新聞中心
網(wǎng)站首頁 > 新聞中心 > 行業(yè)新聞
一個(gè)854 GB大小的MongoDB數(shù)據(jù)庫無人看管，無需密碼登錄驗(yàn)證即可查看和訪問中國求職者超過2億份非常詳細(xì)的簡歷。202,730,434 條記錄中的每條記錄不僅包含候選人的技能和工作經(jīng)驗(yàn)，還包括他們的個(gè)人信息，如手機(jī)號碼，電子郵件，婚姻，子女，政治，身高，體重，駕駛執(zhí)照，識字水平，薪水期望等。
該安全事件由HackenProof的安全研究員BobDiachenko發(fā)現(xiàn)，遭泄露的是MongoDB數(shù)據(jù)庫，其中存有大量中國求職者的詳細(xì)信息。據(jù)一位Twitter用戶查證，已被刪除的應(yīng)用主要來源之一是bj.58.com。安全研究員BobDiachenko表示：“經(jīng)過調(diào)查，MongoDB數(shù)據(jù)庫不安全且不受保護(hù)，因此無需通過高尖端的手段就可獲取用戶信息，實(shí)際上，大量的求職信息是通過簡單的BinaryEdge或Shodan搜索找到的，沒有任何密碼保護(hù)?！?/span>
該事件發(fā)生不久后，該數(shù)據(jù)庫被加入了保護(hù)機(jī)制，但這距離數(shù)據(jù)庫成立已過去很久，因此這種后來的保護(hù)很有可能起不到多少作用。根據(jù)MongoDB日志，至少有十幾個(gè)IP可能在脫機(jī)之前訪問了數(shù)據(jù)庫。對于事后“亡羊補(bǔ)牢”，JASK公司的安全研究主管RodSoto認(rèn)為，或許應(yīng)該要求軟件開發(fā)人員引入自動給代碼打補(bǔ)丁的機(jī)制。他說：“盡管這樣做能夠有效降低被互聯(lián)網(wǎng)上已知應(yīng)用程序攻擊的幾率，但強(qiáng)行更新或打補(bǔ)丁通常會帶來意想不到的后果?！?/span>
實(shí)際上，此類情況并非個(gè)例，如今有越來越多的用戶數(shù)據(jù)被置身于“裸奔”狀態(tài)，企業(yè)應(yīng)該正確的認(rèn)識到保護(hù)第三方數(shù)據(jù)庫的重要性。顯然，此次事件中簡歷網(wǎng)站并沒有行使保護(hù)數(shù)據(jù)安全的責(zé)任，讓數(shù)量如此眾多的用戶的簡歷信息被公開查閱。
數(shù)據(jù)必須受到保護(hù)，因?yàn)樗鼈兇嬖谟诹鞒躺芷谥械母鱾€(gè)環(huán)節(jié)。
數(shù)據(jù)通常是一個(gè)組織機(jī)構(gòu)最大最有價(jià)值的資產(chǎn)，這一特性使其成為了各種類型敵人（包括犯罪分子和民族國家）的首要目標(biāo)。幾乎每周都會有新的數(shù)據(jù)泄漏事件發(fā)生，持續(xù)提醒我們數(shù)據(jù)安全的重要性。僅在2018年上半年，就有944起數(shù)據(jù)泄露事件導(dǎo)致了33億條數(shù)據(jù)記錄遭到泄露。但是真正的數(shù)據(jù)安全是什么樣的呢？
許多解決方案都宣傳“端到端保護(hù)”的必要性以及他們有能力提供這種保護(hù)，但當(dāng)我們越過這些流行術(shù)語，我們是否清楚地知道保護(hù)數(shù)據(jù)意味著什么?
