防火墻特性如下：

• 防止惡意流量：防火墻使用預先建立的規則審查傳入和傳出的數據，并確定流量是否合法。您的網絡具有特定位置（稱為端口），可供不同類型的數據訪問。例如，VoIP 電話流量的端口通常是開放的。您的防火墻可以設置規則：只有來自 VoIP 提供商的流量才能進入此端口，而其他流量將被拒絕。當您需要將所有人拒之門外時，還有“全部拒絕”選項。當企業正在升級系統并且面臨更多風險時，這尤其有用。

• 警告惡意活動：防火墻不僅跟蹤 IP，還跟蹤用于識別用戶或應用程序是否危險的簽名。它檢測符合。例如 DDoS 攻擊或其他侵入性活動的簽名。如果檢測到，防火墻不僅會阻止它們，還會通知您。對于小型企業而言，防火墻的最大好處是，如果有針對您的網絡的持續黑客活動，他們可以立即通知您，以便您的網絡安全團隊可以消除威脅并保護您的系統。

• 阻止內部數據外流：如果防火墻和您的防御策略不足以阻止黑客入侵，防火墻可以阻止數據外流。發生這種情況時，防火墻開始充當單向門；讓人們進來但什么都不讓出去。這在嘗試識別嘗試源自何處時特別有用，因為防火墻也可以記錄 IP 和簽名。

• 防范網絡釣魚攻擊：企業級防火墻可以識別您訪問的連接是否與網絡釣魚等社會工程攻擊相關聯。如果是，防火墻會立即阻止所有流出的數據并發出警告。此外，防火墻具有電子郵件過濾等選項，可分析傳入電子郵件中的網絡釣魚等危險信號，并防止可疑電子郵件到達用戶收件箱。

• 對內容進行安全過濾：在防火墻的幫助下，您可以控制您的員工可以訪問的內容和他們不可以訪問的內容。通過過濾掉惡意網站（請記住，許多在線網站包含惡意軟件）或僅過濾掉那些非生產性網站，企業可以提高效率和生產力。

常見的CMS漏洞有以下類型：

• WordPress CMS漏洞：WordPress是使用PHP語言開發的博客平臺，用戶可以在支持PHP和MySQL數據庫的服務器上架設屬于自己的網站，也可以把WordPress當作一個內容管理系統（CMS）來使用。WordPress有許多第三方開發的免費模板，簡單易用。WordPress官方支持中文版，同時有愛好者開發的第三方中文語言包，如wopus中文語言包。WordPress擁有成千上萬個插件和不計其數的主題模板樣式。正是因為這些原因促使WordPress成為了一個全球著名的CMS平臺，同時也被各路攻擊者緊盯不放。在全球知名漏洞軍火商Zerodium的收購列表中WordPressRCE（遠程代碼執行）漏洞價值10萬美元。甚至有黑客團隊專門研發了針對WordPress的漏洞掃描器WPScan。WordPress的漏洞一般分為CMS本身漏洞和插件漏洞。

• DedeCMS漏洞：織夢內容管理系統，是國內最知名的PHP開源網站管理系統，以簡單、實用和開源而聞名，是使用用戶最多的PHP類CMS系統。織夢基于PHP+MySQL技術架構，經過多年的發展，在功能和易用性方面，取得了長足發展，適用于個人網站或中小型門戶網站的構建。因為漏洞多且典型，很多版本的織夢CMS已經被作為靶機來進行練習和作為攻擊工具來使用了。

• Drupal漏洞：Drupal是使用PHP語言編寫的開源內容管理框架（CMF），且經常被爆出代碼遠程執行漏洞所以危害較大，它由內容管理系統（CMS）和PHP開發框架（Framework）共同構成，能支持從個人博客到大型社區驅動的網站等各種不同應用的網站項目=。

零信任概念相對傳統邊界概念的優點：

• 數據和資源的分割：數據和資源的適當分段可以實現強大的訪問策略。零信任通過將企業的網絡分成多個分區來保護關鍵IP免受未經授權的訪問。這也減少了攻擊面，同時防止威脅通過網絡橫向移動。

