敲响两高一弱安全警钟！企业如何高效实现安全风险治理？

安小圈

第593期

两高一弱 · 安全风险

近年来，全国公安机关持续开展“净网”系列专项行动，全力打击黑客违法犯罪，同时以保护网络、数据和公民个人信息安全为重点，坚持以打促管、以管促治，消除网络顽瘴痼疾。公安部强调，企业做好网络安全工作，首先要严格落实主体责任，按照“谁主管谁负责、谁运营谁负责”的要求，对网站进行备案登记和等级保护测评，落实与业务重要程度匹配的安全防护措施，扎实做好日常网络安全防护工作。

具体而言，公安机关提示三个方面的注意事项：

一是要高度重视“两高一弱”的问题，即高度重视高危漏洞和高危端口，这是“两高”、“一弱”就是弱口令这样的问题，加强防火墙和安全软件管理，合理分配员工权限，升级多层次的密码保护，加强软件和设备防护，防止黑客入侵系统
二是要制定网络安全事件应急预案，经常组织安全演练，及时发现、整改网络安全隐患漏洞，保障网络安全，也把系统进行稳定运行。
三是要建立风险预警机制，及时处置系統漏洞、计算机病毒、网络攻击、网络入侵等安全风险，依法留存服务器日志；发现被黑客攻击时，要立刻断网，保存好现场证据，及时向公安机关报案。

对于企业来说，安全意识、安全体系和安全能力不仅仅是合规需要，也是成长与发展的核心议题。对于黑客、黑灰产来说，针对企业的“两高一弱”等网络安全风险隐患发动攻击，具有低投入、高收益的攻击特点。因此，“两高一弱”一直以来都是困扰众多企业的安全短板，也是企业安全建设投入是否有效的核心校验项。

企业安全建设的“木桶短板”

“两高一弱”问题的存在，将使网络系统在攻击者面前“不设防”，攻击者可以轻而易举触达企业核心信息系统、后台“大搞破坏”，危害极大：

高危漏洞：指存在严重安全风险的软件或系统漏洞，主要为CVE漏洞、攻击者经常攻击使用的漏洞等，包括但不限于以下远程代码执行、数据泄露、拒绝服务、提权攻击、跨站脚本攻击等漏洞。
高危端口：指存在高危漏洞或者弱口令，同时相关端口暴露在互联网上，易被攻击者攻击利用的特定端口，包括但不限于大数据系统、数据库等涉及到数据安全、易被远程攻击利用的、不应该暴露在互联网上的端口。
弱口令：指容易被破解或猜测的密码，通常因为缺乏足够的复杂性和安全性而容易被攻击者猜解，成为网络攻击的主要突破口。

在攻防场景中，“两高一弱”所代表的高危隐患也一直是攻击者的首要突破口，通过“两高一弱”进行攻击，往往能够迅速突破企业的防线，因此在历年全国攻防演练数据中，以“两高一弱”隐患为入口打进企业内网的比率一直“遥遥领先”。与此同时，在网络安全专项行动中，企业也往往因为“两高一弱”隐患被国家网络安全通报中心通报。

高危隐患应对之法

预警-巡检-维护

企业存在“两高一弱”隐患，通常是企业安全建设意识不强，对高危风险和薄弱环节缺乏有效的管理维护，具体而言，存在以下风险行为：

缺乏维护：由于缺乏日常维护，导致存在大量未被发现或未被修复的安全漏洞，这些漏洞给黑客提供了可乘之机，系统容易受到攻击。
高危端口开放：一些系统开放了不必要的高危端口，如135、137、138、139、445、3389等，这些端口容易被黑客利用进行非法访问和攻击。
账号口令问题：系统的账号或口令设定不合理，账号自动登录或登录密码过于简单。
数据未加密备份：没有对机要数据信息进行加密，没有第一时间对重要数据信息进行备份，以及关于用户等级权限的界定也缺乏明确性。

因此，解除“两高一弱”安全隐患，企业应加强网络安全管理，制定网络安全事件应急预案，及时发现整改网络安全隐患，建立风险预警及常态化巡检机制。

预警：建立风险预警机制，及时发现并处置系统漏洞、计算机病毒、网络攻击等风险。依法留存服务器日志以便在发生安全事件时进行追溯和调查。
巡检：定期更新系统和软件补丁，以减少高危漏洞被利用的风险；部署防火墙等安全产品/手段，及时发现并阻断潜在的攻击行为；合理配置端口访问权限，并对高危端口进行重点防护；提升密码策略管理能力，制定并执行严格的密码策略，避免使用弱口令，提高系统的安全性。
维护：提升安全监控与应急响应能力，建立完善的安全监控体系，及时发现并处置安全事件，降低损失；加强网络安全意识培训，提高员工对网络安全威胁的认识和防范能力。

