网络攻击之-弱口令流量告警运营分析篇

本文从弱口令的定义，弱口令的流量数据包示例，弱口令的suricata规则，弱口令的告警研判，弱口令的处置建议等几个方面阐述如何通过IDS/NDR，态势感知等流量平台的弱口令类型的告警的线索，开展日常安全运营工作，从而挖掘有意义的安全事件。

弱口令定义

弱口令也称之为弱密码，顾名思义就是比较弱的密码，实际上弱口令在安全领域并没有严格的定义，无法满足所规定密码复杂度的要求的密码都可以认为是弱口令。这些口令会很容易被攻击者猜测破解。比较弱的密码存在如下的特征：

• 长度短： 弱口令通常很短，短的密码容易通过穷举被猜测。
• 常见词汇：弱口令可能是常见的词汇、包括人名、地点以及日期，常见词汇可以通过字典工具枚举。
• 复杂度低：弱口令不够复杂性，没有包含足够的字符类别，如大写字母、小写字母、数字和特殊字符。
• 易于猜测：弱口令与用户名、公司名称等特定信息相关联，容易被联想。
• 重复或简单模式：弱口令包含重复字符、简单的模式或常见的密码结构，容易被猜测。

目前绝大多数的系统为避免弱口令问题，通常会做如下的规定：

• 口令长度至少为8个字符长度（推荐更长）。
• 口令包含大写字母、小写字母、数字和特殊字符。