2023 年云数据安全现状

2023 目录 执行摘要…………………………………………………………………….. 2 第1部分：了解您的数据—您的敏感数据在哪里？……………………. 3 第2部分：谁能访问您的敏感数据？……………………………. ………. 9 第3部分：您的敏感数据流向何处？…………………………………….. 16 总结和结束语………………………………………………………………..21 执行摘要 随着前所未有的海量数据被存储到云中，现在是审视如何处理这些数据以及我们能从中学到什么的最佳时机。到目前为止，我们只能通过调查来估算敏感数据所在的位置以及目前有多少敏感数据处于风险之中。为什么？因为缺乏能够有效、及时进行了解和评估的工具。 本文是对存储在各种公有云环境（我们的“样本数据集”）中的超过130亿个文件和8 PB信息进行分析研究的后续报告。我们希望本文能提高人们对当今工作环境中如何处理敏感数据的认识和责任感。 第1部分 了解您的数据您的敏感数据在哪里？ 尽管云技术通过数据民主化增强了企业的能力，但它同时也加剧了数据的蔓延。数据不断被共享、复制、转换和遗忘。在云中操作数据的便利性导致敏感数据跨服务、云和地域扩散，往往会导致安全和合规性漏洞。 敏感信息其实无处不在。 对许多企业至关重要的数据分类示例： 敏感信息的类型 1.个人身份信息(PII)：可用于识别个人身份的数据，如全名、社会保险号、驾照号或护照号。2.财务信息：与财务交易和帐户有关的数据，如信用卡号、银行帐号和投资信息。3.商业机密信息：公司专有并能为公司带来竞争优势的数据，如商业秘密、商业计划和市场调研。4.健康信息：与个人健康状况和病史有关的数据，如诊断、治疗计划和处方信息。5.知识产权：与专利、商标、版权和商业秘密有关的数据。6.政府信息：政府机构机密或限制的数据，例如国家安全信息、执法记录和军事机密信息。7.员工信息：与雇员有关的数据，如工资单信息、工作绩效评估和纪律记录。 我们的研究表明，企业最常保存的敏感数据类型是个人身份信息(PII)，其中包含员工和客户的数据。一个更令人惊讶的发现是，公司还保存了员工的健康信息，如医疗保险和新冠疫苗接种情况。 在对10亿条记录的抽样调查中，我们发现21%的PII包含电子邮箱地址，其次是电话号码和街道地址。 超过1000万* 社会保险号被发现，这是第六大最常见的敏感信息类型。 300万* 信用卡号也被发现，这是第七大最常见的类型。 结构化和非结构化托管服务中超过30%的数据包含敏感信息。 以下是不同敏感数据类型的分布图。 敏感数据形式多种多样。 图示是我们在客户环境中发现的指标及其分布示例。 非生产环境包含大量敏感信息。超过40%的开发人员机密、30%的PII和20%的财务信息位于非生产环境中。 生产与开发 非生产环境中的敏感信息 超过40 %开发人员机密 20%财务信息 为什么如此重要？ 开发环境(dev)被视为沙盒环境。从本质上讲，这些环境往往不太安全，也较少受到监控，因此比其他环境更容易受到攻击。 这就是为什么开发环境对攻击者更有吸引力—许多已知的漏洞（如Uber泄露和Lastpass）都是从开发环境开始的。 开发环境可能会吸引最初的突破口，这往往会导致更高的权限或访问包含更敏感信息的环境。 您的敏感数据是否存在风险？ 建立数据安全的第一步是识别和定位整个企业的所有敏感数据。一旦发现数据并对其进行分类，就必须立即对状态进行评估，确保采取适当的控制措施进行保护。 ●缺乏加密使未经授权的行为者能够访问敏感数据●缺乏全面的日志记录防止跟踪用户交互和访问尝试，这对主动威胁检测、事故响应和取证调查至关重要●向世界（公众）开放的敏感数据超出“有必要知道”的原则暴露数据，违反数据隐私法规 本文提及的与数据资产相关的风险类型包括： 公开暴露的数据类型 15%的开发人员机密公开暴露出来 4%的PCI和PII公开暴露出来 公开暴露 存储资产面临风险 超过7%包含敏感数据的存储服务是公开的。 