• 存儲和傳輸中的數據安全：如果企業未能保護傳輸和存儲中的數據，則通過分段減少攻擊面和限制數據訪問并不能保護企業免受數據泄露、安全漏洞和攔截。可以在零信任采用中包括自動備份、端到端加密和散列數據等方法，因為零信任在存儲和傳輸過程中保護數據。

• 安全編排：安全編排涉及確保所有安全解決方案和措施能夠很好地協同工作，并涵蓋所有可能的攻擊媒介。找到正確的配置以優化效率，同時減少解決方案之間的沖突可能具有挑戰性。理想的零信任模型將所有元素組織起來，相互補充，不留任何空隙。

• 強大的用戶識別和訪問策略：零信任模型通過在提供訪問權限之前驗證誰在請求訪問、請求的情況以及訪問環境的風險來為應用程序和數據提供保護。這可能涉及添加額外的身份驗證層或限制資源功能。

• 安全可信度更高：安全可信度更高，信任鏈條環環相扣，如果狀態發生改變，會更容易被發現。動態防護能力更強，持續校驗，更加安全。支持全鏈路加密，分析能力增強、訪問集中管控、資產管理方便等。

零信任概念相對傳統邊界概念的缺點：

• 單點風險：零信任是強管控架構，對資源的控制都集中在網關上，因此一旦單點故障會導致整個業務中斷。

• 權限集中風險：零信任架構將很多風險收斂集中起來，降低了管理成本但集中化管理如果失控也會帶更大風險。

• 復雜化：零信任架構覆蓋面很廣，架構涉組件多，更加復雜，增加了故障判斷和修復成本。

• 投入風險：零信任架構建設周期比一般架構體系要更長，如果不能持續投入容易功虧一簣。

物聯網終端面臨以下安全風險：

• 物理損壞攻擊：感知節點應用場景復雜多樣，易于受到自然損害或人為破壞，導致節點無法正常工作。

• 非法盜竊攻擊：因缺乏監管，終端設備被盜竊、破解，導致用戶敏感信息泄露，影響系統安全。

• 假冒攻擊攻擊：攻擊者非法獲取用戶身份信息，并冒充該用戶進入系統，越權訪問合法資源或享受服務。

• 非法替換攻擊：攻擊者替換原有的感知層節點設備，系統無法識別替換后的節點身份，導致信息感知異常。

• 信道堵塞攻擊：攻擊者惡意占用信道，導致信道被堵塞，不能正常傳送數據。

• 耗盡資源攻擊：攻擊者通過不停向節點發送無效請求，占用節點的計算、存儲資源，影響節點正常工作。

• 重放攻擊攻擊：攻擊者截獲各種信息后重新發送給系統，誘導感知節點做出錯誤的決策。

加強物聯網系統安全措施有以下這些：

• 交換默認密碼：增強物聯網安全性的最重要步驟是通過明智的方法。建議企業執行允許更改默認密碼的程序。應該為網絡上存在的每個物聯網設備實施此操作。此外，更新后的密碼需要及時更改。為了增加安全性，可以將密碼簡單地存儲在密碼庫中。此步驟可以防止未經授權的用戶訪問有價值的信息。

• 分離企業網絡：將其視為將公司網絡與不受管理的IoT設備分開的必不可少的步驟。這可以包括安全攝像機，HVAC系統，溫度控制設備，智能電視，電子看板，安全NVR和DVR，媒體中心，網絡照明和網絡時鐘。企業可以利用VLAN來分離并進一步跟蹤網絡上活動的各種IoT設備。這還允許分析重要功能，例如設施操作，醫療設備和安全操作。

