无论他们是否识别为白帽，黑帽子或之间的东西，大多数黑客都认为没有密码是安全的 - 或政府为这一事项。无论他们在法律上坐在哪里，黑客主要同意五个关键安全措施可以使其更难穿透企业网络。
当黑帽美国2016年会议在Las Vegas本月早些时候，辣味，特权账户管理（PAM）解决方案的专家调查了超过250名与黑客自我认定的与会者（受访者仍然是匿名）。百分之八十四名受访者确定为白帽黑客 - 安全研究人员，帮助组织揭示和修复漏洞。和15％被确定为黑色帽子黑客，他通过刑事意图穿透网络。
“今年我们对灰色帽子选项的口头请求不包括在调查中，”Joseph Carson，Certified Information Systems Security Professional（Cissp）和Thycotical的全球联盟负责人。
[ 有关的：黑帽子：快速看热问题]
灰色的帽子落在中间地面。他们出售或以其他方式披露到政府机构零天漏洞，他们找到 - 执法，情报和军事。最终，卡森说，黑客排名五是如下的五个关键安全措施，虽然黑帽子在一个关键区域的命令中叠加。
1.限制管理系统访问权限
首先，严重尝试保护网络必须以特权账户开头。特权账户是“王国的钥匙”，使它们成为任何攻击者的顶级目标，寻求获得网络内的任何地方。
“首先，攻击者通过利用最终用户计算机，攻击者在网络中获得立足点，然后通过利用最终用户计算机来提升其特权来提升其特权，这允许攻击者在网络上运行，就像它们是可信赖的一样IT管理员，“Thyctic解释说黑色帽子2016：黑客调查报告。
作为回应，组织应采取最小的特权策略，其中特权仅在需要和批准时授予，从而限制攻击者通过定位特权帐户密码或哈希策略整个网络的机会。
“通过将最终用户配置为标准用户配置文件并自动提升其特权以仅运行批准和可信应用程序的特权来执行最终用户工作站上的最低限制权限，以”仅限批准和可信应用程序“，”报告中的Thyctic写道。“对于IT管理员特权帐户，控制对帐户的访问权限，并为Windows和UNIX系统实现超级用户权限管理，以防止攻击者运行恶意应用程序，远程访问工具和命令。”
[ 有关的：9用于防御和攻击的免费安全工具]
此外，IT管理员只需在必要时使用其特权帐户。当不需要权限时，它们应该使用标准帐户。
2.保护特权帐户密码
就拥有它们的人类用户而言，很容易陷入思考特权账户的陷阱。但特权账户也扩展到机器和系统，以允许它们互动。
组织通常有两到三倍的特权账户，而不是员工。Carson指出，每个已部署的系统都带有默认帐户，并且这些系统会连接到服务帐户以维护它们。将部署的每个虚拟机也接收当与其关联的机器旋转时不会过期的权限。如果克隆了VM，那些权限与他们克隆。因此，组织经常与大量流氓特权帐户结束，可以访问他们的环境。
“因此，劫持特权帐户为攻击者提供了访问和下载组织最敏感的数据，毒物数据，广泛分发恶意软件，绕过现有安全控制和擦除审计跟踪以隐藏其活动的能力，”报告中的Thyctic写入。“主动管理，监控和控制特权账户访问至关重要 - 这些帐户是当今IT基础架构所必需的，确保它们被安全管理至关重要。”
更糟糕的是，组织仍然经常依赖于电子表格等手动系统来管理特权帐户密码。Carson不仅是低效率，卡森指出，这种系统本身很容易被黑客攻击，对整个企业构成主要的安全风险。
[ 有关的：企业未能保护特权帐户]
“特权帐户密码保护提供了全面的解决方案，可以自动发现和存储特权帐户，计划密码旋转，审计，分析和管理个人特权会话活动和监控密码帐户，以便快速检测和响应恶意活动，”Thyctic写入。“这增加了一层新的安全性，以保护来自网络内部的特权帐户。”
3.扩展IT安全意识培训
大多数安全专业人士认为，人类是任何组织安全性最薄弱的联系。
“在过去几年中出现了更复杂的社会工程和网络钓鱼攻击，公司需要认真考虑扩大其超出简单在线测试或对政策的致谢的IT安全意识计划，”Thyctic写道。“特别是由于个人移动设备越来越多地用于商业目的，教育员工就安全行为已经成为必要的。”
安全意识培训具有可变结果的历史，虽然史蒂夫德林，董事总经理信息安全论坛（ISF）相信A.寻求将积极的Infosec行为嵌入业务流程的程序可以将员工从最薄弱的联系转换为第一道防线。
“这个过程本身可能是问题，”德林说。“它可能是你有一个特别复杂的系统或繁琐的过程，它不一定是这样。问问自己：'如果我们开始新鲜，我们将如何建立安全进入这种特殊的过程，这将使人们很容易来确认？”
然而，应该指出的是，那个白帽黑客在安全意识训练中是比白帽黑客更大的信徒。
“有趣的是，黑色帽子和白帽黑客都以几乎相同的顺序排名所有五个安全措施，除了黑帽子并不相信IT安全意识培训是重要的，”卡森说。“整体而言，黑色帽子将在第四位排名其安全意识培训，这更加重要于将未知的应用程序限制在运行中。它可能是黑色帽子黑客视为人类，与限制风险行为的技术解决方案相比，弱势联系。“
4.限制未知应用程序
如果你不知道它在那里，你就无法保护一些东西。您需要知道有权在网络上运行哪些应用程序，并确保其密码受到保护。
“应用帐户需要用于密码强度，帐户访问和密码旋转的严格策略执行，”尾声写入。“对这些账户的集中控制和报告对于保护关键信息资产至关重要。”
5.使用安全最佳实践保护用户密码
最后，它不仅仅是特权账户。虽然特权帐户提供具有关键数据访问的攻击者，但最终用户帐户仍然是攻击向量。也就是说，77％的调查受访者不相信任何密码都是安全的黑客。
“保护用户密码排名最后，有些人可能会说对于公司来说，这是一个很好的新闻，因为改变人类行为很难 - 这可能是一个更少的艰巨任务，可以更改IT团队与公司的所有员工的流程。”卡森说。“但是，当您准备好安全的最终用户密码时，查找强制执行密码强度和密码频率的解决方案以及密码更改的频率，并且还提供简单安全的密码重置 - 定期要求员工更改其工作站密码无疑将更改其工作站密码当新密码被遗忘时，均值拨打帮助台。
这个故事“5安全实践黑客表示让他们的生活更加努力”CIO. 。