超过60%的存储服务没有进行静态加密，近70%的存储服务缺乏全面的日志记录。 数据库资产面临风险 91%带有敏感数据的数据库服务没有进行静态加密，20%缺乏全面的日志记录，1.6%则向公众开放。 合规要求下的敏感数据 PCI法规明确要求对敏感信息进行审计和静态加密。 超过 大约 60%的信用卡信息缺乏全面的日志记录 的信用卡信息没有静态加密 第1部分 要点 敏感数据无处不在，但大多数公司都不知道自己的数据存放在哪里，也不知道其中包含哪些类型的敏感信息，从而使自己暴露在危险之中。 1 与生产环境一样，开发环境中的安全问题也同样重要，攻击者会利用最薄弱的环节入侵。 2 3 尽管有专家进行了风险评估，但一些敏感数据仍有可能受到威胁，包括可公开访问、未记录下来和未加密的数据。 通过了解敏感数据的存储位置，可以简化风险管理，提高数据安全性。 第2部分 谁能访问您的敏感数据？ 本节通过研究可能导致敏感信息暴露的角色，讨论谁才有权访问敏感信息。我们还研究了云帐户之间共享敏感信息的风险，并探讨了访问存储资产和管理数据库中敏感信息的问题。 管理员与消费者 为了更好地理解敏感数据是如何暴露的，我们研究了一个主体对敏感资产的权限，并将其分为两类： 允许主体读/写数据。 允许主体更改资产配置。例如，主体可以公开资产或为国外帐户添加直接访问权限。 只有拥有消费者权限的主体才能实际访问敏感信息。 管理员权限可能导致暴露敏感信息。 例如，拥有管理员权限的主体可以向远程帐户授予直接访问权限，或将数据公开。 我们的研究表明 这是一个令人担忧的信息，因为它意味着敏感数据很容易被访问。 大约 的主体对PCI数据拥有消费者访问权限 职责分离 职责分离(SoD)是安全领域的一项重要最佳实践。例如，DevOps工程师需要访问权限来管理数据资产。这个人不是数据的消费者，因此不应该接触到数据本身。 为了确定在云环境中是否落实了这一最佳实践，我们询问了有多少拥有管理员权限的主体同时也拥有消费者权限。 我们发现，所有拥有管理员权限的主体同时也拥有消费者权限，这就违反了职责分离的最佳实践。 100%拥有管理员权限的主体同时也拥有消费者权限 敏感资产的权限泛滥 可以将对云平台中资产的访问权限专门授予某个主体、所有主体或所有资产。例如，在AWS中，可以使用“*”符号表示云中的所有资源，或使用“S3:*”表示所有S3存储桶。 只有不到5%的角色是通过明确的帐户类型（消费者或管理员）授予的，而其余95%则是通过过度宽松的特权授予的。 这是一个警告信号，表明敏感数据需要得到更加谨慎的保护和看管。 95% 拥有管理或消费者权限的主体被授予了过度的权限 访问托管数据库 托管数据库提供两层基于角色的保护： 2数据库内部基于角色的内容保护 基于角色的云平台保护(IAM) 第一层代表资产的管理权限，而第二层代表需要凭据才能连接数据库并使用数据的消费者权限。 如果有一定的平台管理权限，云主体就可以访问数据库中的数据，而不会收到对数据的隐式访问权限。 我们收集了访问托管数据库内数据的所有可能操作，并核实了： 谁有权执行危险操作？ 这可以通过某些操作来实现—例如，重置管理员密码、公开数据库或导出数据库。这些权限非常强大，应根据“有必要知道”原则授予。 对于托管数据库，结果更加不容乐观。“过度”已经成为了游戏规则。 8% 生产和开发中的权限泛滥 如上一节所述，敏感信息不仅存在于生产(prod)环境中，也存在于开发环境中。 开发与生产托管数据库中权限泛滥的分布情况 我们考察了生产环境和开发环境中敏感资产的访问权限，发现两者的权限暴露率相似。 此外，与开发环境相比，主体在生产环境中接触到敏感资产的可能性更低。 