• 將不必要的Internet接入限制到IoT設備：許多設備在過時的操作系統上運行。由于可能故意將任何此類嵌入式操作系統擴展到命令和直接位置，因此這可能成為威脅。過去曾發生過這樣的事件，即這些系統在從其他國家運出之前已經遭到破壞。徹底清除IoT安全威脅是不可能的，但是可以防止IoT設備在組織外部進行通信。這種預防措施顯著降低了潛在的物聯網安全漏洞的風險。

• 控制供應商對IoT設備的訪問：為了提高IoT安全性，一些企業限制了訪問不同IoT設備的供應商數量。作為一個明智的選擇，您可以將訪問權限限制在已經熟練工作的員工的嚴格監督之下。如果非常需要遠程訪問，請檢查供應商是否使用與內部人員相似的相同解決方案。這可能包括通過公司VPN解決方案的訪問。此外，企業應指派一名員工定期監督遠程訪問解決方案。該人員應精通軟件測試的某些方面，以熟練地完成任務。

• 整合漏洞掃描程序：使用漏洞掃描程序是檢測鏈接到網絡的不同類型設備的有效方法。這可以被視為企業提高IoT安全性的有用工具。漏洞掃描程序與常規掃描計劃配合使用，能夠發現與連接的設備相關的已知漏洞。您可以輕松訪問市場上幾種價格合理的漏洞掃描儀。如果不是漏洞掃描程序，請嘗試訪問免費的掃描選項，例如NMAP。

• 利用網絡訪問控制（NAC）：組織可以通過實施由適當的交換機和無線同化組成的NAC解決方案來成功提高IoT安全性。此設置可以幫助檢測大多數設備并識別網絡中有問題的連接。NAC解決方案（例如ForeScout，Aruba ClearPass或CISCO ISE）是保護企業網絡安全的有效工具。如果NAC解決方案不在預算范圍內，則可以利用漏洞掃描程序來實現此目的。

• 管理更新的軟件：擁有過時的軟件可以直接影響您組織的IoT安全。嘗試通過使它們保持最新狀態并更換硬件來管理IoT設備，以確保平穩運行。延遲更新可以證明是保護數據并引發嚴重的網絡安全漏洞的關鍵因素。

先從工作人員和管理員入手，因為工作人員的安全意識薄弱永遠是最致命的，接下來對弱口令、撞庫、泄露賬號、釣魚、物理入侵進行掃描和利用。已知漏洞未必無效，內網可能已成重災區。在日常工作中積累漏洞利用庫，以小見大,穩步推進,主站無洞可從旁站入手。切勿急躁,發現源碼然后進行代碼審計，最后可以從文件掃描、GitHub上查找漏洞信息，未公開0day漏洞是超級武器，一旦找到零日漏洞即可所向披靡。

