主机与服务风险面53 条

弱口令风险与治理

弱口令是入侵与横向移动的常见入口：默认口令、简单数字组合、设备同型号通用口令都属于高价值目标；治理要覆盖盘点、强度策略、定期巡检与泄露检测。

治理动作清单

1. 盘点所有登录入口：系统、数据库、中间件、设备管理口、堡垒机
2. 强制口令复杂度与长度（重要系统建议 >=12 位或口令短语）
3. 禁止默认口令上线：新设备/新服务上线检查表加一项
4. 定期比对泄露口令库（企业可用 HIBP 类接口或离线库）
5. 关键系统启用多因素认证

# 检查是否存在空口令账户（需 root）
awk -F: '($2=="") {print $1}' /etc/shadow
# 检查 sudo 免密配置
sudo grep -r NOPASSWD /etc/sudoers /etc/sudoers.d/ 2>/dev/null

同一口令在多系统复用会把单点失陷放大为全网失陷；口令管理器与分级口令策略是有效手段。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