博客
什么是云泄漏?
抽象形状抽象形状
加入27,000多个网络安全通讯订阅者

似乎每天都有新的客户数据泄露事件。信用卡和银行帐号;病历; 个人身份信息(PII) 例如地址,电话号码或SSN-社交互动的几乎每个方面都有一个信息对应物,并且此信息提供给第三方的社交访问使许多人感到暴露在外时其隐私受到了严重侵犯。

发生这种情况的途径有几种,但是用来描述它们的名称通常是任意互换的,这使一个大而细微的问题变得更加混乱。违反,入侵,泄漏,攻击-这些只是用来描述数据泄露事件的一些术语。但是它们是什么意思呢?

  • 攻击 -攻击是有目的的尝试,旨在通过技术或社交手段造成损害或损失。攻击不一定会导致数据泄露。例如,拒绝服务攻击会破坏正常操作,但不会暴露信息。
  • 违反 -成功的攻击能够确保 敏感信息.
  • 哈克 -攻击 漏洞利用 技术漏洞,以保护未经授权的访问。可能会导致破坏,但也可能用于勒索软件(如WannaCry),建立僵尸网络或滥用计算资源。
  • 泄漏 -泄漏不需要外部参与者,而是由拥有数据的一方的某些行为或不作为引起的。

这里有些东西。例如,具有默认管理密码的可从Internet访问的数据库服务器几乎是一扇敞开的门,但是需要使用有根据的尝试。但是,在这四个术语中,泄漏与不是由第三方发起的泄漏是分开的。但是,有一种特定的泄漏造成了迄今为止许多最大和最危险的数据泄露。我们称这些为“云泄漏”,因为它们是在没有适当地从整个Internet对云存储进行适当分区时发生的。

什么是云泄漏?

云泄漏是指存储在私有云实例中的敏感业务数据意外暴露给互联网。云是互联网的一部分。区别在于“云”提供了可用于执行企业规模的IT运营的私有空间。通常由第三方信息分析公司处理的企业数据集通常未加密地存储在云中,期望它们的数据位于这些私有资源之一中。

但是,像Amazon的S3这样的云存储选项使用户可以将其存储打开到整个互联网。这里应该强调的是,默认情况下,S3存储桶是私有的。这意味着 每个涉及Amazon S3存储实例的云泄漏都已更改其权限 在某些时候由管理员处理数据。允许这些匿名公共权限时,“云”与互联网之间的边界将消失。然后,与您喜欢的网站一样,任何人都可以访问此数据。

但是无论是 亚马逊S3存储桶,Azure文件共享,配置错误的GitHub存储库或在云中设置的易受攻击的服务器,无法保证云实例的私密性会使数据面临风险。一旦发生错误,组织将很难证明在某些时候未访问数据。大多数人不知道从哪里开始寻找东西,而具有足够技术知识的人可能会出于好奇而随便浏览,但实际上有两类主要的人正在扫描云泄漏:安全研究人员和寻求利用所发现的信息进行杠杆利用的人,个人收益或权力。

云泄漏的例子

Verizon合作伙伴Nice Systems将600万条客户记录发布到Internet

这个信息, 从暴露的Amazon S3存储桶中泄漏,包括客户详细信息,例如姓名,地址和电话号码,以及一些帐户PIN,用于验证Verizon的身份。除了明显的隐私问题之外,暴露的数据还可能被恶意用来冒充客户,甚至绕过两因素身份验证。

RNC供应商数据根分析揭示了1.98亿个选民记录

其中一个 有史以来最大的泄漏 是在发现公开的云系统时发现的,该系统包含来自Data Root 分析工具的收集和建模的选民数据,Data Root 分析工具是由RNC签约的公司,负责数据驱动的政治战略。数据集中有超过1.98亿独特的个体,包括个人详细信息,选民信息和模型化的属性,包括可能的种族和宗教信仰。

政府承包商Booz Allen Hamilton暴露了地理空间数据和凭据

另一个公开的云存储实例 从政府承包商透露的数据 布兹·艾伦·汉密尔顿(Booz Allen Hamilton)。除了数据公开之外,存储桶还包含 加密 BAH工程师的密码和“授予对至少一个数据中心操作系统的管理访问权限的凭据”。在这种情况下,不仅信息受到损害,而且还可能会破坏其他系统,从而允许恶意行为者从公开暴露的云服务器跳到网络上的授权服务器。