zmap掃描漏洞方法步驟如下：

1. 下載工具：可以去GitHub上搜索下載；

2. 安裝工具：這邊推薦在linux下安裝，一般在linux下安裝可以使用“sudo yum install zmap”命令采用yum方式進行安裝；

3. 漏洞掃描：zmap用法是“zmap 參數 掃描地址 掃描選項”使用這個格式可以進行漏洞掃描，具體參數和掃描選項如下。

    常見參數
   
    -p \\--target-port=port 要掃描的端口端口號（用于TCP和UDP掃描）
   
    -o \\--output-file=name 輸出文件
   
    -b \\--blacklist-file=path 要以CIDR表示法排除的子網文件，例如：192.168.0.0/16
   
    -w \\--whitelist-file=path 在CIDR中將掃描限制為的子網文件符號，例如：192.168.0.0/16
   
    掃描選項
   
    -r, --rate=pps 以“數據包/秒”為單位設置發送速率
   
    -B, --bandwidth=bps 設置發送速率，以"bits/秒"為單位（支持后綴G，M和K）
   
    -n, --max-targets=n 要探測的目標數量（作為地址空間的百分比或數字）
   
    -t, --max-runtime=ses 發送數據包的上限時間
   
    -N, --max-results=n 要返回的結果數量
   
    -P, --probes=n 要發送到每個IP的探測數，（默認值='1' ）
   
    -c, --cooldown-time=secs 發送后繼續接收多長時間，最后一次探測（默認值='8'）

政府大數據安全存在以下問題：

• 數據資源不均衡

  從數據來源看，大部分政府掌握的數據是通過業務開展積累形成的，以自身政務信息系統產生為主，通過國家數據共享交換平臺獲取數據的能力不足，與大型平臺企業、互聯網及其他社會外部數據的共享和利用極度缺乏。從數據內容看，多類數據均以手工單次填報獲取，更多表現為文本表格化數據，而動態更新、多元異構類的數據偏少；并且多數政務信息系統建設以滿足政務服務、行業監管需求為要，使得服務于產業、城市等各類經濟對象運行監測的數據缺乏，而這類數據價值往往更值得關注。

• 數據質量不過關

  到目前為止，尚未形成統一普適的數據質量標準，各政務信息系統所屬部門在采集、使用、維護數據的過程中“以我為主”，數據真實性、可靠性、完整性、可用性、實時性等難以得到保障。同時，在大平臺、大系統統建過程中，數據清洗挖掘、交換傳遞、共享開放等工作主要通過技術方案解決，并未建立數據全生命周期管理的意識和制度體系，難以對數據使用時的可信性、安全性、可關聯性、可追溯性、可再用性實施全過程管理。

• 數據治理機制不完善

  我國當前法律法規體系對于數據權屬、利用、安全等方面的規定尚未細化、可操作性不強。特別是關于政務數據的所有權、控制權、使用權、解釋權等，以及政務數據在使用、共享過程中，涉及的數據基礎設施保護、追溯監控技術干預規則、信息安全防護和保密建制等內容均缺乏具體標準，如何建立一個開放共贏的數據應用環境，填補數據泄露、對隱私侵犯的追蹤、合法合規制裁等治理內容，是亟待解決的難題。

• 數據應用不深入

  一方面，多數政府業務部門對本部門的數據資源基底和核心關切并不明確，在數據查詢和應用時，存在需求描述不具體，重復作業、難以一次到位等情況，導致數據應用效果差。另一方面，數據應用普遍局限在業務部門內部，跨部門協同的關聯業務應用分析較少，面向重點產業、重點領域、重大應用場景的數據決策分析極度缺乏，政府大數據的深層價值難以體現。

自主訪問控制與強制訪問控制的區別如下：

• 類型不同：自主訪問控制由《可信計算機系統評估準則》所定義的訪問控制中的一種類型，強制訪問控制在計算機安全領域指一種由操作系統約束的訪問控制。

• 目的不同：自主訪問控制：根據主體（如用戶、進程或 I/O 設備等）的身份和他所屬的組限制對客體的訪問。強制訪問控制：目標是限制主體或發起者訪問或對對象或目標執行某種操作的能力。

• 特點不同：自主訪問控制由客體的屬主對自己的客體進行管理，由屬主自己決定是否將自己的客體訪問權或部分訪問權授予其他主體，這種控制方式是自主的。強制訪問控制每當主體嘗試訪問對象時，都會由操作系統內核強制施行授權規則——檢查安全屬性并決定是否可進行訪問。任何主體對任何對象的任何操作都將根據一組授權規則（也稱策略）進行測試，決定操作是否允許。

• DigiCert SSL證書

DigiCert是一家全球著名CA機構。作為國際知名品牌，具有更高的安全性和可信性，并具有比較完善的賠付保障。深受國內各大企業、政府、事業單位的信賴。旗下擁有 DigiCert，Symantec，Geotrust，Thawte，RapidSSL 等SSL證書品牌，并在量子驗證加密方面處于領先地位。

