存的信息，防止被copy和解读重要信息 |
重要系统内外网强制隔离区分 |
对于重要系统应该提高安全级别，非必要情况不要开通外网，切限制指定用户访问 |
总结：
1. 密码强度----字母大小加数字和特殊字符（8-20位）
2. 密码使用规范 -----定期修改 ，不要使用单一密码，密码专人使用，密码保密机制等
3. 权限收缩----对于域控 应用登录 系统等管理权限，应该收缩管理
4. 端口收缩----端口只对外开放必须要的端口，其他不必要的全部禁用
5. 内外网隔离----降内网应用和外网应用完全隔离开
6. 应急处理和自我安全意识提高----指定应急预案和自我安全意识得学习和提高