什麼是世界密碼日？

 5月5日是世界密碼日，意旨在提醒正在使用的密碼，是否存在網絡安全隱患，以免遭身份被盜取的風險。並提醒用戶更新弱密碼或舊密碼，以確保個人和企業信息安全。隨著網路威脅的不斷發展和不良行為者開發新的攻擊技術，良好的網路安全態勢需要的不僅僅是一個強密碼來避免妥協。

 由於許多員工繼續在任何地方採遠端模式工作，因此強密碼設置變得至關重要，因為他們不再擁有相同級別的IT網路安全來提供保護。

世界密碼日：網路犯罪分子通常如何破解密碼？

避免妥協的最重要部分之一是了解網路犯罪分子可能如何嘗試竊取您的關鍵數據。攻擊技術不斷發展並變得更加複雜，為網路犯罪分子提供了一個龐大的工具包來利用用戶。以下是一些需要注意的技術：

1.    社交工程攻擊Social engineering attacks：通過電子郵件和文本進行網路釣魚等攻擊， 誘騙用戶提供憑據、單擊惡意鏈接或附件或存取惡意網站。 

2.    字典檔攻擊Dictionary attacks：攻擊者使用稱為“字典”的常用詞列表來嘗試存取密碼，以預期人們使用了常用詞或短密碼，例如：英文單字、生日的數字組合、以及各種常被使用的密碼，等等，利用一般人習慣設定過短或過於簡單的密碼進行破譯，很大程度上縮短了破譯時間。

3.    暴力攻擊Brute force attack：一種攻擊者隨機生成密碼和特殊字元以重複猜測密碼並將其與密碼的可用加密進行檢查的方法。

4.    密碼噴灑攻擊Password spraying：一種針對多個帳戶的暴力攻擊。在傳統的暴力攻擊中，攻擊者會嘗試對單個帳戶的密碼進行多次猜測，這通常會導致帳戶鎖定。使用密碼噴射，攻擊者只針對多個用戶帳戶嘗試一些最常見的密碼，試圖識別使用默認或易於猜測密碼的人，從而避免帳戶鎖定情況。

5.    按鍵記錄攻擊Key logging attack：通過在受害者的機器上安裝按鍵記錄軟體，通常通過某種形式的電子郵件網路釣魚攻擊，攻擊者可以捕獲受害者的按鍵，從而捕獲他們各種帳戶的用戶名和密碼。

6.    流量攔截Traffic interception： 犯罪分子使用數據包嗅探器等軟件來監控和捕獲包含密碼信息的網路流量。如果流量未加密或使用弱加密算法，那麼捕獲密碼就更容易了。

7.    中間人Man-in-the-middle(MITM):：在這種情況下通常是通過冒充該網站或應用程序。使通訊的兩端認為他們正在通過一個私密的連接與對方直接對話，但事實上整個對談都被攻擊者完全控制。在中間人攻擊中，攻擊者可以攔截通訊雙方的通話並插入新的內容，然後讓用戶在假網站輸入用戶名和密碼。通常，電子郵件網路釣魚攻擊會將毫無戒心的將受害者引導至假網站。

 

 世界密碼日：用戶如何防止密碼被洩露？

用戶可以採取多種策略來確保不良行為者不會通過上述技術洩露他們的個人信息。這些應包括：強密碼、多因素身份驗證和單點登錄功能。除此之外， 強大的網路安全教育對於保護您自己、您的家人和您的組織免受損害至關重要。