• GeoTrust SSL證書

GeoTrust（CA機構）是全球第二大數字證書頒發機構（CA），也是身份認證和信任認證領域的領導者，是一款優質的、高性價比的SSL證書品牌。

• Comodo/Sectigo證書

Comodo SSL證書已經改名為Sectigo，Comodo證書是全球SSL證書市場占有率最高的CA公司，目前將近40%的SSL證書用戶選擇了Comodo。由于其產品安全，性價比高深受用戶信任和歡迎。Comodo SSL證書包括OV SSL證書，DV SSL證書，EV SSL證書，代碼簽名證書等，能完美的為網站和企業提供各個類型的數字證書安全解決方案。

• Comodo/Sectigo SSL證書

Symantec成立于1982年，全球安全領域的領導者，Symantec SSL證書(前身為VeriSign)是全球公認最可靠證書頒發機構。90%的世界500強在使用Symantec SSL證書，工農中建等銀行以及大多數金融機構都在使用Symantec SSL證書。服務于全球超過35個國家，擁有眾多的企業、政府和個人用戶。全球100家最大的金融機構中有90多家，北美500家最大的電子商務網站中75%的網站使用的都是賽門鐵克的SSL證書。

• Thawte SSL證書

Thawte（CA機構）由南非Mark Shuttleworth創立，Thawte SSL證書產品占據了全球SSL證書市場的40％，是全球第三大數字證書頒發機構（CA）。

• RapidSSL SSL證書

Rapid是美國GeoTrust公司的一個面向低端用戶而提供的簡易版、快速簽發、入門級SSL證書的品牌，主要應用于中小規模、入門級的電子商務網站。RapidSSL是GeoTrust公司的下屬品牌，面向個人和小微企業提供廉價的SSL/TLS證書產品，不限制服務器安裝數量。 作為一款域名型 GeoTrust DV SSL證書，RapidSSL申請簡單，通常只需要10分鐘就可以完成服務器證書的簽發。

保障云計算應用安全的對策有：

• 加強云計算應用安全的規范管理：云計算以技術發展為支撐，應商業需求而生，市場和法規對云服務有諸多要求，例如，隱私權、數據安全性、業務持續性、服務可用性、災難恢復和突發事件處理的有效性、法律法規的遵從，等等。因為云服務“外包”、“托管”、“動態”的特點，要求云服務更具有挑戰性。由于自然壟斷、外部性和信息不對稱等問題的存在，不受監管的云服務供應商可能會因利益驅使而發生道德和法規風險行為，從而損害云服務用戶甚至行業的利益。因此，除市場機制對云服務供應商的自然約束外，還應加強云計算應用安全的規范管理，這對云服務的服務質量和合規性，對形成公平、有序、健康的產業生態環境具有關鍵的作用。

• 打造自主可控的云計算應用安全生態環境：隨著網絡和信息技術的飛速發展，信息安全已經與政治安全、經濟安全、國防安全、文化安全共同成為國家安全的重要組成部分。正因為如此，各國紛紛將信息技術和信息安全的自主可控能力與維護國家安全的能力緊密聯系在一起。目前，我國信息安全技術研究仍停留在應用程序層面，即處于消極防御的階段，核心技術嚴重缺乏，產業發展環境亟待完善。因此，在云計算產業迅速成長，產業發展逐步壯大的過程中，應該為維護國家信息安全、培育新的經濟增長點，加快發展我國的云計算產業，努力構筑一個技術先進、管理高效、安全可靠、建立在自主研發基礎上的國家云計算應用安全生態環境。

• 建立云計算應用安全公共服務平臺：在整合政府部門現有軟硬件資源的基礎上建設云計算應用安全公共服務平臺。鼓勵企業、高校、研究機構開展云計算應用安全關鍵技術應用研究，推動各類信息安全企業開展云安全應用解決方案研發，并給予政策性財政支持，爭取關鍵技術取得突破，促進云計算產業健康發展。

• 重視云計算應用安全標準、風險評估等體系建設：云計算產業的迅速發展既是機遇，又帶來了信息安全方面的挑戰。首先，從用戶使用的安全角度來看，存在一個透明度的問題。由于用戶數據都在云里面，數據的丟失、篡改是用戶無法控制的，同時還涉及隱私的保護。其次，從技術上來說，由于現在云計算沒有國際或行業的標準，技術或服務提供商提供了不同的API接口，如何實現它們之間互聯互通還缺少技術規范，所以云計算的標準化是亟須解決的問題。