托管数据库 有修改权限的主体有导出权限的主体有连接权限的主体 8% 存在访问风险的敏感资产 的敏感数据与其他帐户共享 帐户之间或项目之间共享的敏感资产会增加数据暴露的风险并削弱资产的安全态势，因为权限是在远程帐户中管理的。 55%的共享资产是与同一企业内的其他帐户共享的 我们发现，近8%的敏感数据资产是与其他帐户或项目共享的。 36%的共享资产是与企业外的其他帐户共享的 总体而言，超过2%的敏感数据资产因远程帐户的直接访问而面临风险。 9%的共享资产是与第三方供应商共享的 第2部分 要点 我们展示了职责分离的概念是如何在云中被忽视，没有得到执行的。建议从管理角色中删除消费者访问权限。1 虽然大部分访问权限都是通过过度宽松的权限授予的，还是建议为每个资产授予明确的权限。2 帐户之间共享敏感数据会削弱控制，增加数据暴露的风险。减少敏感数据对多个帐户的暴露。3 在云中，基于权限和角色的访问控制(RBAC)不足以提供保护。还需要另一个安全层来管理敏感信息和通往敏感信息的所有路径。更多信息，请参阅总结。4 第3部分 您的敏感数据流向何处？ 当发生安全事故时，我们要问的问题包括： 什么被拿走了？什么时候拿走的？谁拿走的？从哪里拿走的？怎么拿走的？ 回答前四个问题有助于我们回答第五个问题：谁在访问敏感数据？ 在上一章中，我们询问了谁可以访问敏感数据。现在，我们想知道究竟是谁在使用自己的权限访问敏感数据。 敏感数据资产平均由14个不同的主体访问。 平均而言，约85%包含敏感数据的存储桶由12个主体访问。 哪些类型的服务可以访问数据？ Hadoop Hadoop的流量最大，占到37%，这使得敏感数据面临风险，因为数据被复制到非托管环境中。 涉及敏感信息的活动是在存储资产之间进行复制 Snowflake 另有2.6%的活动是由Snowflake或其他数据湖解决方案摄取的数据。 平均有多少服务访问敏感的存储资产？ 您的敏感数据资产是从哪里被访问的？ 从不同地理位置访问敏感信息是很常见的。 一些法规（如GDPR）明确限制敏感信息离开其所在的地理位置。 每两个资产中就有一个以上(56%)是从多个地理位置访问的。 26%的敏感数据资产由五个不同的地理位置访问。 数据流向何处？ 随着数据的流动，风险也在增加。 数据流风险 30% 超过 敏感存储资产中的流量来自其他存储资产，这意味着数据被复制。 在不同地区之间复制数据会加倍暴露风险，如果在不同的地理位置进行复制，还可能导致违反合规性规定。 敏感资产面临数据流风险 2%转移到开放世界资产 4%转移到外国项目 2%转出生产环境外 各公司的数据流风险 2%的公司面临着敏感信息从生产环境流向开发环境的风险。 6%的公司有敏感数据被转移到公开开放的资产中。 由于开发环境本质上安全性较低，监控较少，因此敏感数据存在风险。 第3部分 要点 许多主体都经常访问敏感数据。尽量减少过度宽松的权限，持续监控主体对敏感数据的访问，减少敏感数据的暴露。1 2 开启敏感数据资产的日志记录，以便进行监控。 数据流代表着重复，增加暴露风险。将流量降至最低，确保目的地安全。 确保数据流不违反内部监管和外部合规性要求。 总结和结束语 我们将这段旅程分为三个部分。 我们还讨论了在云帐户之间、从生产环境到开发环境以及与国外帐户和第三方供应商共享敏感信息的危险。 在第一部分中，我们看到敏感信息没有特定的位置，而是遍布整个云生态系统。我们还看到，在涉及到敏感信息时，生产环境和开发环境之间的边界是如何模糊不清的，这增加了敏感数据暴露的风险。 在我们研究的第三部分也是最后一部分中，我们深入研究了敏感数据的流向。我们发现敏感数据流出了其原始地理位置之外。随着越来越多的敏感数据被各种主体、应用程序和地理位置访问，其暴露或外泄的风险也越来越大。 在第二部分中，我们重点关注包含敏感信息的资产的权限。我们强调必须厘清职责，避免过度授权。我们