什麼是弱密碼政策？風險與修正方法

什麼是弱密碼政策？

弱密碼政策是未強制要求足夠密碼強度的身分驗證設定，使系統容易遭受暴力破解、憑證填充和密碼噴灑攻擊。MITRE 將此弱點正式歸類為 CWE-521。當應用程式或系統允許攻擊者能實際猜出、破解或大規模測試的密碼時，就會出現這項弱點。

弱密碼政策不需要任何惡意程式碼。攻擊者只需要一組有效憑證。取得憑證後，他們便能以合法使用者身分活動，避開特徵碼式安全工具的偵測，而且往往數個月都不會被發現。Verizon 的 2025 年資料外洩調查報告 (DBIR) 指出，濫用憑證是最常見的初始攻擊途徑。IBM 的 2025 年資料外洩成本報告 指出，以憑證為手段的資料外洩事件，最長需要 186 天才能發現，是各類攻擊中發現時間最長的類型之一。這意味著攻擊者能冒用您信任的人登入長達半年。

損害不只限於個別帳號。弱密碼政策會造成 橫向移動、權限提升，以及在整個環境中持續存取。這些後果全都源自可以修改的政策決策。

弱密碼政策如何讓攻擊得逞？

弱密碼政策會在身分驗證流程的多個層面製造可遭利用的條件。這項弱點並非單一疏失，而是一連串不足的控管措施，讓攻擊者得以依序評估並加以利用。

攻擊者的決策流程

發動憑證攻擊前，攻擊者會先偵察政策。MITRE 將此記錄為 政策探查。攻擊者藉此掌握帳號鎖定門檻、密碼最短長度要求和複雜度規則，以選擇最適合的攻擊手法，同時避免被發現。

攻擊鏈通常依以下順序展開：

1. 偵察。 攻擊者找出對外開放的身分驗證端點，包括 遠端桌面通訊協定 (RDP)、虛擬私人網路 (VPN)、Outlook Web Access (OWA) 和單一登入 (SSO) 入口網站，並探查政策特性。
2. 選擇手法。 攻擊者根據觀察到的政策弱點，選擇效率最高、最符合該弱點的攻擊手法。
3. 取得憑證。 攻擊者透過選定的手法，取得有效的使用者名稱與密碼組合。
4. 入侵後濫用。 MITRE 將此階段歸類為 有效帳號。攻擊者以合法使用者身分取得初始存取權限、維持存取，並提升權限。

即使採用保守的帳號鎖定政策，單靠這項措施仍不足以防禦。MITRE 提到 Quad7 攻擊活動，其中攻擊者透過遭入侵的小型辦公室／居家辦公室 (SOHO) 路由器，在 24 小時內對每個帳號各嘗試一次，進行 密碼噴灑攻擊。僅限制個別帳號的嘗試頻率，無法阻止刻意避開此限制的攻擊。

安全框架從三種不同角度分類這一連串疏失，而您引用的分類方式，將決定修正工作的優先順序。

OWASP 與 MITRE 分類

弱密碼政策涉及三大安全框架，各框架從不同角度分類這項弱點。了解這些對應關係，能讓安全團隊將政策稽核與弱點管理及威脅情報工作流程連結起來。

CWE 分類指出根本原因，開放全球應用程式安全計畫 (OWASP) 將其歸入相關的身分驗證失敗類別，而 MITRE ATT&CK 則對應後續的攻擊者行為。這種分層視角也顯示，CWE-521 很少是唯一存在的弱點。

此弱點在 CWE 階層中屬於「Base」抽象層級，因此是根本原因分析和漏洞揭露的首選分類。其上層弱點是 CWE-287，屬於可能導致未經授權存取的身分驗證失敗類別。