• 實施重點行業云計算應用安全示范工程：未來3年，云計算應用將以政府、電信、教育、醫療、金融、石油石化和電力等行業為重點，在我國市場逐步被越來越多的企業和機構采用。因此，應該以具有自主知識產權的云計算應用安全重大核心技術、關鍵技術為基礎，結合典型領域的應用，建設具有普遍適用性和推廣價值的云計算應用安全示范工程，爭取在政府、電信、教育等云計算重點應用領域推廣若干高安全、低成本的云計算應用安全示范平臺，從而帶動更多的軟件和信息服務業企業向云計算服務轉型，培育若干家有影響力、有一定規模的云計算應用安全服務企業，形成技術、產品和服務一體化發展的格局。

攻擊者的攻擊流程有以下階段：

• 攻擊者在明確攻擊目標后，第一步不是對攻擊目標發起攻擊，而是要對目標進行信息收集，信息收集的內容涉及網絡架構、IP資源、域名信息、服務器信息、人力資源信息等多個方面。攻擊者通過對IP資源、域名信息、服務器信息收集后就可以分析出目標的網絡架構及IT資產信息；通過對目標人力資源的信息收集可以判斷目標企業的組織結構、關鍵人員信息、供應商、合作伙伴等相關信息。

• 攻擊路徑分為互聯網鏈路攻擊、社會工程學攻擊、近源攻擊、供應鏈攻擊等多種不同的攻擊路徑，攻擊者是通過互聯網鏈路的漏洞進行攻擊，還是通過供應商進行供應鏈攻擊，亦或是通過社會工程學對相關的關鍵人員進行釣魚攻擊，都取決于對收集到的信息綜合分析的結果。實際攻擊中，攻擊者收集到相關信息后就需要對所有的信息進行綜合分析，判斷哪個地方可能是目標的薄弱點，將薄弱點作為最優先的攻擊路徑，這樣的攻擊才可能是最快速有效的攻擊。

• 攻擊者通過綜合分析確定攻擊路徑后，下一步就是實施攻擊，這個過程稱為“打點”，就是通過攻擊獲取目標的一個有效權限。最有效的攻擊過程就是“一擊致命”，通過最少的攻擊流量達到獲取權限的目的，攻擊者可能會通過nday漏洞、1day漏洞、甚至0day漏洞進行攻擊，還有可能要通過各種方式來繞過目標的防御機制，如防火墻、WAF等，攻擊者在攻擊的過程中還要注意隱蔽性，減少不必要的掃描和測試行為，大規模掃描和測試有可能會觸發目標的告警機制，攻擊行為可能會被發現。

• 攻擊者“打點”成功、獲得應用服務器的權限后，下一步要做的就是對內網進行信息收集，橫向滲透獲取最終目標的數據及權限，這個階段稱為后滲透階段。后滲透階段需要做的事情非常多，為了能夠對此“據點”服務器進行長期有效控制，還需要進行權限提升和后門植入，通過植入隱蔽性的后門程序，即使是漏洞修復了或者是服務器重啟，攻擊者依然可以通過植入的后門對服務器進行控制。一般攻擊者還要建立從攻擊者到“據點”的代理隧道，為后面要實施的攻擊做好準備。當攻擊者建立一個或者多個有效“據點”后，最重要的一步就是進行信息收集，首先要判斷目前的網絡架構，“打點”獲取權限的服務器是否跟目標在同一網絡域中，如果不是在同一個網絡域中還需要進一步進行滲透。在內網滲透過程中還要重點對視頻監控器、攝像頭、LED大屏服務器、共享服務器、FTP服務器、OA服務、郵件服務器、Wiki服務器等重點服務器、堡壘機、運維系統、監控系統等集權類系統進行關注。

