2018年(nián)已過大半，在過去的8個(gè)月(yuè)裡(lǐ)，全球各地深受數據洩露事(shì)件(jiàn)的困擾，已造成數以萬計的損失。據《2018數據洩露損失研究》評估顯示，遭遇數據洩露事(shì)件(jiàn)的公司企業(yè)平均要損失386萬美元，同比去年(nián)增加了6.4%。

根據全球各地頻發的數據洩露事(shì)件(jiàn)，ITPUB整理了2018年(nián)上(shàng)半年(nián)度國(guó)内外影響最大的數據洩露事(shì)件(jiàn)，希望以此引起大家對數據安全的重視。

洩密指數：★★★★★

洩密數量：10億條

事(shì)件(jiàn)時間：2018年(nián)1月(yuè)3日

事(shì)件(jiàn)回顧：

印度10億公民(mín)身份數據庫Aadhaar被曝遭網絡攻擊，該數據庫除了名字、電(diàn)話号碼、郵箱地址等之外還(hái)有指紋、虹膜紀錄等極度敏感的信息。

洩密指數：★★★☆☆

洩密數量：超過8700萬條

事(shì)件(jiàn)時間：2018年(nián)3月(yuè)17日

事(shì)件(jiàn)回顧：

今年(nián)3月(yuè)，一(yī)家名為(wèi)Cambridge Analytica的數據分析公司通(tōng)過一(yī)個(gè)應用程序收集了5000萬Facebook用戶的個(gè)人信息，該應用程序詳細描述了用戶的個(gè)性、社交網絡以及在平台上(shàng)的參與度。4月(yuè)，該公司通(tōng)知了在其平台上(shàng)的8700萬名用戶，他們的數據已經遭到(dào)洩露。

不幸的是，随著(zhe)對Facebook應用程序更深入的審查，6月(yuè)27日，安全研究員(yuán)Inti DeCeukelaire透露了另一(yī)個(gè)名為(wèi)Nametests.com的應用程序，它已經暴露了超過1.2億用戶的信息。

洩密指數： ★★☆☆☆

洩密數量：3700萬條

事(shì)件(jiàn)時間：2018年(nián)4月(yuè)2日

事(shì)件(jiàn)回顧：

4月(yuè)2日，安全研究員(yuán)DylanHoulihan公開(kāi)了他在2017年(nián)8月(yuè)向Panera Bread報(bào)告的一(yī)個(gè)漏洞。該漏洞導緻Panerabread.com以明文洩露客戶記錄。在此後的八個(gè)月(yuè)裡(lǐ)，Houlihan每個(gè)月(yuè)都會(huì)檢查一(yī)次這個(gè)漏洞，直到(dào)最終向Krebs披露。随後，Krebs在他的博客上(shàng)公布了這些細節。盡管該公司最初試圖淡化此次數據洩露事(shì)件(jiàn)的嚴重程度，并表示受到(dào)影響的客戶不到(dào)1萬人，但據信真實數字高(gāo)達3700萬。

洩密指數：★★★★☆

洩密數量：1.5億條

事(shì)件(jiàn)時間：2018年(nián)5月(yuè)25日

事(shì)件(jiàn)回顧：

3月(yuè)25日，美國(guó)著名運動裝備品牌Under Armour稱有1.5億MyFitnessPal用戶數據被洩露了，MyFitnessPal是一(yī)款營養主題應用，以跟蹤用戶每天消耗的卡路(lù)裡(lǐ)、設置運動目标、集成來自(zì)其他運動設備的數據、分享運動成果到(dào)社交平台而受到(dào)廣大歡迎。

據該公司稱，此次數據洩露事(shì)件(jiàn)影響到(dào)的用戶數據包括用戶名、郵箱地址、和加密的密碼，但并沒有涉及到(dào)用戶的社會(huì)安全号碼（Social Security numbers）、駕駛證号、和銀(yín)行卡号等隐私信息。

洩密指數：★★★★☆

洩密數量：超過9200萬條

事(shì)件(jiàn)時間：2018年(nián)6月(yuè)4日

事(shì)件(jiàn)回顧：

6月(yuè)4日，MyHeritage的安全管理員(yuán)收到(dào)一(yī)位研究人員(yuán)發來的消息稱，其在該公司外部的一(yī)個(gè)私有服務器(qì)上(shàng)發現了一(yī)份名為(wèi)《myheritage》的文件(jiàn)，裡(lǐ)面包含了9228萬個(gè)MyHeritage帳号的電(diàn)子郵件(jiàn)地址和加密密碼。在檢查文件(jiàn)後，MyHeritage的安全管理員(yuán)确認該資産包含了在2017年(nián)10月(yuè)26日之前已注冊MyHeritage的所有用戶的電(diàn)子郵箱地址。