操作问题

云泄漏是企业面临的独特风险。导致他们的错误的简单性与由此产生的后果的严重程度形成鲜明对比。充分利用云或聘用从事云服务的供应商,可以提供很多功能价值。但是,如果不考虑云技术固有的潜在问题,该功能将由于无法信任它而受到损害,从而导致无法信任使用它的公司。云泄漏是一个运营问题,必须在管理云中数据处理的IT流程中加以解决,才能有效缓解。

复印

要了解云泄漏是如何发生的以及为什么如此普遍,我们需要退后一步,首先了解一下泄漏信息的生成,处理和使用方式。几乎可以肯定地认为,这些庞大的 敏感数据 存在,并且公司正在与他们做事,但是当您检查信息处理的实践时,很显然组织大规模的恢复过程变得相当困难;操作差距和流程错误导致资产脆弱,进而导致云泄漏。

关于数字数据的一大优点是它可以廉价地复制且不会降级。除了在业务流程中使用生产数据外,组织通常还具有生产数据的多个副本。备份,仓库,灾难恢复,开发和测试环境,内部分析,外包分析,将数据复制到的便携式计算机,以便他们可以在家工作–清单还在继续。关键是数据是一次多的,就像单词数据本身如何在复数和单数之间混淆一样。数据集可以有很多副本,但是只有一个可能发生的泄露,即数据集被暴露。数据集的副本越多,发生违规的风险就越高。

信息经济

将数据视为通过监管链传递。数据的每个副本都驻留在服务器或磁盘阵列上,通过网络设备并通过防火墙,有时最终出现在工作站或便携式计算机上。如果配置不正确,它通常会最终存储在云中,在Internet托管的存储实例中,并且像链中的其他任何链接一样,也有暴露的潜在风险。

这些实践几乎发生在每个行业,并且随着规模的增长而增加。不只是政治竞选分析,电信或国防承包商,而是所有人。数字化是业务本身抽象概念的根本变化,其影响影响到各行各业的公司。因此,专门致力于数据处理的整个行业如雨后春笋般涌现,以支持其他公司的信息需求。大多数公司不直接处理数据。他们处理汽车,金融,医疗保健或小工具。因此,与许多第三级业务需求一样,它们将数据处理外包给了第三方,该第三方表面上具有更大的管理能力。

但是,随着数字化,增加的行为报告和其他类型的指标的发展,数据复制的简便性和公司可以从数据中提取的大量价值已迅速发展,并在可能的情况下将基础架构推向更快的速度和更大的容量。这些关键的,集中的,易于复制和分发的数据存储所带来的业务风险并未得到足够的重视。

云的价值

在某种程度上,分析供应商与云计算之间存在相似之处–一个将信息的人工(和风险)外包,而另一个则将技术外包。云的优势众所周知:整体基础架构优于小型数据中心;可以通过编程快速创建大量服务器,从而实现更好的流程自动化。云计算能力具有弹性,可以根据需要调整范围,并且可以轻松进行更改。但是,随着流程的加快和管理范围的扩大,运营差距不断扩大,微小但严重的错误配置使生产数据向公众公开。

在任何云环境(Amazon Web Services,Microsoft Azure,IBM Bluemix)以及任何可以通过事故,疏忽或错误将敏感企业信息公开的互联网托管基础设施中,都可能发生云泄漏。这一点很关键:默认情况下,几乎所有云设备(包括上面列出的云设备)都是私有的。这意味着在某些时候,默认权限已更改为允许公共访问。云泄漏不是由特定于平台的软件漏洞引起的,而是由缺乏必要控制以确保结果安全的过程造成的。

流程决定安全性

处理信息的方式因地而异,并且常常因人而异。这里有一些通用准则,例如,如果您身处受管制的行业,并且必须遵循PCI DSS,HIPAA或FERPA等标准。但是最终决定是否会发生云泄漏的日常工作在组织之间和组织内部差异很大。

考虑这种情况:一名系统管理员正在使用Amazon的S3云服务来管理一家分析公司的存储。系统管理员需要移动一些文件,因此在修改其他实例的同时,生产数据会临时复制到未使用的S3实例。一旦系统管理员最终修复了所有存储桶,生产数据就位,一切准备就绪。除了sysadmin忘记从临时S3存储桶中删除数据的副本之外, S3存储桶恰好配置为具有完全公共访问权限.