云平臺分層架構包括以下方面：

• 平臺即服務：主要在IaaS基礎上提供統一的平臺化系統軟件支撐服務，包括統一身份認證服務、訪問控制服務、工作流引擎服務、BI、決策支持等。這一層不同于傳統方式的平臺服務，這些平臺服務也要滿足云架構的部署方式，通過虛擬化、集群和負載均衡等技術提供云狀態服務，可以根據需要隨時定制功能及相應的擴展。

• 基礎架構即服務：包括基礎硬件設施層、虛擬化/資源池化層、資源調度層。

• 基礎硬件設施層：包括主機、存儲、網絡及其他硬件在內的硬件設備，它們是實現云服務的最基礎資源。

• 虛擬化資源池化層：通過虛擬化技術進行整合，形成一個對外提供資源的池化管理（包括內存池、服務器池、存儲池等），同時通過云管理平臺，對外提供運行環境等基礎服務。

• 資源調度層：在對資源（物理資源和虛擬資源）進行有效監控管理的基礎上，通過對服務模型的抽取，提供彈性計算、負載均衡、動態遷移、按需供給等功能，是提供云服務的關鍵所在。

• 軟件即服務：對外提供終端服務，可以分為基礎服務和專業服務。基礎服務提供統一門戶、公共認證、統一通信等，專業服務主要指各種業務應用。通過應用部署模式的變化，都可以在云計算架構下實現靈活的擴展和管理。

• 信息安全體系：以虛擬化為技術支撐的安全防護體系，集中的安全服務中心以應對無邊界的安全防護，利用云安全模式加強云端和用戶端的關聯耦合和采用非技術手段補充等保障云計算平臺的安全。

• 運營管理體系：保障云計算平臺的正常運行，提供故障管理、計費管理、性能管理、配置管理和安全管理等。

物理安全是：

• 物理安全是為保證信息系統的安全可靠運行，降低或阻止人為或自然因素從物理層面對信息系統保密性、完整性、可用性帶來的安全威脅，從系統的角度采取的適當安全措施。

• 物理安全也稱為實體安全，是系統安全的前提。硬件設備的安全性能直接決定了信息系統的保密性、完整性、可用性，信息系統所處物理環境的優劣直接影響信息系統的可靠性，系統自身的物理安全問題也會對信息系統的保密性、完整性、可用性帶來安全威脅。

• 物理安全是以一定的方式運行在一些物理設備之上的，是保障物理設備安全的第一道防線。因為物理安全會導致系統存在風險。比如：環境事故造成的整個系統毀滅；電源故障造成的設備斷電以至操作系統引導失敗或數據庫信息丟失；設備被盜、被毀造成數據丟失或信息泄露；電磁輻射可能造成數據信息被竊取或偷閱；報警系統的設計不足或失靈可能造成的事故等。

• 物理環境安全是物理安全的最基本保障，是整個安全系統不可缺少和忽視的組成部分。環境安全技術主要是指保障信息網絡所處環境安全的技術，主要技術規范是對場地和機房的約束，強調對于地震、水災、火災等自然災害的預防措施，包括場地安全、防火、防水、防靜電、防雷擊、電磁防護、線路安全等。

等級保護測評

等保測評全稱是信息安全等級保護測評，是經公安部認證的具有資質的測評機構，依據國家信息安全等級保護規范規定，受有關單位委托，按照有關管理規范和技術標準，對信息系統安全等級保護狀況進行檢測評估的活動。

風險評估

風險評估（Risk Assessment）是風險管理的一個重要過程。風險管理國際標準ISO 31000定義風險評估的過程為：風險評估是風險識別、風險分析及風險評價的全過程。

靜態口令面臨的主要安全威脅有以下這些：

• 口令監聽：很多網絡服務在詢問和驗證遠程用戶認證信息時，認證信息都是以明文形式進行傳輸的，如Telnet、FTP和HTTP等都使用明文傳輸，這意味著網絡中的竊聽者只需使用協議分析器就能查看到認證信息，從而分析出用戶的口令。如果獲取的數據包是加密的，還要使用解密算法解密。

