一、网络设备和安全设备
 
1.设备未配置合规的密码有效期策略。上述问题的存在，使恶意用户能够较为容易的访问设备并实施恶意操作，对相关设备的正常运行造成影响，存在设备被未授权访问、操作的可能性。
 
建议：启用所有登录模式的身份鉴别，删除或重命名默认账户，制定相关管理制度，规范口令的最小长度、复杂度与生存周期，并根据管理制度要求，合理配置账户口令策略，提高口令质量。
 
2.设备未配置鉴别失败处理功能。设备存在不合规的登录操作超时及自动退出策略。登录验证可能被恶意用户猜测获得，合法用户身份被仿冒，导致设备被非授权访问
 
建议：开启失败登录处理功能，如限制非法登录次数、自动退出功能、锁定时间。
 
3.设备未设定有效的终端接入方式及范围限制措施。网络层未针对地址范围等条件限制终端登录。恶意用户可使用任意终端/，尝试非授权访问设备。
 
建议：限制可登录设备的管理终端地址，仅允许特定的地址登录。
 
二、服务器和终端
 
1.操作系统未采用两种或两种以上的身份鉴别技术。存在口令被恶意用户猜测获得，合法用户身份被仿冒，一旦该鉴别信息被非授权人员获取，可能对系统造成较大威胁，导致系统被非授权访问的可能性。
 
建议：重要核心设备、操作系统等增加除用户名/口令以外的身份鉴别技术，如密码/令牌、生物鉴别方式等，实现双因子身份鉴别，增强身份鉴别的安全力度。
 
2.系统未修改默认账户的默认口令。默认用户及口令可能被恶意用户猜测获得，或帐号被滥用，导致被非授权访问。
 
建议：修改服务器的默认管理员（root）口令，删除或禁用系统中多余或过期的帐户并对帐户的口令进行修改，使口令达到一定的强度及复杂度，不易被恶意用户猜测。
 
3.系统特权用户的权限未分离为系统管理、安全管理、安全审计、系统操作等方面的权限，未按最小投权原则分配，存在赋予一般用户管理员权限，赋予用户不必要的操作权限等风险。操作系统未严格限制系统默认账户的权限，系统账户权限混乱，可能导致系统无法在访问控制层面形成权限相互制约。
 
建议：实现管理用户的权限分离，避免存在特权用户。
 
三、应用和数据
 
1.数据库系统配置不合规的密码有效周期策略，使恶意用户能够较为容易的访问数据库等资源并实施恶意操作，对相关系统的正常运行造成影响，存在系统被未授权访问、操作的可能性。
 
建议：数据库系统刪除或重命名默认账户，制定相关管理制度，规范口令的最小长度、复杂度与生存周期，并根据管理制度要求，合理配置账户口令策略，提高口令质量。
 
2.数据库系统未配置鉴别失败处理功能。登录验证可能被恶意用户猜测获得，合法用户身份被仿冒，导致系统被非授权访问。
 
建议：数据库系统开启失败登录处理功能，如限制非法登录次数、自动退出功能、锁定时间等。
 
3.数据库系统未釆用两种或两种以上的身份鉴别技术。存在口令被恶意用户猜测获得，合法用户身份被仿冒的可能性。一旦该鉴别信息被非授权人员获取，可能对系统造成较大威胁，导致系统被非授权访问的可能性。
 
建议：数据库系统重要核心设备、数据库系统等增加除用户名/口令以外的身份鉴别技术，如密码」令牌、生物鉴别方式等，实现双因子身份鉴别，增强身份鉴别的安全力。

如需等保测评服务，可后台私信联系。我司整合云安全产品的技术优势，联合优质等保咨询、等保测评合作资源，提供等保项目的一站式服务，全面覆盖等保定级、备案、建设整改以及测评阶段，高效通过等保测评，落实网络安全等级保护工作。