随後該公司發布的一(yī)份聲明稱，由于MyHeritage依賴第三方服務提供商來處理會(huì)員(yuán)的付款，黑(hēi)客破解了密碼機(jī)制，獲得哈希密碼，但不包含支付信息。服務商将家譜和DNA數據存儲在與存儲電(diàn)子郵箱地址的服務器(qì)不同的服務器(qì)上(shàng)。

洩密指數：★★☆☆☆

洩密數量：超過2700萬條

事(shì)件(jiàn)時間：2018年(nián)6月(yuè)3日

事(shì)件(jiàn)回顧：

5月(yuè)31日，美國(guó)票務巨頭Ticketfly遭遇黑(hēi)客攻擊勒索，導緻音(yīn)樂會(huì)和體育賽事(shì)票務網站遭到(dào)破壞，并離線和中斷一(yī)周。據報(bào)道，此次攻擊事(shì)件(jiàn)背後的黑(hēi)客先是警告Ticketfly存在一(yī)個(gè)漏洞，并要求其支付贖金。當遭到(dào)該公司的拒絕後，黑(hēi)客劫持了Ticketfly網站，替換了它的主頁。

據黑(hēi)客IsHaKdZ表示，他手中擁有完整的數據庫，裡(lǐ)面包含2700萬個(gè)Ticketfly賬戶相(xiàng)關信息（如姓名、家庭住址、電(diàn)子郵箱地址和電(diàn)話号碼等，涉及員(yuán)工(gōng)和用戶）。

洩密指數：★★☆☆☆

洩密數量：1950萬條

事(shì)件(jiàn)時間：2018年(nián)6月(yuè)7日

事(shì)件(jiàn)回顧：

今年(nián)2月(yuè)，一(yī)名匿名攻擊者截獲了由SacramentoBee擁有并運營的兩個(gè)數據庫。其中一(yī)個(gè)IT資産包含加利福尼亞州州務卿提供的加州選民(mín)登記數據，而另一(yī)個(gè)則存儲了用戶為(wèi)訂閱該報(bào)刊而提供的聯系信息。在截獲了這些資源之後，攻擊者要求支付贖金以換取重新獲得對數據的訪問權限。Sacramento Bee最終拒絕了這一(yī)要求，并删除了數據庫，以防止在将來這些數據庫在被利用來進行其他更多(duō)的攻擊。

根據Sacramento Bee的說法，這起黑(hēi)客攻擊事(shì)件(jiàn)共暴露了5.3萬名訂閱者的聯系信息以及1940萬加州選民(mín)的個(gè)人數據。

洩密指數：★★☆☆☆

洩密數量：800 萬條

事(shì)件(jiàn)時間：2018年(nián)6月(yuè)14日

事(shì)件(jiàn)回顧：

6月(yuè)14日淩晨，國(guó)内著名網站彈幕視頻網站 AcFun（A 站）在官網發布《關于AcFun 受黑(hēi)客攻擊緻用戶數據外洩的公告》稱，該網站曾遭遇黑(hēi)客攻擊，近千萬條用戶數據已發生(shēng)外洩，其中包括用戶ID、昵稱以及加密存儲的密碼等數據均遭洩露。

其實早在今年(nián)3月(yuè)份，暗(àn)網論壇中就(jiù)有人公開(kāi)出售 AcFun 的一(yī)手用戶數據，數量高(gāo)達800萬條，而價格僅為(wèi)12000元，平均1元能(néng)買到(dào)800條。而在AcFun發布此次數據洩露公告之前，暗(àn)網中也早有人兜售其 Shell 和内網權限，主要賣點就(jiù)是數據量大以及日流量高(gāo)。

洩密指數：★★★★★

洩密數量：10億條

事(shì)件(jiàn)時間：2018年(nián)6月(yuè)19日

事(shì)件(jiàn)回顧：

6月(yuè)19日，一(yī)位用戶在暗(àn)網上(shàng)開(kāi)始兜售圓通(tōng)10億條快遞數據，該用戶表示售賣的數據為(wèi)2014年(nián)下(xià)旬的數據，數據信息包括寄（收）件(jiàn)人姓名，電(diàn)話，地址等信息，10億條數據已經經過去重處理，數據重複率低(dī)于20%，并以1比特币打包出售。

并且該用戶還(hái)支持用戶對數據真實性進行驗貨，但驗貨費(fèi)用為(wèi)0.01比特币（約合431.98元），驗貨數據量為(wèi)100萬條。此驗貨數據是從(cóng)10億條數據裡(lǐ)随機(jī)抽選的，每條數據完全不同，也就(jiù)是說用戶隻要花430元人民(mín)币即可購買到(dào)100萬條圓通(tōng)快遞的個(gè)人用戶信息，而10億條數據則需要43197元人民(mín)币。

洩密指數：★★★★★

洩密數量：5億條

事(shì)件(jiàn)時間：2018年(nián)8月(yuè)28日

事(shì)件(jiàn)回顧：

華住旗下(xià)多(duō)個(gè)連鎖酒店信息數據在暗(àn)網出售，受到(dào)影響的包括漢庭、桔子、全季、宜必思、海友(yǒu)等多(duō)家酒店，洩露數據總數更是近5億！

