云安全服務(wù)提供商Orca Security公司日前表示,網(wǎng)絡(luò)攻擊者通常能夠在兩分鐘內(nèi)發(fā)現(xiàn)暴露的“秘密”,即允許訪問受害者云計(jì)算環(huán)境的敏感信息,在許多情況下,網(wǎng)絡(luò)攻擊者幾乎立即開始利用這些秘密,這凸顯了對全面云安全的迫切需求。
該公司的這項(xiàng)研究是在2023年1月至5月期間進(jìn)行的,首先在9個(gè)不同的云計(jì)算環(huán)境中創(chuàng)建“蜜罐”,模擬云中錯(cuò)誤配置的資源,以吸引網(wǎng)絡(luò)攻擊者。
【資料圖】
云蜜罐Orca Security公司創(chuàng)建的每個(gè)云蜜罐都包含一個(gè)AWS密鑰,然后對它們進(jìn)行監(jiān)控,測試網(wǎng)絡(luò)攻擊者是否以及何時(shí)會上鉤,以了解哪些云計(jì)算服務(wù)最常被攻擊,網(wǎng)絡(luò)攻擊者訪問公共資源或容易訪問的資源需要多長時(shí)間,以及網(wǎng)絡(luò)攻擊者發(fā)現(xiàn)和使用泄露的秘密需要多長時(shí)間。
Orca Security公司云計(jì)算威脅研究團(tuán)隊(duì)負(fù)責(zé)人Bar Kaduri表示:“雖然這一策略因資源而異,但我們的研究表明,如果一個(gè)秘密被曝光,它就會被利用?!?/p>
Kaduri繼續(xù)說道,“我們的研究表明,網(wǎng)絡(luò)攻擊者發(fā)現(xiàn)暴露的秘密的速度非???,而且不需要很長時(shí)間就能將其武器化。在這種環(huán)境下,企業(yè)必須確保他們的數(shù)據(jù)資產(chǎn)不會被公開獲取,除非絕對必要,并確保秘密得到妥善管理?!?/p>
雖然Orca Security公司預(yù)計(jì)網(wǎng)絡(luò)攻擊者會很快找到蜜罐,但研究小組仍然對一些蜜罐被發(fā)現(xiàn)和利用的速度感到驚訝。
蜜罐的發(fā)現(xiàn)和利用(1)易受攻擊的資產(chǎn)幾乎立即被發(fā)現(xiàn)錯(cuò)誤配置和易受攻擊的資產(chǎn)可以在幾分鐘內(nèi)被發(fā)現(xiàn)。GitHub、HTTP和SSH上暴露的秘密都在五分鐘內(nèi)被發(fā)現(xiàn),在不到一個(gè)小時(shí)的時(shí)間內(nèi)發(fā)現(xiàn)了AWS S3存儲桶。
(2)密鑰使用時(shí)間因數(shù)據(jù)資產(chǎn)類型而異Orca Security公司在兩分鐘內(nèi)觀察到GitHub上的密鑰使用情況,這意味著暴露的密鑰幾乎立即被泄露。對于其他資產(chǎn),這個(gè)過程要慢一些。對于S3存儲桶,密鑰泄露大約需要8個(gè)小時(shí),而對于Elastic Container Registry,這個(gè)過程需要將近4個(gè)月。
(3)并非所有數(shù)據(jù)資產(chǎn)都會一視同仁數(shù)據(jù)資產(chǎn)越受歡迎,訪問越容易,包含敏感信息的可能性越大,網(wǎng)絡(luò)攻擊者就越傾向于進(jìn)行偵察。某些數(shù)據(jù)資產(chǎn)(如SSH)是惡意軟件和加密挖掘的高度目標(biāo)。
(4)防御者不應(yīng)該依賴于自動(dòng)密鑰保護(hù)除了GitHub之外,暴露的AWS密鑰權(quán)限立即被鎖定,Orca Security公司沒有檢測到任何對其他測試資源的自動(dòng)保護(hù)。
(5)沒有哪個(gè)地方是安全的盡管所有觀察到的暴露的AWS密鑰使用中有50%發(fā)生在美國,但幾乎所有國家和地區(qū)都有使用,包括加拿大、亞太地區(qū)、歐洲和南美地區(qū)。
Orca Security公司研究技術(shù)主管托Tohar Braun表示:“網(wǎng)絡(luò)攻擊者根據(jù)資源的不同采取不同的策略,說明防御者需要針對每種情況采用量身定制的防御措施?!?/p>
他總結(jié)道:“這份研究報(bào)告對攻擊技術(shù)進(jìn)行了細(xì)分,并提出了降低泄密風(fēng)險(xiǎn)的最佳實(shí)踐建議?!?/p>
關(guān)鍵詞:
凡注有"環(huán)球傳媒網(wǎng)"或電頭為"環(huán)球傳媒網(wǎng)"的稿件,均為環(huán)球傳媒網(wǎng)獨(dú)家版權(quán)所有,未經(jīng)許可不得轉(zhuǎn)載或鏡像;授權(quán)轉(zhuǎn)載必須注明來源為"環(huán)球傳媒網(wǎng)",并保留"環(huán)球傳媒網(wǎng)"的電頭。
- 留置送達(dá)是直接送達(dá)嗎?留置送達(dá)多久視為送達(dá)? 熱門
- 我不是藥神最后誰死了?我不是藥神結(jié)局?