創建高強度密碼

創建難以忘記且難以猜測的密碼非常重要，即使對於可能知道您生活的私密細節（例如您長大的街道名稱，或您的第一隻狗的名字）的人來說也是如此。

儘管在常用詞中添加數字和特殊字元作為創建強密碼的一種方式似乎很有吸引力，但網路犯罪分子可以利用多種攻擊技術來破解這一點。

避免在任何密碼中使用以下內容：

1. 生日
2. 電話號碼
3. 公司信息
4. 名稱包括電影和運動隊
5. 常見的混淆單字（例如 :“P@$$w0rd”）

相反，世界密碼日提醒我們保護您的信息的最佳做法：

1.    利用大寫和小寫字母、數字和符號的不太可能或看似隨機的組合，並確保您的密碼長度至少為 10 個字符，以確保密碼安全。

2.    不要與任何人共享密碼。

3.    不要為多個帳戶使用相同的密碼，這會增加網路犯罪分子在破解您的密碼時可以存取的信息量。

4.    每三個月更改一次密碼，以降低您的帳戶被盜用的可能性。

5.    使用密碼管理器為所有在線帳戶生成唯一、長、複雜、易於更改的密碼，並在雲端進行安全加密儲存這些密碼。這將使您更容易確保使用最強的密碼，因為您只需記住該雲端密碼。

世界密碼日：用戶的附加身份驗證和保護措施

單一的防禦線不再有效阻止先進網路攻擊。為了真正確保網路安全，需要採取多種戰術。請個人或企業應參考以下幾點：

• 兩種以上身份驗證機制 (MFA)： 多重身份驗證通過在身份驗證過程中添加一個額外的步驟來確認用戶的身份，例如，使用者要輸入PIN碼，插入銀行卡，最後再經指紋比對，通過這三種認證方式，才能獲得授權。這種認證方式可以提高安全性。 多重要素驗證的概念也廣泛應用於電腦系統以外的各領域。
• 單點登錄 (SSO)： 單點登錄允許用戶在組織內的多個應用程序中利用單一、安全的用戶名和密碼。
• IT人員的網路安全培訓和教育：隨著網路威脅的演變和不良行為者開發針對個人的新技術，用戶必須保持網路意識並及時了解威脅形勢的最新情況。 

下列建議給入門或欲深入網路資訊安全工作有興趣者的網路安全技術認證培訓：

1、Fortinet網路安全技術認證NSE 4-6

了解如何建置操作和整合Fortinet設備，並且具備網路安全管理及分析的能力
適合對象:助理系統工程師、系統工程師、網路安全管理工程師

 NSE 4認證 
【FGT】  Fortinet NSE 4 FortiGate Security&Infrastructure認證課程

 NSE 5認證 
【FMG】  Fortinet NSE 5 FortiManager認證課程
【FAZ】  Fortinet NSE 5 FortiAnalyzer認證課程
【FSM】  Fortinet NSE 5 FortiSIEM認證課程

 NSE 6認證 
【FSW】  Fortinet NSE 6 FortiSwitch認證課程
【FWF】  Fortinet NSE 6 Secure Wireless LAN認證課程
【FAC】  Fortinet NSE 6 FortiAuthenticator認證課程 

2、Fortinet網路安全架構認證NSE 7

識別您在部署、管理和故障排除Fortinet安全解決方案方面的高級技能。
適合對象: 系統工程師、IT安全架構師、網路安全管理員、技術支援工程師

 NSE 7認證 
【EFW】  Fortinet NSE 7 FortiGate Enterprise Firewall認證課程
【SDWAN】  Fortinet NSE 7 FortiGate SD-WAN認證課程
【ADA】  Fortinet NSE 7 FortiSIEM Advanced Analytics認證課程 

3、Fortinet網路安全專家培訓

網路安全專家認證，可驗證您在大型網路的安全設計、配置和故障排除方面擁有全面的專業知識。此證照必須具備相關IT網路安全工程師、網路安全分析人員等工作經驗，並且有豐富使用Fortinet產品的經驗。
適合對象:網路安全專業人員
【FSMPSR】  Fortinet FortiSIEM Parser課程

影片來源Fortinet Taiwan

Fortinet Taiwan

Fortinet 是全球第一網路資安創新者，Fortinet致力於網路安全技術培訓和認證，來縮小企業中IT人員的技能差距。目前在國內有超過八成的企業偏好雇用會操作Fortinet設備人才。
*欲了解有關Fortinet網路安全技術培訓和更多訊息可參考以下網頁https://www.fortinet.com/nse-training或台灣地區合作夥伴恆逸教育訓練中心

文章出處 https://www.fortinet.com/blog/industry-trends/ensuring-strong-cyber-hygiene-on-world-password-day