OWASP A07 下共同對應的弱點

CWE-521 在 OWASP A07 下並非單獨存在。此類別將其與數個經常並存於同一環境的相關弱點歸為一組：

• CWE-307: 缺少速率限制或帳戶鎖定機制，導致暴力破解嘗試不受限制
• CWE-640: 薄弱的密碼復原機制，能繞過原本嚴格的政策
• CWE-262/263: 缺少密碼有效期限管控，或管控無效
• CWE-798: 無法透過變更政策補救的硬編碼憑證

這些共同對應關係很重要，因為只修復 CWE-521，例如強制提高密碼最短長度，若相鄰弱點仍未修復，就無法消除更廣泛的 A07 暴露風險。有效的補救措施必須處理整組弱點。

框架為弱點命名。環境則產生弱點，通常源於八種反覆出現的缺口。

弱密碼政策的成因

弱密碼政策很少源於單一設定錯誤。多數存在漏洞的環境都有數個相互加劇的控制缺口，使單獨存在時可能只是輕微的弱點，變成可靠的攻擊途徑。

1. 未強制執行最短長度要求

未落實 NIST 的最短長度指引，或 CISA 的 15 字元實務目標，會直接促成對應 CWE-521 的暴力破解攻擊模式。NIST 的 符合性標準指出，記憶式密碼的長度是判斷強度最可靠的指標。

2. 允許已知薄弱或常見的密碼

應用程式若允許使用 "Password1" 或 "admin/admin" 等密碼，卻不比對已知不安全密碼清單，無論其他政策控制措施為何，都存在漏洞。OWASP 的 身分驗證指引建議至少以最常見的不安全密碼進行測試，作為基本標準。

3. 缺少速率限制或鎖定機制

若未限制嘗試頻率，暴力破解攻擊就能突破複雜度要求。速率限制與密碼強度是兩項獨立的控制措施，兩者失效會使風險加劇。

4. 薄弱或不安全的密碼儲存方式

以純文字、可逆加密或弱雜湊（MD5、未加鹽的 SHA-1、NTLM）儲存密碼，會將僅限線上的攻擊面轉變為離線攻擊面，使所有身分驗證嘗試頻率限制失去作用。

5. 無效的憑證復原機制

根據 OWASP，以知識為基礎的安全問題「無法變得安全」。 CWE-640（弱密碼復原機制）意味著薄弱的復原流程可以完全繞過嚴格的密碼政策。

6. 缺少 MFA 或 MFA 無效

OWASP 的 A07 分類明確將缺少多因素驗證 (MFA) 列為直接的漏洞條件。NIST SP 800-63B指出，僅使用密碼只適用於低保證等級的情境。

7. 適得其反的複雜度與強制輪替規則

OWASP 指出，強制輪替與字元組成複雜度要求會促使使用者重複使用弱密碼，並形成可預測的模式。NIST SP 800-63-3 已於 2017 年正式棄用這些做法。

8. 組織與生命週期管理失效

憑證管理不當、閒置帳號、共用憑證和離職員工帳號，都是密碼複雜度規則無法解決的營運弱點。 CIS Control 5 將這些問題列為不同的弱點。

八個缺口，各自看來都不大。但它們加在一起，就解釋了為何一組弱憑證會成為企業風險，而不只是服務台的一張工單。

弱密碼政策的影響與風險

弱密碼政策的影響不只限於個別帳號遭入侵，還可能擴及整個組織的資料外洩、監管罰款和聲譽損害。

財務影響

一份 2024 年的 IBM 報告 指出，全球資料外洩的平均成本達 $4.88 百萬。

識別延遲

憑證型入侵的識別時間是最長的類型之一：最長需要 186 天 才能發現。這是 IBM 2025 年的數據。在此期間，使用有效憑證的攻擊者會混入合法流量。SANS 將這種模式稱為「就地取材」。他們的行為看起來不像攻擊，因為對依賴特徵碼的工具而言，成功登入沒有可供辨識的特徵碼。

