口令复用与共享账号检查
口令复用与共享账号会把单点泄露的影响成倍放大：一个系统配置里的口令泄露，可能同时撞开多台服务器；而共享账号让任何操作都无法归属到具体的人，出现安全事件时既查不到人，也无法界定范围。检查从三方面入手：账号策略、登录审计与人员访谈，具体包括统计同一账号的多来源登录、核查是否存在部门共享账号与共用口令、抽查口令唯一性要求的执行证据。
基本信息
| 对象范围 | 管理员账号、服务账号、共享运维账号与第三方账号 |
|---|---|
| 核查方法 | 策略与审计数据核查，辅以访谈确认使用现状 |
| 整改方向 | 一人一号、账号唯一口令、特权集中管理 |
| 产出物 | 共享账号清单与整改建议 |
典型使用场景
- 部门运维：多人共用一个管理员账号以简化交接
- 应急通道：故障期间临时建立的共用账号未回收
- 服务账号：多台服务器上的服务使用同一口令
- 第三方维护：集成商与厂商使用统一口令远程接入
- 历史遗留：本地管理员口令在多台机器上保持一致
核查要点
核查要点
1. 统计同一账号的多来源登录：地址、设备与时间分布是否像多人使用
2. 核查是否存在部门共享账号与共用口令的台账记录
3. 抽查口令唯一性要求是否落有执行证据 # 如密码策略与到期重置记录
4. 核查本地管理员账号在多台主机上是否使用相同口令
5. 输出共享账号清单、使用场景与整改建议现象与判定
| 现象 | 判定方向 | 风险后果 |
|---|---|---|
| 同一账号多地同时登录 | 疑似共享或凭据外泄 | 操作无法归属，追溯失效 |
| 多台主机本地管理员同口令 | 口令复用 | 一台失守即可批量横向 |
| 服务账号跨系统共用 | 复用放大影响面 | 单点泄露导致多系统失守 |
| 离职人员账号仍活跃 | 账号回收流程缺失 | 外部人员可长期接入 |
禁止通过口令尝试来验证复用：这会触及真实账号，可能导致锁定或告警，应改由策略、审计与访谈核查。