由一线安全工程师实践整理，仅供大家参考：

1.弱口令：指的是那些容易被别人猜测到或被破解工具破解的口令。这些口令通常仅包含简单的数字和字母，例如“123”、“abc”、“123456”、“password”、“qwerty”、“abc123”、“iloveyou”等，或者包含连续字符串、个人信息（如生日、身份证号等）以及重复数字或字符串的组合。

注意：不要在系统或互联网站点，使用重复相同的安全口令。

2.软件补丁更新：软件补丁更新，是提升网络安全的一种有效方式之一。因为厂商会根据已经存在的发现的漏洞，进行升级解决相应的漏洞。修补漏洞原则上也是减少信息系统攻击面。没有打过安全补丁、过时的、有漏洞的或仍处于默认配置状态的软件，会为信息系统带来严重风险。目前大部门正规软件系统都可以进行补丁升级来弥补漏洞带来的危害。

3.远程访问点：远程访问涉及通过公共网络（如互联网）进行数据传输，数据在传输过程中可能会面临窃听、拦截、篡改等风险。未经加密的数据传输容易被黑客截取和篡改，造成信息泄露和数据损坏等安全问题。

4.信息泄漏：信息泄漏使攻击者可以了解有关操作系统和应用程序的版本、用户、组、共享以及DNS的信息关于该用户在网络所储存的相关隐私信息。

5.非必要的服务：运行不必要的服务（诸如：FTP、DNS、RPC等）的主机，为攻击者提供了更多的攻击的渠道，也方便了攻击者获取和传输隐私信息。给自己带来略微便利同时给不法之徒带来犯罪的途径。

6.配置不当的防火墙：可能不懂防火墙的人感觉防火墙买来就可以直接安装发挥作用，其实不然配置不当的话，或许可能引发彼此互相冲突。增加潜在测试规则，或紧急情况时打上的补丁没有及时删除，导致本应该成为保护软件的防火墙成了泄漏渠道之一。

7.配置不当的互联网服务器：由于工作人员失误配置服务器()会出现不同失误，尤其是跨站脚本和SQL注入漏洞的网页服务器，严重导致重大事件泄漏风险。我们在国内外网站也经常看到此类新闻。

8.不充分的日志记录：不同企业由于认识不同，对于互联网网关及主机的监控不足，攻击者有轻松进入你的系统窃走数据。所以必须考虑监控外流的通信流量，以便检测出网络中是否潜伏有高级和持久的“破坏者”（黑客）。《网络安全法》规定日志要保留6个月及以上也是为了保障数据的安全。

9.过度宽松的文件和目录访问控制：例如：Windows在没有安全意识的情况下过度的分享和无加密，不法之徒可以有如无人之境窃走数据。

10.人为和制度层面缺乏记录成册的安全策略：任意的或未记录成册的安全控制使得在系统或网络中执行不一致的安全标准，必然导致系统被攻破。