監管風險

監管框架如今將弱密碼政策視為可衡量的合規缺失。 PCI DSS FAQ 規定，自  2025 年 3 月起，支付卡環境的密碼必須符合最低長度要求。英國《產品安全與電信基礎設施法》 禁止使用預設密碼，例如 IoT 裝置上的「admin」，違規者將面臨罰款。

未受管理裝置加劇的風險

該 Verizon 2025 DBIR 發現，企業登入憑證出現在資訊竊取程式的日誌中，這些日誌擷取自企業從未管理的裝置。這些憑證在您的控管範圍之外遭竊，卻在範圍內遭到使用，讓以邊界為中心的防護模式無從因應。

攻擊者並非臨場發揮。他們從已有詳盡記錄、反覆使用的技術中挑選手法。

攻擊者如何利用弱密碼政策

所有憑證攻擊技術都屬於 MITRE ATT&CK，其上層技術為 T1110， 暴力破解。每種子技術都針對不同的政策缺口。攻擊者會依據偵察時發現的弱點，選擇最適合的手法。

密碼猜測 (T1110.001)

攻擊者有系統地對目標帳號嘗試密碼，著重於 SSO、雲端應用程式和聯合身分驗證端點。MITRE 的 T1110.001 條目 記錄了 APT28 在數小時或數天內，對每個目標帳號反覆嘗試登入的行為。

• 遭利用的政策弱點： 沒有帳號鎖定政策、最低密碼長度過短、預設憑證未變更。

密碼噴灑 (T1110.003)

攻擊者以一組密碼或一小份密碼清單，對數千個帳號進行測試，同時讓每個帳號的失敗次數維持在鎖定門檻以下。MITRE 的 T1110.003 條目 記錄了多個使用此技術的已知組織，包括 APT28、APT29 和 Midnight Blizzard。

• 遭利用的政策弱點： 可預測的密碼模式，如 Season+Year 和 CompanyName+Number、無法跨帳號識別分散的登入失敗，以及對外服務未啟用 MFA。

憑證填充 (T1110.004)

攻擊者利用密碼重複使用的弱點，拿第三方外洩資料中的憑證測試企業服務。OWASP 的 憑證填充概述 指出，攻擊者也會利用外洩資料中的電話號碼、電子郵件地址和安全性問題答案，繞過憑證復原機制。

• 遭利用的政策弱點： 未禁止跨服務重複使用密碼、登入時未檢查外洩憑證、未啟用 MFA。

密碼破解 (T1110.002)

這是分為兩階段的攻擊. 首先, 攻擊者從認證資訊儲存區, NTDS.dit 和 /etc/shadow 擷取密碼雜湊值. 接著, 他們在受害者無法觸及的 GPU 加速基礎架構上, 使用 Hashcat 和 John the Ripper 等工具離線破解雜湊值. MITRE 的 T1110.002 項目 記載 FIN6 從 ntds.dit 擷取密碼雜湊值進行離線破解, 以及 Salt Typhoon 從網路裝置設定檔破解弱式加密密碼的案例.

• 遭利用的密碼政策弱點: 短密碼縮短破解所需時間. 傳統 雜湊 演算法, MD5, NTLM, 以及未加鹽的 SHA-1 讓攻擊者得以使用預先運算的結果發動攻擊.

Kerberoasting (T1558.003)

任何通過驗證的網域使用者, 都能為具有服務主體名稱的帳戶要求 Kerberos 服務票證. 這些票證以服務帳戶的密碼雜湊值加密. 攻擊者匯出票證後, 便可離線破解. 取得票證不需要提高權限, 收集票證後也不必再與網路互動.

• 遭利用的密碼政策弱點: 服務帳戶使用弱密碼, 未監控大量 SPN 查詢, 以及服務帳戶不受使用者層級的密碼複雜度要求約束.

五種技術有一個共同前提: 每一種都需要一組更嚴格的密碼政策本會拒絕的密碼. 這就是防禦的著力點. 該從哪裡著手, 取決於哪些系統暴露在攻擊者面前.