腾讯云

以默认安全思维守护云上租户安全

在企业上云的大背景下，腾讯云既是平台方也是租户。如果云平台高危服务暴露问题频发，那么非专业的租户势必要受影响；而一些在租户侧比较常见、破坏力较大、技术门槛较高或者无法根治的方向，平台方主动处置的成本更低、效率更高，能够显著降低云租户的安全风险。

因此，腾讯云持续推进“默认安全”，在确保用户体验的前提下，采取多种手段，实现在基础安全防护上，与租户共同解决“两高一弱”问题。

覆盖事前-事中-事后的

长效一体化风险管理

用户面临两高一弱风险，主要源于暴露面管理、API安全、漏扫、弱口令未授权等方面的关注不够、管理不全、应对不力，在监管、重保或面对黑客时被发现、被攻破。在腾讯安全的产品矩阵中，可以在事前-事中-事后助力用户建立长效的自检自查和处置能力，建立一体化的风险管理能力。

腾讯云优势：支持混合云接入，全产品SaaS免安装部署，一键体检自动梳理云上安全风险

云安全中心

通过一键体检帮助企业主动发现云暴露面、漏洞、弱口令等风险问题，防患于未然。

云暴露面：自动收集云上IP+域名资产，并通过CLB、CDN、安全组等配置情况自动分析暴露路径，在公网进行测绘、漏洞扫描，形成端口暴露、漏洞暴露面、风险资产暴露面的风险等级标记和管理。
云资源配置检查：提供云资源配置风险的自动化检查评估功能，覆盖云服务器、容器、安全组、对象存储、云数据库及负载均衡等多种云资源。
AK异常检测：对所有AK、访问源IP进行统一管理和治理，通过调用源、高危接口等进行异常关联分析，实时进行告警，支持自定义检测规则，支持泄露检测。
智能化安全治理：利用AI技术进行漏洞介绍、影响资产、修复建议智能化分析，并对告警进行AI智能分析。

主机/容器安全

基于腾讯安全积累的海量威胁数据，提供资产管理、安全加固、入侵防御、安全运营四大模块的安全防护功能，解决服务器面临的主要网络安全风险，帮助企业构建服务器安全防护体系。

漏洞基线检测：从主机内对应用漏洞、镜像安全、系统组件漏洞、弱口令、未授权、等保基线等进行检测，并对漏洞/基线优先级进行评估，支持系统组件漏洞自动修复，部分漏洞支持防御。
入侵检测：实时监测网络攻击、异常进程命令、异常外联、暴破、异常登录IP、内存马、核心文件篡改等行为
事件调查：对入侵事件进行溯源和响应，支持查看完整的攻击链路和日志。

云防火墙

提供访问控制、入侵防御、身份认证等安全能力，自动梳理云上资产、发现并收敛暴露面。

访问控制：发现并收敛暴露面，在流量边界进行全局ACL管控，支持域名级别的访问控制，支持万级IP黑名单拦截管理。
入侵防御：结合威胁情报，支持4层/7层入侵防御。
蜜罐部署：支持一键部署蜜罐。

Web应用防火墙

保护Web网站、APP和小程序免受Web攻击、0day漏洞利用等威胁。提高 Web 站点的安全性和可靠性。通过 BOT 行为分析，防御恶意访问行为，保护网站核心业务安全和数据安全。

入侵防御：精准有效防御常见 Web 攻击，如 SQL 注入、非授权访问、XSS 跨站脚本、CSRF 跨站请求伪造，Webshell 木马上传等 OWASP 定义的十大 Web 安全威胁攻击。
API安全：主动学习的方式自动发现业务访问中存在的 API 接口，帮助用户快速梳理网络中的已知与未知 API 资产并进行分类分级，构建 API 画像清单；同时，基于威胁检测与数据识别引擎，提供攻击防护、盗用防护、滥用防护和数据保护等能力。

运维安全中心（堡垒机）

是集用户管理、授权管理、认证管理及综合审计于一体的集中运维管理系统，提供 IT 资产访问代理以及智能操作审计服务，为用户构建一套完善的事前预防、事中监控、事后审计安全管理体系，实现异常行为告警，防止内部数据泄密，助力企业开展等保测评。