企业的网络攻防战无非就是白盒测试和黑盒测试， 只要攻击者信心坚定，没有什么密码是搞不到手的。不管头衔是白帽子、黑帽子，还是游走在中间的某种状态，大多数黑客都会同意没有攻不破的密码，或者是密码管理措施。不管他们的态度如何，是否尊重法律，企业如何做好攻防战，仅仅依靠第三方的公司是一定不够的。
白帽子是善意的话，那么黑白之间的灰帽子那可能就是带有勒索或者某种恶意的攻击了，针对企业或者个人，前段时间的勒索软件就是典型，在世界黑客 Black Hat 大会上，关键账户管理解决方案提供商Thycotic调查了超过300位自称为黑客的参会者(匿名参与)。58%的受访者认为自己是白帽子——帮助机构来发现并处理漏洞的安全研究人员。
25%的受访者则是灰帽子，他们带着恶意的目的来渗透网络。黑协致力于培养白帽子，欢迎更多的人加入，拥有正确的价值观，和更多的小伙伴一起交流学习，最近的理事会管理层重新开始招募了，值得关注！ 网络安全在今年恐怕是奠定了以后的重要的作用了，每一股势力都是不容小觑，灰帽子还是大量存在的，灰帽子处在中间地带。他们向政府机构、执法机构、情报机构和军方披露、或者销售自己发现的零日漏洞。
白盒测试和黑盒测试
将管理员权限限制到系统
其一，任何严肃的网络保护措施都应该从特权账户入手。特权账户是“王国的钥匙”，这也让它们成为了寻求访问权限，以在网络中随意走动的攻击者的顶级目标。
Thycotic公司在其发布的《Black Hat ：黑客调查报告》中称：“首先，攻击者通过一切可能的方式获得一个前哨站，这通常是通过入侵终端用户计算机做到的。然后，他们尝试通过入侵特权账户来提权，这让攻击者能够像受信任的IT管理员一样对网络进行操作。”
要进行响应，机构应当至少部署一项特权策略， 防止在请求并通过之后直接给予特权，降低攻击者通过针对特权账户密码或哈希来侵入整个网络的可能性。
Thycotic在报告中说：“通过确保终端用户按照标准用户档案配置，并在需要运行合法、可信应用时临时提权，可以在终端用户工作站上部署最小特权策略。对IT管理员的特权账户，控制账号拥有的特权并且对Windows和UNIX系统部署超级用户特权管理 (Super User Priviledge Management) ，能够防止攻击者运行恶意应用、远程访问工具和控制台。”
此外，IT管理员应当只在有必要时使用特权账户。当没有必要使用特权时，应当使用普通账户。
保护特权账户密码
说到特权账户，很容易陷入将它们和人类用户联系起来的误区。实际上，特权账户也会延伸到那些供用户操作的机器和系统。
机构拥有特权账户的数量通常是其员工数量的两到三倍。Carson指出，所有部署的系统都会自带一个默认账户，此外，所有连接到服务账号的管理系统也都会有一个账户。所有部署的虚拟机都会有特权，而且该特权在虚拟机关机之后仍会存在。如果虚拟机被克隆，这些特权也会随之被克隆。因此，机构通常会被大量流氓特权账号塞满，它们均能够访问整个环境。
Thycotic在报告中写道：“因此，劫持特权账户能够帮助攻击者访问并下载机构的敏感数据，毒化数据，大量散播恶意软件，绕过现存安全措施并抹除审计痕迹，隐藏活动。 主动式管理、监控、控制特权账户访问十分关键。这些账户对于当今的IT架构是必要的，确保它们被安全地管理事关重大。”
更糟的是，机构仍旧经常依赖于表格文档等收到那个系统来管理特权账户密码。这已经不只是低效了。Carson指出，此类管理系统本身就很容易遭到入侵，给整个企业带来显著的安全风险。