弱密碼政策會影響誰?

弱密碼政策影響所有使用密碼驗證的組織與系統. 不過, 暴露程度因產業, 系統類型與部署模式而異.

最容易遭受攻擊的應用程式類型

MITRE ATT&CK 文件指出攻擊者經常鎖定的特定服務與通訊協定:

風險最高的產業

上述服務的共同點, 是將驗證機制直接暴露在攻擊者可觸及的網路上. 某些產業的風險更為集中.

• 關鍵基礎設施營運商 同時面臨 CISA 的 網路安全績效目標 (CPG) 2.0 所帶來的監管風險, 以及營運威脅情報公告所指出的風險. 
• 醫療保健與金融服務業 兼具高價值資料與複雜的舊有環境. 
• 政府機關須遵守聯邦資訊安全現代化法案 (FISMA) 的持續監控要求，並符合NIST SP 800-63B-4 的合規要求。
• IoT 與營運技術 (OT) 環境面臨結構性問題：裝置出廠時往往設有寫死或預設的憑證，管理員無法變更。CISA 曾針對一款預設密碼已公開、卻沒有強制變更機制的 SinoTrack GPS 裝置發布一份ICS 安全公告。
• 中小企業通常缺乏專責資安團隊，無法稽核密碼政策、強制使用 MFA 或監控憑證攻擊。因此，即使攻擊面較小，仍更容易受到攻擊。

弱密碼政策遭利用的真實案例

這些都不是紙上談兵。以下每起事件都始於一組憑證，顯示薄弱的密碼政策如何在不同產業和系統類型中造成營運與財務損失。

SolarWinds 供應鏈攻擊 (2020)

SolarWinds 更新伺服器上的弱密碼從 2018 年 6 月暴露至 2019 年 11 月，讓攻擊者取得存取權，進而引發一場 供應鏈入侵，波及美國聯邦政府部門與機關。

Colonial Pipeline 勒索軟體攻擊 (2021)

攻擊者入侵一個舊版 VPN 帳戶，取得一組憑證後，導致美國最大的成品油管線停運。該帳戶 未啟用 MFA。該公司支付了 440 萬美元的 Bitcoin 贖金。

同期進行的 DOI OIG 稽核發現，美國內政部未在資產上實施 MFA、允許多個帳戶重複使用密碼，也未及時停用閒置帳戶。這證實 Colonial Pipeline 事件反映的缺失模式普遍存在於聯邦機構。

Target Corporation (2013)

這起資料外洩事件暴露了數千萬筆支付卡紀錄。事後的資安評估 經 KrebsOnSecurity 報導，發現 Target 未落實密碼政策、含有有效網路憑證的檔案儲存在多部伺服器上，且各系統普遍使用弱密碼或預設密碼。評估人員利用這些弱密碼，立即取得系統管理員權限。

RockYou 資料外洩事件 (2009)

一個SQL 注入漏洞導致密碼以明文形式外洩，當時距離密碼雜湊技術問世已超過三十年。這起事件產生了 "rockyou.txt" 字詞表，至今仍是滲透測試與實際攻擊中常用的密碼破解字典。

密碼政策弱點的發展時間軸

從運算技術發展初期，攻擊者就開始利用密碼政策的弱點。以下時間軸從密碼驗證機制的發明談起，梳理至今重要的法規與標準變革。

這些標準多年來方向正確. 缺口在於部署. 要彌補缺口, 得先找出環境中薄弱政策實際存在的位置.

如何偵測薄弱的密碼政策

找出弱密碼, 既要主動稽核現有憑證, 也要即時監控驗證活動. 單靠任何一種方法都不夠.