• 截取/重放：有的系統會將服務器中的用戶信息加密后存放，用戶在傳輸認證信息時也先進行加密，這樣雖然能防止竊聽者直接獲得明文口令，但使用截取/重放攻擊，攻擊者只要在新的登錄請求中將截獲的信息提交給服務器，就可以冒充登錄。

• 窮舉攻擊：也稱為暴力破解，是字典攻擊的一種特殊形式。一般從長度為1的口令開始，按長度遞增，嘗試所有字符的組合方式進行攻擊。利用窮舉攻擊獲取密碼只是時間問題，是密碼的終結者。暴力破解理論上可以破解任何密碼，但如果密碼過于復雜，暴力破解需要的時間會很長。如果用戶口令較短，攻擊者可以使用字符串的全集作為字典，來對用戶口令進行猜測。下面簡要分析一下窮舉攻擊的難度。

• 簡單口令猜測：很多用戶使用自己或家人的生日、電話號碼、房間號碼、簡單數字或者身份證號碼中的幾位作為口令；也有人使用自己、孩子、配偶或寵物的名字。在詳細了解用戶的社會背景之后，黑客可以列舉出多種可能的口令，并在很短的時間內完成猜測攻擊。此外，很多用戶不更改系統或設備的默認用戶名和口令，這也使得口令很容易被破解。

• 字典攻擊：如果猜測攻擊不成功，黑客可以繼續擴大攻擊范圍，采用字典攻擊的方法。字典攻擊采用口令字典中事先定義的常用字符去嘗試匹配口令。口令字典是一個很大的文本文件，可以通過自己編輯或者由字典工具生成，里面包含了單詞和數字的組合，或黑客收集的一些常見口令。如果口令就是一個單詞或者是簡單的數字組合，那么破解者就可以很輕易地破解密碼。因此，許多系統都建議用戶在口令中加入特殊字符，以增加口令的安全性。

• 偽造服務器攻擊：攻擊者通過偽造服務器來騙取用戶認證信息，然后冒充用戶進行正常登錄。

• 口令泄露：攻擊者通過窺探、社會工程、垃圾搜索和植入木馬等手段，竊得用戶口令；或用戶自己不慎將口令告訴別人；或將口令寫在其他地方被別人看到，造成口令的泄露。其中，社會工程學攻擊通過人際交往這一非技術手段，以欺騙或套取的方式來獲得口令。

• 直接破解系統口令文件：攻擊者可以尋找目標主機的安全漏洞和薄弱環節，竊取存放系統口令的文件，然后離線破譯加密過的口令，從而得到系統中所有的用戶名和口令。

加強口令安全性的辦法有以下這些：

• 不要選擇攻擊者可以輕易猜測到的密碼：雖然這一點是顯而易見的，但這是最常見的錯誤之一。您可以通過不使用字典單詞、以前破譯的密碼、重復字符或用戶名或應用程序/服務的密碼來提高密碼安全性。

• 使用密碼強度計：建議不要要求超過6個字符。相反，它建議公司使用密碼強度計來告訴用戶，他們的密碼是強是弱。即使不太需要，大多數人也不想通過使用黃色或紅色范圍內的密碼來降低強度計數。組織不應該要求員工在特定的時間間隔更改密碼，比如每月或每季度。最后，他們建議只在密碼被泄露或懷疑被泄露時才提示員工更改密碼。

• 僅使用生物識別技術并結合物理身份驗證：生物識別技術并非萬無一失。因此，您應該只將它們作為雙因素身份驗證的一部分來使用。第二個身份驗證應該是這個人所擁有的東西，比如一個設備。

• 至少每30天注銷一次所有賬戶：我知道我不能成為唯一一個可能多年沒有退出某些賬戶的人。但是一直保持登錄會增加被人竊取密碼的風險。