Thycotic写道：“特权账户密码保护能够为自动发现并存储特权账户、定期更换密码、审计、分析、管理各个特权线程活动、 监控密码账户来快速发现并响应恶意活动提供综合性解决方案。这为在网络内部保护特权账户带来了一个全新的 安全层级。”
拓展网络安全意识训练
习主席说过网络安全等于国家安全，我们应该注重网络安全,在互联网的圈子里懂的人很少, 很多平台都在做不同领域的网络隐私安全,唯独新手这一块一直以来都是黑协在做,黑协一直都在持续完善，推送更多帮助新手入门进阶的知识。不仅是我，业内的大多数安全专家认为人类才是机构安全中最弱的一环。那就是社会工程学，虽然凯文的时代和我们国情不适用，但是还是希望引起大家的高度重视起来。
“随着过去过去几年中涌现出更多复杂的社会工程和钓鱼攻击，企业应当严肃地思考拓展IT安全意识培训项目这件事了，而不是仅仅停留在执行简单的在线测试、告知安全策略等手段上。特别是在移动设备日渐应用到商业场景的时代里，教育员工什么才是安全的行为变得势在必行。”
从历史上来看，安全意识训练的结果可能彼此之间大相径庭。Steve Durbin是Information Security Forum的总经理，他则表示，那些能够在商业活动中增加正面的信息安全操作的训练项目能够将员工从最薄弱的一环变成防御的第一线。
我自己也曾思考：“过程本身可能就是问题。有可能你的系统或过程太复杂、太繁重，而实际上并不必须如此。这样问你自己：如果我们从头开始，如何在过程中增加安全措施，让人们更容易遵从”
不过需要注意的是，相比黑帽子，白帽子黑客更加信奉安全意识。
“有趣的是，黑帽子和白帽子黑客对全部五个安全措施的排名几乎是相同的，除了黑帽子不相信IT安全意识训练有那么重要。总的来看，黑帽子给出的名单中，IT安全意识训练排在第四位。他们将预防未知应用运行拍在了更高的位置。这有可能是因为黑帽子黑客认为人类是不可预测的，相比于能够限制风险操作的技术解决方案，他们更像是较弱的环节。”
限制未知应用
如果你不知道一个东西存在，就无法保护它。你需要弄清网络上运行的应用中究竟哪些是合法的，并确保它们的密码得到了妥善保管。
Thycotic写道：“应用账户需要被细心存储。应当使用严格的策略进行检查，确保密码强度、账户访问权限和密码替换周期。报告这些账户并且执行中心化的管控对于保护关键信息资产而言至关重要。”
利用安全最佳实践保护用户密码
归根结底，这些措施并不都与特权账户有关。尽管特权账户能够为攻击者提供访问关键数据的权限，终端用户账户仍旧是攻击向量之一。这就是说，77%的受访者并不认为所有密码都能避免黑客入侵。
黑客隐痛说：“保护用户密码排在了最后。有些人可能会说这对企业而言是好消息，因为改变人类行为很难：只让IT团队行动起来比动员全公司员工要简单多了。不过，如果你想要保护终端用户密码，应当寻找哪些能够针对密码强度、密码更换周期提供措施，并能提供简单安全的密码重置策略的安全解决方案。它们应当定期要求员工更改工作站密码，当然，这毫无疑问地代表着，员工忘记新密码之后，技术支持团队接电话会很忙。”
花无涯这么说：黑客是指而是能够突破极限的能力，并拥有道德感、开放和共享的精神，最终的目的是推动世界发展朝着一个更好、更安全的世界发展。第一，从数据到知识，一切都是信息。网络安全在中国是奢侈品，安全本质则是对信息的控制权。黑客是未来信息社会重要的平衡力量。
中国黑客协会非常重视人才的吸收的培养，有兴趣、热爱、执着童鞋们欢迎你们的加入，别让自己荒废着，新手永远是多数,我们将致力于新手启蒙和进阶教育,引导其树立正确观念，为社会贡献出一份力，网络世界不安定因素过多。