主動稽核密碼雜湊

從 NTDS.dit 或 /etc/shadow 擷取密碼雜湊, 並使用破解工具, 搶在攻擊者之前找出可破解的密碼. 這是一種紫隊技術: 定期以攻擊者使用的工具檢查自身的憑證儲存庫. 對具有 SPN 的服務帳號而言尤其重要, 因為它們是 Kerberoasting 的目標. 

監控 Kerberos 票證 請求中使用 RC4 加密的情況, 並稽核大量 SPN 查詢, 兩者都是正在進行 Kerberoasting 偵察的跡象. 一份 CISA 公告 證實了這項風險: 該團隊在可供全球存取的備份中發現可讀取的 /etc/shadow 後, 使用常見字詞清單破解了高權限服務帳號的弱密碼.

透過 SIEM 關聯分析驗證異常

SIEM 平台應關聯分析的關鍵特徵包括:

• 憑證填充攻擊: 從單一 IP 使用多組不同的使用者名稱與密碼, 多次驗證失敗.
• 密碼噴灑攻擊: 輪流使用不同使用者名稱, 短時間內出現大量驗證失敗.
• 內部威脅: 在環境內執行密碼稽核工具.

關聯分析這些訊號, 必須集中匯入日誌並保留足夠長的時間, 才能發現進展緩慢的攻擊活動. 當單一帳號的閾值無法捕捉分散式攻擊時, 行為分析就能補足缺口.

憑證攻擊行為分析

以帳號鎖定為基礎的控制措施, 無法應對分散式密碼噴灑攻擊, 每個帳號每天只嘗試一次的攻擊, 或大規模憑證填充攻擊. 行為分析著眼於模式, 而非閾值. 

它會標記異常的裝置特徵, 非人類的互動流程, 不尋常的存取位置, 以及單一帳號同時登入的情況.

外洩憑證資料庫比對

CISA 的 FY2025 FISMA 指標 要求機構持續驗證: 帳號是否可能因先前外洩的憑證及已知弱密碼而遭入侵, 包括字典中的單字和使用者自己的使用者名稱. 這將外洩憑證資料庫比對定位為強制且持續的控制措施, 而非單次檢查.

身分威脅應變

SANS 的 身分攻擊分析將身分威脅偵測與回應 (ITDR) 定義為一套工具與最佳實務，用於保護身分系統、偵測系統遭入侵的情況，並有效完成補救. 核心挑戰在於，攻擊者使用有效憑證時，其活動會與合法活動混在一起. ITDR需要掌握雲端、地端及混合環境中的身分可視性，涵蓋所有使用者、所有人員與服務帳戶、所有存取權限及所有組態.

知道如何找出弱點後，下一步就是部署預防性控制措施.

如何防範薄弱的密碼政策

預防措施必須讓密碼政策符合現行法規標準，同時處理八項根本原因中的每一項.

強制密碼長度至少為 15 個字元

CISA 的 2025 年安全公告明確指出，密碼長度低於 15 個字元的政策會助長 T1110.001、.002、.003 和 .004 攻擊. 這是權威來源中最具實務依據的最高門檻. PCI DSS 常見問題要求支付卡環境設定最低密碼長度.

在所有存取點部署抗網路釣魚的 MFA

CISA 的 2025 年指引明確要求抗網路釣魚的 MFA，而非任何形式的 MFA 實作. PCI DSS v4.0.1 要求所有對持卡人資料環境的存取都使用 MFA，並依據常見問題 1595 接受 FIDO2 通行金鑰. NIST SP 800-63B-4要求驗證器保證等級 2 (AAL2) 和 AAL3 使用 MFA，其中 AAL3 另須具備抵禦驗證方冒充與驗證方遭入侵的能力.

比對外洩密碼資料集，篩查密碼

將所有新增及變更的密碼與已知遭洩漏的密碼、字典詞彙及使用者自己的使用者名稱進行比對. OWASP 建議至少比對最常見的弱密碼. CISA FISMA 指標要求持續監控，而非單次檢查. 以這種持續篩查方式取代強制定期更換密碼的規定.

