账号安全那些事儿

随着《网络安全法》正式成为法律法规，等级保护系列政策更新，“安全” 对于大部分企业来说已成为“强制项”。然而，网络空间安全形势日趋复杂和严峻。账号安全，也在不断的威胁着企业核心数据安全。

根据最新的 IBM 全球威胁调查报告《X-Force威胁情报指数2020》，受攻击网络中 60％ 的初始访问都是利用以前窃取的凭据或已知的软件漏洞，从而使攻击者更少依赖欺骗来获取访问权限。

一、概述

以操作系统、数据库、网络设备运维视角设定账号，这类账号一旦设定，不能随时删除，因此，在员工离职、调岗等异动时不能通过删除账号来实现账号权限回收。

特权账号保管不善，导致登录凭证泄露、丢失，被恶意攻击者、别有用心者获取，然后被攻击者利用该登录凭证非授权访问业务系统，进而可能导致系统数据被删除、恶意增加管理员权限、非法下载大量数据等。特权账户从创建、使用、保存、注销等全过程更是面临较大泄露风险，比如有些特权账户需要进行多次流转（从超级管理员到普通管理员传递），目前普遍采用邮件、微信的方式的进行传递，有些安全意识较高的可能还进行加密处理，有些安全意识差的或者应急场景，密码明文传输更是比比皆是。攻击者若获取部分的账户、密码可能会对企业进行大范围的横向扩展攻击，导致系统遭受大面积入侵。

基于异常账号（黑名单账号，失效账号）和账号异常行为（绕行登录，单账号多IP登录，非上班时间登录，高危操作和敏感文件访问）维度分析，能及时发现某账号的操作行为时间轴轨迹，形成立体画像，及时检测威胁，避免安全威胁进一步扩大化，有效降低安全损失。

二、账号安全威胁检测措施

1.黑名单账号登录

告警发生场景：源用户账号不在用户指定的白名单账号列表中，并且曾经产生过一些攻击、违规等行为的账号可以列为黑名单账号重点关注。

攻击方式：以黑名单账号登录系统，产生攻击、违规等风险行为。

检测思路：通过登录日志查看账号信息是否不在用户自定义的白名单账号列表中，将产生异常行为（绕行登录，单账号多IP登录，非上班时间登录，高危操作和敏感文件访问）的账号设置为黑名单账号列表，账号不在白名单且在黑名单列表中的触发告警。如白名单账号产生异常行为后，将转成黑名单账号。

日志来源：以 linux 系统登录日志为例

Sep 2 15:47:10 localhost sshd[21996]: Accepted password for blackhat from 192.168.1.41 port 60982 ssh2

人工分析：用户在日常运维中可以建立资产账号的黑白名单库，白名单账号为合法账号，黑名单账号为产生异常行为（绕行登录，单账号多IP登录，非上班时间登录，高危操作和敏感文件访问）的账号。通过查看登录日志筛选出所有登录账号，比对是否不在白名单账号中并属于黑名单账号。
工具分析：集中采集 linux 系统登录日志，解析关键字段：事件类型为登录，结果是否登录成功，登录账号信息，通过自定义黑白名单账号字典，账号信息命中不在白名单账号且在黑名单账号即刻触发告警，能大幅提升黑名单账号风险识别效率。

2. 失效账号登录

告警发生场景：源用户账号为失效账号，失效账号可能为离职员工账号、已经禁用/删除或过期的账号，正常不会用失效账号登录。
攻击方式：以失效账号登录系统，产生攻击、违规等风险行为。
检测思路：通过登录日志查看账号信息是否为失效账号。
日志来源：以linux系统登录日志为例

Sep 10 15:40:10 localhost sshd[21996]: Accepted password for invalid from 192.168.1.41 port 60982 ssh2

人工分析：查看登录日志筛选出所有登录账号，比对是否属于失效账号。
工具分析：集中采集linux系统登录日志，解析关键字段：事件类型为登录，结果是否登录成功，登录账号信息，通过自定义失效账号字典，账号信息命中失效账号字典即刻触发告警，能大幅提升失效账号风险识别效率。

3.多账号登录同一重要资产失败

告警发生场景：多个不同的账号登录同一个目标资产失败，可能存在有意的批量账号猜测攻击。
攻击方式：以多个不同的账号登录同一个目标资产尝试进行密码猜测暴力破解。
检测思路：超过3个以上不同账号登录同一个目标主机失败。
日志来源：以linux系统登录日志为例

Sep 10 15:40:10 localhost sshd[21996]: Failed password for userA from 192.168.1.41 port 60982 ssh2
Sep 10 15:42:12 localhost sshd[6116]: Failed password for userB from 192.168.1.39 port 60982 ssh2
Sep 10 15:43:15 localhost sshd[1828]: Failed password for userC from 192.168.1.21 port 60982 ssh2

人工分析：需要查看同一台目标主机的登录失败日志，是否在短时间内有多个不同的源IP、不同账号登录失败。
工具分析：集中采集 linux 系统登录日志，解析关键字段：事件类型为登录，结果是登录失败，针对同一个目标系统，在一段时间内失败超过 3 次即刻触发告警，能大幅提升账号风险行为识别效率。

4.单账号多 IP 登录

告警发生场景：某账号已登录，在未退出的情况下从另一源 IP 地址成功登录，可能密码外泄或被破解。
攻击方式：攻击者获取账户信息后从多个 IP 地址成功登录，通过多 IP 干扰溯源取证。
检测思路：通过多条日志关联分析，登录结果成功的账户为同一个账户，但是源IP不同，即可判定属于单账号多IP登录事件，触发告警。