隨著攻擊途徑不斷增加，攻擊者變得越來越縝密，信息安全的方方面面都變得非常重要——從安全的數(shù)據(jù)存儲、傳輸和處理到訪問控制和有效的密鑰管理。如果有一個(gè)環(huán)節(jié)容易受到攻擊，則會破壞其他安全措施的有效性。這種來自多方面的風(fēng)險(xiǎn)需要一種全面的、以數(shù)據(jù)為中心的安全保護(hù)方法，這種方法應(yīng)該在其生命周期的所有環(huán)節(jié)關(guān)注保護(hù)數(shù)據(jù)本身，而不是只關(guān)注其周圍的網(wǎng)絡(luò)、應(yīng)用程序或服務(wù)器。組織機(jī)構(gòu)必須遵循如下原則始終確保數(shù)據(jù)安全：
a. 在文件系統(tǒng)，數(shù)據(jù)庫上或通過存儲技術(shù)保護(hù)靜態(tài)數(shù)據(jù)；
b. 當(dāng)數(shù)據(jù)在網(wǎng)絡(luò)中移動時(shí)，保護(hù)傳輸中的數(shù)據(jù)；
c. 在使用或處理數(shù)據(jù)時(shí)，保護(hù)正在使用的數(shù)據(jù)；
經(jīng)驗(yàn)告訴我們，如果存在有價(jià)值的數(shù)據(jù)正處于危險(xiǎn)之中，攻擊者會通過某種方法找到并接觸它們——我們不能只緊鎖大門；每一個(gè)入口都需要保護(hù)。因此，僅將加密局限在數(shù)據(jù)安全三要素——存儲、傳輸、使用中的一部分，是一種危險(xiǎn)的行為。保護(hù)靜止、傳輸和使用中的數(shù)據(jù)是至關(guān)重要的。
1 靜態(tài)數(shù)據(jù)
以任何數(shù)字形式存儲的非活動數(shù)據(jù)，靜態(tài)數(shù)據(jù)可能位于硬盤驅(qū)動器或數(shù)據(jù)庫、數(shù)據(jù)湖、云存儲或無數(shù)其他位置。在通常被認(rèn)為是最安全的數(shù)據(jù)狀態(tài)下，我們通常會將基于邊界的技術(shù)和解決方案視為第一道防線，并根據(jù)數(shù)據(jù)本身的用途和敏感性添加額外防線。這些額外防線包括加密敏感數(shù)據(jù)，無論數(shù)據(jù)存儲在本地還是存儲在云中。由于數(shù)據(jù)存儲的聚合性，靜態(tài)數(shù)據(jù)對于想要竊取大量有價(jià)值數(shù)據(jù)的攻擊者來說是一個(gè)很有吸引力的目標(biāo)。
2 傳輸中的數(shù)據(jù)
傳輸中的數(shù)據(jù)很容易受到攻擊，無論是通過專用網(wǎng)絡(luò)、本地設(shè)備，還是公共不可信空間。人們普遍認(rèn)為，加密傳輸中的數(shù)據(jù)是標(biāo)準(zhǔn)做法——這通常是安全團(tuán)隊(duì)保護(hù)數(shù)據(jù)資產(chǎn)時(shí)最先關(guān)注的環(huán)節(jié)之一。這是必須的，而且只要企業(yè)遵守正確的協(xié)議，傳輸加密就是一種有效的防線。
3 使用中的數(shù)據(jù)
如果前面描述的兩種數(shù)據(jù)狀態(tài)可以簡單地標(biāo)記為最容易理解和最容易解決的，那么使用中的數(shù)據(jù)應(yīng)該被貼上最容易被忽略的標(biāo)簽。因此，它很快就成為攻擊者最容易突破的地方。本質(zhì)上，數(shù)據(jù)使用領(lǐng)域的挑戰(zhàn)與缺乏對問題本身的認(rèn)識有關(guān)。這部分被忽略的原因是，安全領(lǐng)域的一些人錯誤地認(rèn)為，保護(hù)靜態(tài)數(shù)據(jù)和傳輸中的數(shù)據(jù)就可以了。