这似乎是人为错误。有人只是忘记做某事。发生在我们所有人身上,对不对?不完全是。真正的问题不是人犯了一个错误-这是必然发生的问题-问题是,从结构上讲,没有任何东西可以防止错误发生,或者至少可以立即发现错误,以便可以解决。

云泄漏不是黑客造成的,也不是单个IT员工的过错。它们是脆弱的业务流程的结果,这些业务流程无法处理云计算操作的复杂性和规模,并且无法靠运气弥补差异。默默无闻的安全性已荡然无存。例如,认为云实例是安全的,因为没有其他人知道URL,这是不真实的,也是错误思维的产物。当信息具有今天的价值,而全球企业的运营却足够脆弱,只能向匿名Internet浏览器打开数据时,将并且已经开发出了利用这种情况的技术。这就是为什么必须在创建,管理和维护信息技术的程序工作中内置弹性。

什么泄漏了?

客户信息

云泄漏中最常见的信息类型是客户数据。各个公司的数据不同,但是通常涉及一些共同的因素:

  • 身份信息 -名称,地址,电话号码,电子邮件地址,用户名,密码
  • 活动信息 -订单和付款历史,浏览习惯,使用情况详细信息
  • 信用卡资料 -卡号,CVV码,有效期,帐单邮递区号

此外,通常还会公开公司特有的任何信息。这可以是银行和投资集团的财务信息,医院和保险公司的医疗记录,对于政府实体,客户信息可以包括任意数量的敏感文件和表格。

公司信息

但是,客户信息并不是故事的结局。当存在云泄漏时,还有其他几种类型的数据会构成重大风险。公司信息也可能泄漏。这可以包括:

  • 内部沟通 -备忘录,电子邮件和详细说明公司运营的文件
  • 指标 -有关公司的绩效统计数据,预测和其他收集的数据
  • 战略 -消息详细信息,路线图,rolodexes和其他关键业务信息

暴露此类信息可能会束缚公司项目,使竞争对手了解业务运营,并揭示内部文化和个性。公司规模越大,对此类数据的兴趣就越大。

商业机密

但是,在云泄漏中暴露的最危险的公司数据类型是商业秘密。这是对企业本身至关重要的信息,其保密性使企业具有竞争能力,并且通常是企业的目标。 工业间谍。商业秘密可以包括:

  • 计划,公式,设计 -有关现有或即将推出的产品和服务的信息
  • 代码和软件 -企业出售或为内部使用而建造的专有技术
  • 商业方法 -市场策略和联系方式

显然,只有在对竞争对手保密的情况下,此数据才是有利的。对于公司而言,这种类型的暴露可能是灾难性的,它会浪费多年的研究和工作,使企业提供的产品和服务贬值。

分析工具

最后,分析依赖于包含多个信息源的大型数据集,以揭示大图趋势,模式和轨迹。分析功能强大,可以通知业务决策,执行此类分析所需的数据也是 向量 暴露时的危险。此类型的一些数据包括:

  • 心理数据 -首选项,个性属性,人口统计,消息传递
  • 行为数据 -有关某人如何使用网站的详细信息,例如
  • 建模数据 -根据收集到的其他信息预测属性

该信息在将个人理解为一组数据点,然后以较高的准确度预测相关的其他数据点方面具有非常强大的功能。听起来可能很抽象,但可以认为这是在选民身上收集的信息类型,可帮助政治运动更有效地进行大规模说服。

一切

业务数字化。一切都是某种类型的信息,并且如果没有适当的流程控制,这些信息可能会泄漏到云中。上面的示例列出了某些类型的敏感和危险信息,但实际上所有内容都处于危险之中。企业业务的任何方面(以及个人生活)都有其信息集。当我们说云泄漏是一个业务问题时,我们的意思是信息和技术对现代企业至关重要,因此它们的风险已经存在。

