|
新聞中心
當(dāng)前位置：網(wǎng)站首頁(yè) > 新聞中心
云端原生數(shù)據(jù)泄露事件解析
將計(jì)算資源遷移至云環(huán)境帶來(lái)了以往在本地?cái)?shù)據(jù)中心領(lǐng)域中不存在的全新受攻擊面。因此，與物理數(shù)據(jù)泄露相比，云端原生數(shù)據(jù)泄露往往具有不同特征，發(fā)展過(guò)程也有所不同。以下是一個(gè)云端原生數(shù)據(jù)泄露的真實(shí)例子，數(shù)據(jù)泄露的演變過(guò)程以及如何避免數(shù)據(jù)泄露的發(fā)生。攻擊目標(biāo)簡(jiǎn)介：社交媒體/移動(dòng)應(yīng)用公司
這是一家擁有2000多萬(wàn)用戶(hù)的照片共享社交媒體應(yīng)用公司。該公司在Amazon Web Services中存儲(chǔ)了超過(guò)1PB的用戶(hù)數(shù)據(jù)。在2018年的一次大規(guī)模數(shù)據(jù)泄漏事件中，該公司不幸成為受害者，近2000萬(wàn)用戶(hù)記錄被泄露。事件的發(fā)展過(guò)程是這樣的。
第一步：入侵合法用戶(hù)。數(shù)據(jù)泄露的第一步往往是攻擊者入侵合法用戶(hù)竊取憑證。在此次事件中，攻擊者利用魚(yú)叉式網(wǎng)絡(luò)釣魚(yú)攻擊獲取了公司網(wǎng)絡(luò)環(huán)境的管理用戶(hù)憑證。
第二步：強(qiáng)化訪問(wèn)。入侵合法用戶(hù)之后，黑客即使不通過(guò)被入侵用戶(hù)，也可以頻繁地采取措施加強(qiáng)對(duì)公司網(wǎng)絡(luò)環(huán)境的訪問(wèn)。在此次事件中，攻擊者會(huì)通過(guò)在國(guó)外注冊(cè)的IP地址連接到公司的云環(huán)境，并創(chuàng)建了具有完全管理權(quán)限的API訪問(wèn)密鑰。
第三步：偵察。一旦成功進(jìn)入公司網(wǎng)絡(luò)內(nèi)部，攻擊者就需要了解該角色被授予的權(quán)限以及可以進(jìn)行的操作。
第四步：利用。一旦確定了賬戶(hù)的可用權(quán)限，攻擊者就可以繼續(xù)利用這些權(quán)限。在其他活動(dòng)中，攻擊者可以復(fù)制主用戶(hù)數(shù)據(jù)庫(kù)，并利用公共權(quán)限將其泄露到公司網(wǎng)絡(luò)外部。
第五步：泄露。最后，由于可以隨時(shí)掌握客戶(hù)信息，攻擊者可以訪問(wèn)2000多萬(wàn)條包含用戶(hù)個(gè)人信息在內(nèi)的用戶(hù)記錄，并且可以將這些信息從網(wǎng)絡(luò)中泄露出去。經(jīng)驗(yàn)教訓(xùn)
權(quán)限就相當(dāng)于受攻擊面：利用公有云環(huán)境就意味著，過(guò)去托管在企業(yè)內(nèi)部的資源現(xiàn)在脫離了系統(tǒng)管理員的控制，人們?cè)谑澜缛魏蔚胤蕉伎梢栽L問(wèn)這些資源。因此，公有云的運(yùn)維安全性是由能夠訪問(wèn)這些公有云工作負(fù)載的人及其所獲得的權(quán)限定義的。實(shí)際上，權(quán)限就相當(dāng)于受攻擊面。
過(guò)多的權(quán)限—頭號(hào)威脅：在云環(huán)境中，很容易就可以創(chuàng)建新資源并授予很多權(quán)限，但卻很難追蹤擁有這些權(quán)限的人。這種過(guò)多的權(quán)限常常被錯(cuò)誤地描述為錯(cuò)誤配置，但實(shí)際上是權(quán)限濫用的結(jié)果。因此，避免權(quán)限過(guò)多就成為了保護(hù)托管在公有云中的工作負(fù)載運(yùn)維安全的首要任務(wù)。
云端攻擊有典型的過(guò)程：盡管每次數(shù)據(jù)泄露事件的發(fā)展各不相同，但云端原生數(shù)據(jù)泄露攻擊通常都遵循一個(gè)典型過(guò)程，即入侵合法用戶(hù)賬戶(hù)、賬戶(hù)偵察、權(quán)限升級(jí)、資源利用和數(shù)據(jù)泄露。云應(yīng)該具備哪些優(yōu)勢(shì)?
保護(hù)您的訪問(wèn)憑證：您與下一次數(shù)據(jù)泄露之間只有一個(gè)密碼的距離。最大限度地保護(hù)您的云端賬戶(hù)憑證對(duì)確保這些憑證不落入不法分子之手至關(guān)重要。
限制權(quán)限：云端用戶(hù)賬戶(hù)通常會(huì)被授予很多不需要或從不使用的權(quán)限。黑客通常會(huì)利用已授權(quán)權(quán)限和使用權(quán)限之間的漏洞。在前面的例子中，攻擊者利用賬戶(hù)權(quán)限創(chuàng)建了新的具有管理訪問(wèn)權(quán)限的API密鑰，啟用了新的數(shù)據(jù)庫(kù)，重置了數(shù)據(jù)庫(kù)主密碼并將其泄露到企業(yè)外部。將權(quán)限限制在用戶(hù)僅需要使用的范圍內(nèi)，這樣可以幫助確保即使賬戶(hù)被入侵，攻擊者所能造成的損害也是有限的。
可疑活動(dòng)預(yù)警：由于云端原生數(shù)據(jù)泄露通常有共同的過(guò)程， 那么例如端口掃描、調(diào)用之前使用的API和授予公共權(quán)限這些特定的賬戶(hù)活動(dòng)就可以被確定為可疑活動(dòng)。向惡意行為指示器(MBIs)發(fā)送預(yù)警信息可以在數(shù)據(jù)泄露發(fā)生之前進(jìn)行阻止。
自動(dòng)響應(yīng)流程/機(jī)制：最后，一旦確定了惡意活動(dòng)，進(jìn)行快速響應(yīng)至關(guān)重要。自動(dòng)響應(yīng)機(jī)制可以在檢測(cè)到惡意活動(dòng)的同時(shí)將其攔截，并最終阻止了數(shù)據(jù)泄露。
|