排除不安全的儲存方式並建立憑證輪替機制

禁止以純文字儲存密碼，並定期稽核. 使用強效且加鹽的雜湊演算法: bcrypt、scrypt 和 Argon2. SANS 的 憑證輪替分析指出，組織必須具備每週輪替憑證的能力. 無法做到這一點，表示憑證管理的作業衛生不足. 這項能力需要專用的機密資訊管理基礎架構.

在 45 天內停用閒置帳戶

CIS Controls要求帳戶閒置 45 天後予以刪除或停用. SANS 指出，立即停用不活躍帳戶是身分與存取管理 (IAM) 的基本衛生措施.

使用專用管理員帳戶落實最小權限原則

將管理員權限限於專用管理員帳戶. 一般運算活動、網頁瀏覽、電子郵件及生產力工作，皆使用非特權帳戶. CISA CPG引用 NIST SP 800-53 Rev 5 AC-5「職責分離」及 AC-6「最小權限」作為適用的控制措施.

部署企業密碼管理工具

CISA 的 密碼指引建議在全公司部署密碼管理工具，確保每項資產使用獨立憑證.

政策就緒後，還需要工具，才能將它落實到一萬個帳戶.

偵測與預防工具

要大規模處理薄弱的密碼政策，必須結合主動稽核工具、驗證監控及政策執行基礎架構. 以下類別涵蓋主要的工具類型.

密碼稽核與破解工具 (主動檢測)

• Hashcat: 以 GPU 加速密碼稽核，也是主動破解雜湊值的主要工具.
• John the Ripper: 免費開放原始碼的密碼稽核工具，支援多種憑證格式.

這些工具能揭露環境中哪些憑證會被攻擊者使用的相同技術破解. 找出可破解的憑證後，還需要看見正在進行的利用嘗試.

網路與驗證監控

• SIEM 平台: 關聯端點、身分資料存放區及雲端服務的驗證事件，偵測密碼噴灑、憑證填充及暴力破解模式.
• ITDR 工具: 專為攻擊者已持有有效憑證、能混入正常活動的情況提供身分保護.

監控能揭露正在進行的攻擊，卻無法阻止攻擊. 政策執行工具則能補上監控所揭露的政策缺口.

政策執行

• Active Directory 群組原則: 在 Windows 環境中強制執行密碼最短長度、複雜度及歷史紀錄管控。
• 特權存取管理 (PAM): 自動將特權憑證存入保管庫並定期輪替，維持服務帳號與管理員密碼的安全性。

這些類別分別處理稽核、監控與強制執行。SentinelOne 將這些功能整合於單一平台。

SentinelOne 如何發揮作用

SentinelOne 的 Singularity™ Platform 涵蓋身分資料儲存庫、端點及回應階段的憑證攻擊鏈。

• 身分防護。 Singularity Identity 偵測 Active Directory 與雲端身分資料儲存庫中的憑證濫用及異常驗證活動。攻擊者透過暴力破解或憑證填充取得有效憑證後，Behavioral AI 無須已知特徵碼，就能揭露異常。
• 端點上的 Behavioral AI。 SentinelOne 的代理程式式 Behavioral AI 會在裝置層級分析程序行為，偵測憑證攻擊成功後的橫向移動與權限提升。
• Storyline 技術。 Storyline Active Response (STAR)™ 重建從最初濫用憑證，到橫向移動及存取資料的完整攻擊鏈，為分析師提供完整的鑑識脈絡。當攻擊者使用有效憑證活動數週，Storyline 會將相關活動串聯成統一的脈絡，無須分析師手動比對分散在不同工具中的事件。
• Purple AI™ 用於調查。 Purple AI™ 支援跨 Singularity Data Lake進行自然語言查詢，加速調查憑證相關事件。根據 IDC 的研究，Purple AI 客戶辨識威脅的速度提升 63%，平均回應時間 (MTTR) 縮短 55%。分析師可查詢與服務帳號相關的驗證異常，在數秒內取得關聯分析結果，無須耗費數小時查詢多個平台。
• AI SIEM 與 Data Lake。 SentinelOne 的 Data Lake 與 AI SIEM 可即時擷取任何來源的資料，並依開放網路安全架構框架 (OCSF) 進行標準化。AI SIEM 的運作速度比傳統 SIEM 快 100 倍，讓您在攻擊仍在進行時，關聯分析身分、端點與雲端遙測資料中的暴力破解、密碼噴灑及憑證填充訊號。
• 自主回應。 確認憑證攻擊後，SentinelOne 的自主回應引擎無須等待人工介入，即可隔離遭入侵的端點並阻止橫向移動。在 2024 MITRE ATT&CK 評測中，SentinelOne 產生的警示比競品少 88%。憑證事件發生時，分析師需要排查的雜訊也大幅減少。