如何利用云泄漏

你知道的恶魔

在检查以上信息的类型时,可能会立即显示一些明显的威胁。这些媒介已经存在一段时间了,信息是通过云泄漏还是通过黑客或 网络钓鱼 电子邮件,许多后果是众所周知的。我们将简要介绍如何广泛利用此类信息,然后继续介绍更复杂的用途以及未来的发展方向。

信用卡诈骗

利用泄露的数据进行的犯罪的第一个也是最明显的例子是信用卡欺诈。通过在线订购,人们可以通过互联网以及他们光顾的任何业务的系统传递其信用卡详细信息。人们已经对交易过程给予了极大的关注,并在信息经过互联网时对其进行保护,但是对于存储数据后发生的事情却很少。正如我们在上一篇关于云泄漏的文章中所看到的,出于各种目的重复复制数据,信用卡数据也不例外。撇渣器每天可能获得一百张信用卡,但是涉及云泄漏的数据库可能包含数百万张,并且不需要安装和配置恶意软件撇渣器。

黑市销售

通常,获得数据的人和使用数据的人是分开的。黑市信息交易已成为一种经济增长方式,利用难以追踪的加密货币(例如比特币),将被破坏的数据出售给暗网上的最高出价者。在这种情况下,信息检索器专门用于从 不安全的云实例,来自弱势群体 数据库,通过 社会工程学-尽管信息购买者专门使用这些信息,但是信用卡计划,SSN和身份欺诈,垃圾邮件和网络钓鱼操作。

勒索/屈辱

有时,暴露的信息被保存在公司的头上,以勒索赎金或仅仅是为了羞辱该公司。 勒索软件 attacks like 想哭 锁定资产和数据,但是云泄漏会将这些数据提供给正在寻找的任何人。希望破坏与他们不同意的公司的激进主义者可能会发现,共享他们的薪资结构,内部沟通或业务计划是有利的。无论具体情况如何,事实都是云泄漏给潜在的对手带来了难以置信的杠杆作用。

竞争优势

除了犯罪行为者,竞争对手还可以轻松利用云泄漏中暴露的信息。从客户清单到商业机密的所有内容使其他公司可以访问资源和策略。竞争洞察力是每家公司作为其营销运营的一部分而进行的工作,而云泄漏中暴露的信息使这种洞察力变得更加清晰。

如何利用云泄漏

社会工程学

我们在前面提到了网络钓鱼攻击。最有效的网络钓鱼攻击称为 鱼叉式,因为 假电子邮件 使用已知信息更好地模仿权威人物或执行人员,将注意力集中在收件人身上。网络钓鱼攻击的有效性取决于其对阅读者的说服力。很容易发现许多错别字并使用奇怪的格式或HTML,但其中的最好的一眼看上去是真实的。云泄漏中暴露的信息,尤其是 心理数据 和其他行为分析,正是要强化的信息类型 社会工程学 攻击,使攻击者能够使用原本不应该知道的有关目标的信息。

指定目标

个人身份信息(PII) 可以用于信用卡欺诈以外的用途。获取某人的个人信息并违背他们的意愿将其发布是一种称为“ doxxing”的做法,这样做的原因有多种,但总是使被xxoxed的人容易受到未知数量匿名人士的攻击。如果发生政治极端主义,仇杀,骚扰或缠扰行为,PII的暴露会导致对人的实际伤害。使云泄漏特别危险的是,它们不需要任何特殊的技术技能即可利用-只需去获取数据即可。这大大拓宽了潜在发现者的范围。

监视与影响

到那个时刻 心理数据,潜在用途是无限的。获得心理数据的真正目的是更好地预测人们的反应方式并形成反应方式。政治运动使用它来赢得选票。企业使用它来赢得客户。仅给出了这类分析的正常使用案例,就很容易看到有动机的第三方,另一州或私营企业如何通过云泄漏获取此数据,并将其最终利用。当一个 RNC承包商泄露了选民数据 几乎每个已注册的美国选民中,这不仅违反了隐私,而且还可能操纵他人。