- 平輿縣李屯鎮(zhèn):防溺水安全教育進(jìn)校園|新資訊
- 世界要聞:五樹進(jìn)宅,升官發(fā)財(cái)?shù)臉溆心男?家里越干凈的人越容易發(fā)財(cái)是真的嗎?
- 環(huán)球精選!螞蟻借唄逾期后有哪些影響?螞蟻借唄是支付寶的借唄嗎?
- 垃圾債券是什么意思?垃圾債券最早發(fā)明者是誰?
- 房子產(chǎn)權(quán)到期后房子還是自己的嗎?房子產(chǎn)權(quán)到了70年后拆遷怎么賠償?|今日精選
- 今日熱門!恒大3月銷售額暴增至102億嗎?現(xiàn)在恒大還有多少土地儲備?
- 11層的小高層選幾樓好?住房公積金不滿1萬能貸款買房嗎?
- 拆遷房算是經(jīng)濟(jì)適用房嗎?沒有房產(chǎn)證和土地使用證的房屋能買嗎?
資訊
- 盧卡申科:普京曾有意殺死普里戈任,我勸他不要魯莽行事|天天觀熱點(diǎn)
- 什么是上市公司分拆上市?分拆上市需要滿足什么條件?-每日看點(diǎn)
- 人口普查必須登記嗎?人口普查不登記有什么影響?-天天觀速訊
- 九上裝飾介紹 九上裝飾的裝修費(fèi)用是多少?
- 元旦過后多久銀行會放款?銀行會放款的時(shí)候再查抵押人征信嗎?
- 今日報(bào)丨多家高校發(fā)公告:因收取0.6%手續(xù)費(fèi),7月1日起停用微信支付
- 今日熱門!預(yù)產(chǎn)期怎么算時(shí)間?預(yù)產(chǎn)期前生的多還是后生的多?
- 房間濕度保持多少為最佳 夏天臥室濕度保持多少合適? 環(huán)球快播報(bào)
- 全球快播:硬核科技論丨從概念到現(xiàn)實(shí) 車外后視鏡大變革即將到來(下)
- 拘役和管制會有案底嗎?判管制和緩刑哪個(gè)更好?_頭條
焦點(diǎn)
- 買商品房的注意事項(xiàng)有哪些? 什么是城市更新? 全球焦點(diǎn)
- 世界實(shí)時(shí):rar是什么格式的文件?電腦上rar文件怎么解壓?
- 世界快資訊:基金轉(zhuǎn)換什么意思?基金轉(zhuǎn)換是全部轉(zhuǎn)換嗎?
- 企業(yè)經(jīng)營范圍中建材銷售包括木材嗎 地板防滑劑有用嗎_全球快報(bào)
- 綠燈走錯(cuò)道扣幾分罰款多少?拐錯(cuò)倒扣幾分罰款多少? 環(huán)球訊息
- 什么是股市中的派許指數(shù)?股票價(jià)格指數(shù)的作用包括哪些? 焦點(diǎn)速遞
- 快報(bào):雨潼的名字含義是什么?潼的最佳配字有哪些?
- “人人講安全 個(gè)個(gè)會應(yīng)急” 信陽市商務(wù)局積極開展6月份“全市安全日”應(yīng)急演練
- 柔嘉是什么電視劇里的人物?柔佳的結(jié)局是什么?|環(huán)球報(bào)道
- 世界速訊:服裝商標(biāo)注冊怎么注冊?注冊商標(biāo)都需要什么手續(xù)?