在学习中，总会有一些书籍为我们总结一些有价值的知识。十大安全漏洞是在学习过程中从相关安全书籍中摘抄下来的，供大家参考。1、弱密码：所谓弱密码，就是容易被猜到或重复的密码。弱口令会给信息安全带来严重的安全隐患。不要让测试帐户的密码很弱，很少或根本没有有效监控。由弱口令引发的网络安全事件太多了，时常发生在我们身边。很多人，或许是为了偷懒方便，或许是为了自己方便，到头来也是方便。注意：不要在系统或Internet站点上重复使用相同的安全密码。2、软件补丁更新：软件补丁更新是提高网络安全的有效途径之一。因为有漏洞，当然补丁修复后，相应的漏洞也就解决了。原则上，修补漏洞也减少了信息系统的攻击面。未打补丁、过时、易受攻击或仍处于默认配置的软件会对信息系统构成严重风险。大多数漏洞都可以通过及时的安全补丁和测试来避免。3、远程访问点：没有安全措施或监控的远程访问点，相当于为企业网络开了一条“捷径”，可以随意访问。有时候，最大的隐患就是公司离职员工的账户没有关闭。也就是说，在内部人员转为外部人员的过程中，没有及时撤回授权，可能会给系统带来严重的风险。4.信息泄露：信息泄露允许攻击者获知操作系统和应用程序版本、用户、组、共享和DNS信息。利用百度、谷歌、Facebook、校园网、QQ、微信等工具，可以为攻击者提供海量信息。5、不必要的服务：主机运行不必要的服务（如FTP、DNS、RPC等），为攻击者提供了更大的攻击面。非必要的服务或软件是我们在评估中强调的安全风险。在测评中，我们会先以访谈的形式提问，然后到电脑前核实是否有不必要的冗余服务或安装了不必要的软件。6.防火墙配置不当：防火墙规则会变得非常复杂，并可能导致相互冲突。经常添加测试规则，或者在紧急情况下应用补丁，然后忘记删除，因此防火墙规则可能允许攻击者访问DMZ或内部网络。正确合理的配置策略有利于保护网络。相反，这对网络来说是一个巨大的风险。7、互联网服务器配置不当：互联网服务器配置不当，尤其是存在跨站脚本和SQL注入漏洞的Web服务器，更容易严重破坏整个内网安全。我们在网上经常可以看到配置不当的安全事件。例如，亚马逊云服务经常配置错误，导致数据泄露。8.日志记录不足：由于对互联网网关和主机的监控不足，攻击者有机会在您的网络环境中为所欲为。因此，必须考虑监控出站流量，以检测潜伏在网络中的高级和持续性“破坏”。很多单元设备的日志都是默认状态，但是很多默认状态是没有启用的，所以日志记录可能只包含很少的默认信息，不能满足日志保留的要求。特别是我们《网络安全法》发现需要保留不少于六个月的法律，伴随着直接的合规风险。9.过度松散的文件和目录访问控制：Windows和UNIX中的文件共享几乎没有访问控制，这使得攻击者可以自由导出并在网络上穿梭，悄悄窃取最敏感的数据。所谓不可取、不可取、不可理解，就是安全防护的三个层次。但是，有时过于松散的访问控制会让你不知道他什么时候拿走了数据。如果加密太弱，则无法满足“不可理解”的要求。10、缺乏文档化的安全策略：任意或未文档化的安全控制使得系统或网络中实施的安全标准不一致，这将不可避免地导致系统漏洞。这属于网络安全管理层面，而人防需要考虑管理制度、整体安全策略，甚至安全操作规程的制定。