破坏

最终,云泄漏通过将未经审查的信息直接公开给公众,从而给业务运营带来了麻烦。如我们所见,云泄漏中暴露的信息可能对公司乃至政府产生严重后果。破坏性攻击并不新鲜;拒绝服务攻击的目标是简单地防止使用资源。信息中断是这种类型的新类别。什么时候 公司信息暴露在云中,这为该公司脱轨提供了机会。这些攻击背后的动机可能是从激进主义到赢利,但在敲诈勒索的情况下,将这些数据暴露给全世界,将使未知的第三方对商业利益产生极大的影响。

问为什么云泄漏很重要,就像问数据为何重要。答案是相同的-信息赋予人员和组织权力。数据无意间公开给他人,使其他人有机会对数据的所有者施加这种权力。我们概述了一些已知的和可能的表现形式。但是无论数据如何被利用,只要我们的经济,通讯和社会数字化,数据都是有价值的。当涉及到客户数据时,云泄漏很重要,其主要原因是数据代表了真实的个人,他们常常不得不承担泄漏的后果。收集数据并使用其来改善业务的公司有责任谨慎处理。

如何防止云泄漏

当我们检查漏洞,攻击,黑客和漏洞之间的差异时,这不仅是一项学术活动。我们对这种现象的思考方式会影响我们对此的反应方式。简而言之:云泄漏是一个运营问题,而不是安全问题。云泄漏不是由外部参与者造成的,而是由数据处理程序的日常工作中的操作差距引起的。公司创建和维护云存储的过程必须考虑公众暴露的风险。

验证方式

云存储为IT操作提供了速度,可扩展性和自动化。公司根据需要将生产数据集移入或移出云存储,通常将同一存储桶重用于多个任务。如果没有适当的照顾,敏感数据集很容易被移到不安全的存储桶中。这就是为什么应在部署期间以及在托管生产数据的整个过程中验证云存储配置的原因。连续验证可以使风险可见,甚至可以在允许公共访问的情况下主动通知管理员。

流程验证是防止云泄漏的关键的一个例子是,Amazon的S3存储是 默认为私人。这意味着必须在某个时间点对权限集进行更改,才能使存储桶公开。仅当没有适当的控件来验证权限是否正确时,这种更改(添加对“所有用户”或“经过身份验证的用户”组的访问)才可能无意中发生。同样,如果 敏感数据 被移到已经公开的存储桶中,因此不存在围绕数据处理的过程控制来检查权限。

导致云泄漏的不是人为错误。处理错误。人们在所有事情中都会犯错误。企业IT极为复杂,加剧了我们偶尔混乱的自然趋势。这就是为什么必须在流程级别进行控制(结构化,自动验证)以检查已完成的工作的原因。必须重复进行的操作以及操作不正确时可能会危害公司的风险,必须对其进行控制以最大程度地降低该风险。

自动化

在企业范围内,只有将验证放入高速工作流程中,才能实现验证。当配置验证成为流程的瓶颈时,强制执行的可能性将大大降低。如果它依靠某人手动检查每个配置,那么它不仅不能足够快地完成,而且会遭受与原始设置相同的人为错误。与我们相比,计算机在保持系列之间的一致性方面要好得多。自动化流程控件应充当可执行文档,在其中可以详述重要标​​准,例如确保所有云存储均为私有的,然后对照任何云存储实例的实际状态进行检查,以确保它们符合要求。

例如,如果我们是 在企业中配置S3存储桶,而不是在AWS控制台中手动创建存储桶并浏览清单,我们应该使用Amazon API自动执行存储桶的程序化创建,并在创建存储桶后在流程中进行验证步骤,以检查诸如互联网暴露之类的关键设置。这样,当需要创建云存储实例时,管理员可以启动脚本并确保新创建的存储桶可以正常使用。

自动化还允许在资产的整个生命周期中连续执行配置验证。这样可以确保始终可见资产。企业数据中心内的变化是恒定的;良好的流程可以验证更改没有违反基本标准,并在更改时立即提醒人们。

第三方风险

进一步掩盖问题的是经常发生云泄漏的距离:进行信息处理的第三方供应商意外地将信息暴露在云中。由于数据集在客户的心目中与主要公司相关联,因此他们将被视为对泄漏负责,就好像它是他们自己的服务器一样。这使得评估和优化第三方网络风险与内部弹性一样重要。