預約產品展示，了解 Singularity Platform如何在您的環境中偵測並阻止憑證攻擊。

Reduce Identity Risk Across Your Organization

Detect and respond to attacks in real-time with holistic solutions for Active Directory and Entra ID.

Get a Demo

相關弱點

密碼政策薄弱，是更廣泛的驗證與憑證管理弱點之一。了解相關的 弱點類別，即可找出您環境中的相鄰曝險。

• CWE-798: 使用硬編碼憑證。 軟體含有編入原始碼的憑證，管理員無法變更。任何作業密碼政策都無法補救嵌入二進位檔的憑證。 CWE-798 必須在軟體開發生命週期中處理。 CWE-259 頁面則專門說明硬編碼密碼：反編譯已編譯的 Java 類別，即可揭露憑證字串。
• CWE-287: 驗證不當。 涵蓋驗證機制本身可遭繞過的情況。 CWE-287 頁面記載 CVE-2017-14623：某個 LDAP 套件允許使用空密碼繞過驗證。若驗證機制遭到完全繞過，即使採用最嚴格的密碼政策，也無法提供任何防護。
• CWE-262: 未採用密碼定期更換機制. 指未強制執行密碼到期規定。值得注意的是，這項 CWE 的定位有些特殊：其修正措施是強制定期更換密碼，但根據 NIST SP 800-63-4，這項措施如今本身也被質疑是否符合最佳實務。該 CWE-262 頁面引用了 2021 年一場題為「是時候淘汰 CWE-262 和 CWE-263 了」的社群討論。
• CWE-263: 密碼到期期限過長. 與 CWE-262 相反的缺失：雖有政策，但設定過於寬鬆，無法有效限制憑證的有效期限。
• CWE-307: 未適當限制過多的身分驗證嘗試. 在 OWASP A07 中與 CWE-521 一同對應，涵蓋缺乏速率限制或帳戶鎖定機制的情況。
• CWE-640: 弱密碼復原機制. 使用知識型安全問題的薄弱復原流程，讓強密碼政策完全失去作用。

追蹤實際揭露的漏洞，也能看出這類弱點在產品 CVE 中出現的頻率。

相關 CVE

下表記錄了與弱密碼政策、預設憑證及硬編碼憑證漏洞相關的 CVE。 

所有項目均連結至 SentinelOne 漏洞資料庫中已驗證的頁面，並依時間由新到舊排列。適用時亦標註 CISA 已知遭利用漏洞。

重點整理

薄弱的密碼政策始終是最常遭利用的身分驗證缺失之一，因為它讓攻擊者取得合法存取權。防堵措施早已明確列出，也都已可採用：提高密碼最短長度、抗網路釣魚的 MFA、比對外洩憑證資料集、加鹽雜湊及行為分析。 

清單上的每一項，都是貴組織本季就能決定採取的措施。落實這些措施，單一有效憑證就不再是入侵整個環境的途徑。