然而，隨著攻擊者越來越老練，再加上對計(jì)算機(jī)芯片處理機(jī)制普遍存在的缺陷的驚人披露，所有規(guī)模的企業(yè)都需要意識到保護(hù)正在使用的數(shù)據(jù)的重要性。當(dāng)我們使用數(shù)據(jù)來提取有價(jià)值信息時(shí)，數(shù)據(jù)是最有價(jià)值的，這可以通過執(zhí)行搜索或分析來實(shí)現(xiàn)。除了訪問控制和用戶身份驗(yàn)證，這類在任何安全計(jì)劃中都重要的部分之外，還有各種商業(yè)上可用的解決方案和技術(shù)方法可于抵御此漏洞，包括同態(tài)加密、安全多方計(jì)算和安全Secure Enclave技術(shù)。
我們都知道攻擊者正在成長，而我們的安全工作也必須跟上。保護(hù)方案必須識別和保護(hù)數(shù)據(jù)，因?yàn)閿?shù)據(jù)存在于流程生命周期中的各個(gè)環(huán)節(jié)，無論是靜態(tài)的、傳輸中還是在使用中。
1 部署問題
這就是數(shù)據(jù)庫安全版的博爾特一蹬出起跑器就被鞋帶絆倒。數(shù)據(jù)庫經(jīng)過廣泛測試以確保能勝任應(yīng)該做的所有工作，但有幾家公司肯花時(shí)間做數(shù)據(jù)庫安全性測試？
解決辦法：這個(gè)問題的解決辦法十分明顯：部署前做更多的測試，找出可被攻擊者利用的非預(yù)期操作。
2 離線服務(wù)器數(shù)據(jù)泄露
公司數(shù)據(jù)庫可能會托管在不接入互聯(lián)網(wǎng)的服務(wù)器上，但這并不意味著對基于互聯(lián)網(wǎng)的威脅完全免疫。無論有沒有互聯(lián)網(wǎng)連接，數(shù)據(jù)庫都有可供黑客切入的網(wǎng)絡(luò)接口。
解決辦法：首先，將數(shù)據(jù)庫服務(wù)器當(dāng)成聯(lián)網(wǎng)服務(wù)器一樣看待，做好相應(yīng)的安全防護(hù)。其次，用SSL或TSL加密通信平臺加密其上數(shù)據(jù)。
3 錯誤配置的數(shù)據(jù)庫
有太多的數(shù)據(jù)庫都是被老舊未補(bǔ)的漏洞或默認(rèn)賬戶配置參數(shù)出賣的。個(gè)中原因可能是管理員手頭工作太多忙不過來，或者因?yàn)闃I(yè)務(wù)關(guān)鍵系統(tǒng)實(shí)在承受不住停機(jī)檢查數(shù)據(jù)庫的損失。無論原因?yàn)楹危Y(jié)果就是這么令人唏噓。
解決辦法：在整個(gè)公司中樹立起數(shù)據(jù)庫安全是首要任務(wù)的氛圍，讓數(shù)據(jù)庫管理員有底氣去花時(shí)間恰當(dāng)配置和修復(fù)數(shù)據(jù)庫。
4 SQL注入
SQL注入不僅僅是最常見的數(shù)據(jù)庫漏洞，還是開放網(wǎng)頁應(yīng)用安全計(jì)劃(OWASP)應(yīng)用安全威脅列表上的頭號威脅。該漏洞可使攻擊者將SQL查詢注入到數(shù)據(jù)庫中，達(dá)成讀取敏感數(shù)據(jù)、修改數(shù)據(jù)、執(zhí)行管理操作乃至向操作系統(tǒng)發(fā)出指令等目的。
解決辦法：開發(fā)過程中，對輸入變量進(jìn)行SQL注入測試。開發(fā)完成后，用防火墻保護(hù)好面向Web的數(shù)據(jù)庫。
5 權(quán)限問題
涉及訪問權(quán)限，數(shù)據(jù)庫面臨兩大主要問題：
（1）員工被賦予超出工作所需的過多權(quán)限；
（2）合法權(quán)限被未授權(quán)或惡意使用。
解決辦法：權(quán)限分發(fā)時(shí)遵循最小權(quán)限原則，僅給員工賦予完成工作所需最小權(quán)限。數(shù)據(jù)庫訪問也要受到嚴(yán)格監(jiān)視，確保員工權(quán)限僅用于經(jīng)授權(quán)的操作。員工離職時(shí)需立即撤銷分發(fā)給他/她的權(quán)限。
6 存檔數(shù)據(jù)
與上一條相關(guān)，無論出于報(bào)復(fù)還是利益，員工通過盜取數(shù)據(jù)庫備份獲得大量個(gè)人資料的事屢見不鮮。
解決辦法：加密存檔數(shù)據(jù)，嚴(yán)密監(jiān)視存檔數(shù)據(jù)訪問和使用情況，可以大幅減少內(nèi)部人威脅。