与另一家公司合作以处理敏感信息应始终对该公司的做法进行评估,以便可以理解它们因处理数据而带来的风险。在内部网络安全上花费数百万美元只是将相同的数据外包给某个人,而这些人却将其暴露在云中是没有意义的。供应商的选择和评估应与公司在保护其内部资产和信息时采取的谨慎态度相同。

UpGuard如何帮助防止云泄漏

UpGuard通过自动进行云存储验证来解决云泄漏问题。公共访问是最危险的,但是像任何数字表面一样,云存储的总体配置状态决定了其弹性。 UpGuard不仅会扫描存储实例是否公开,而且还会检查云平台和服务器本身是否有可能导致数据泄露的错误配置。 UpGuard还可以验证其他面向互联网的泄漏源,例如配置错误的GitHub存储库,以及  易受攻击的rsync服务器。

用 UpGuard的视觉政策,管理员一眼就能知道哪些云存储实例是公共的,哪些是私有的。新存储桶可在配置过程中使用UpGuard的API自动进行验证,并与诸如 木偶厨师和 Ansible.

UpGuard程序仪表板

用 UpGuard程序,云配置和维护流程可以实现自动化,并且可以端到端进行验证,从而降低了操作风险。可执行文档在按流程排列时效果最佳,因此可以将程序步骤逻辑上链接在一起并依次进行验证。这产生了可信赖的资产,并大大降低了配置错误的风险,例如意外的公共风险。

例如,在AWS上自动创建新Linux Web服务器的过程可以:

  1. 验证S3存储桶是私有的并且已正确配置.
  2. 验证每个云服务器的AWS设置,例如实例类型和位置.
  3. 根据公司政策验证服务器设置.
  4. 根据CIS安全基准测试服务器.
  5. 验证特定的Web服务器配置,例如http.conf和 SSL协议.

与没有这些控制措施的云服务器和存储相比,以这种方式部署的云服务器和存储的数据暴露风险大大降低。

UpGuard关注了供应商的仪表板

UpGuard还提供外部供应商评估,分析和可视化负责处理您的数据的第三方带来的相对风险。比较供应商和合作伙伴与类似公司,以了解他们如何在自己的领域进行评估。我们的外部评估将互联网上可见的所有相关安全实践汇总为 单一风险评分.

其中包括供应商所有URL的网站详细信息;电子邮件和域安全,例如针对 网络钓鱼;开放端口,例如Microsoft的SMB,已被 勒索软件 attacks like 想哭 和Petya,以及业务细节,包括员工满意度和CEO认可度。

结论

云泄漏是操作错误而非人为错误的结果。一个过程缺少必要的控制,无法随着时间的推移可靠地产生良好的结果。防止云泄漏的方法是通过对所有关键资产进行自动验证来弥补这些操作差距。发生云泄漏的原因是因为没有人知道敏感数据已暴露给Internet。像上面概述的过程控制一样,过程控制保证了这些知识可以立即浮出水面,以便可以在其成为更大的问题之前加以解决。

使用UpGuard防御网络攻击

在UpGuard,我们可以 保护您的业务免受数据泄露 并帮助您持续监控 您所有供应商的安全状况.

您的企业是否有遭受安全破坏的风险?

点击这里 立即获得免费安全等级!

自由

白色UpGuard徽标
可供下载的UpGuard免费资源
学到更多

下载我们的免费电子书和白皮书

关于网络安全和供应商风险管理的见解。
白色UpGuard徽标
电子书,报告& Whitepapers
可供下载的UpGuard免费资源
UpGuard客户支持团队UpGuard客户支持团队UpGuard客户支持团队

观看UpGuard的实际应用

与我们的一位网络安全专家预订免费的个性化入职电话。
抽象形状抽象形状

相关文章

了解有关网络安全的最新问题的更多信息。
传送图标

注册我们的时事通讯

每周在收件箱中获取最新精选的网络安全新闻,漏洞,事件和更新。
抽象形状抽象形状
免费即时安全评分

您的组织有多安全?

索取免费的网络安全报告,以发现您的网站,电子邮件,网络和品牌上的主要风险。
  • 检查图标
    您可以立即采取行动的即时见解
  • 检查图标
    13个风险因素,包括电子邮件安全,SSL,DNS运行状况,开放端口和常见漏洞
网站安全扫描结果网站安全扫描等级抽象形状