從(cóng)網絡上(shàng)流傳的截圖可以看(kàn)出，黑(hēi)客在出售的數據信息如下(xià)：

1. 華住官網注冊資料，包括姓名、手機(jī)号、郵箱、身份證号、登錄密碼等，共53 G，大約1.23億條記錄；

2. 酒店入住登記身份信息，包括姓名、身份證号、家庭住址、生(shēng)日、内部ID号，共22.3 G，約1.3億人身份證信息；

3. 酒店開(kāi)房記錄，包括内部ID賬号，同房間關聯号、姓名、卡号、手機(jī)号、郵箱、入住時間、離開(kāi)時間、酒店ID賬号、房間号、消費(fèi)金額等，共66.2 G，約2.4 億條記錄；

據研究人員(yuán)表示，此次洩露的原因是華住公司程序員(yuán)将數據庫連接方式及密碼上(shàng)傳到(dào)GitHub導緻的。而數據庫信息是20天前傳到(dào)了Github上(shàng)，而黑(hēi)客拖庫是在14天前，黑(hēi)客很可能(néng)是利用此信息實施攻擊并拖庫。（轉載自(zì)微信公衆号ITPUB）

信息化時代的今天，面對層出不窮的數據洩露事(shì)件(jiàn)，國(guó)家、企事(shì)業(yè)單位都應提高(gāo)對數據安全的重視。面對如此嚴峻的數據安全形勢，如何有效地保障數據安全成為(wèi)了衆多(duō)企業(yè)的當務之急。從(cóng)數據洩露的途徑分析，數據洩漏主要分為(wèi)三種：竊密、洩密和失密

内部人員(yuán)洩密：由于内部員(yuán)工(gōng)安全意識薄弱，數據安全分級不明确，操作失誤，部分涉密人員(yuán)無意中洩露數據；部分員(yuán)工(gōng)因情緒化報(bào)複、利益收買等主動洩露數據。

失密：

權限失控失密：由于帳号生(shēng)命周期管理不善，權限劃分及認證鑒别方式失控，導緻人員(yuán)對數據的密級訪問權限不對等，高(gāo)密級數據流向低(dī)權限帳号，涉密數據流向無權限帳号等。

數據維護及處置失密：不安全的加密方式或明文存儲、公開(kāi)的存儲位置、管理密鑰或存儲介質丢失、未完全擦除報(bào)廢，存儲數據發生(shēng)洩露。

信息發布失密：合作渠道商管理不善數據交互洩露，發布信息審核不當涉及密級數據洩露，信息數據流入未授權、競争關系的第三方。

   帕拉迪，深耕數據安全細分方向，聚焦數據核心安全。作為(wèi)一(yī)家專注于數據中心安全與智能(néng)領域的綜合解決方案提供商，在數據安全防護措施上(shàng)有哪些成熟的小(xiǎo)建議呢(ne)？

M1 預防性措施：

• 安全訪問控制

• 身份鑒别（強口令認證）

• 權限分離

• 多(duō)因素認證MFA

• 安全策略配置

• 數據分級

• 數據脫敏

• 數據加密

• 安全意識培訓

對數據的訪問，進行帳号權限的劃分，三權分立，知其所需，通(tōng)過完善接入安全，固定接入的終端設備、應用接口，将非法接入拒之門(mén)外，同時采用多(duō)因素認證(MFA)方式和強口令認證，周期性修改口令，防止弱口令和權限洩露；數據相(xiàng)關的系統更改不安全的默認配置，進行加固操作；對數據根據重要程度和敏感級别進行分級，劃分訪問權限；存儲和傳輸數據時，進行敏感數據脫敏和加密處理，同時對内部員(yuán)工(gōng)進行安全培訓，提供保障數據安全意識。

M2 檢測性措施：

• 準入控制

• 漏洞檢測/修複

• 安全行為(wèi)審計

• IDS/IPS/FW

對系統内數據的訪問，通(tōng)過管理權限檢測、網絡分層（網絡層、應用層）控制檢測、物(wù)理控制做到(dào)準入安全；及時檢測系統存在的漏洞，進行補丁升級修複或風險規避；對數據訪問行為(wèi)進行記錄，通(tōng)過審計來不斷調整權限和發現違規事(shì)件(jiàn)；通(tōng)過入侵檢測發現惡意訪問事(shì)件(jiàn)，進行及時告警。

M3 威懾性措施：

• 防掃描

• WAF/數據庫防火牆

• 阻斷告警

通(tōng)過WEB和數據庫防火牆功能(néng)，來保障數據安全訪問，及時阻斷已知的惡意攻擊，同時結合告警反饋和防掃描技(jì)術(shù)來達到(dào)對惡意攻擊者的威懾。

M4 恢複性措施：

• 數據備份

• 異地災備

通(tōng)過數據備份、異地災備，可以在數據遭受勒索病毒加密、入侵破壞後，快速恢複業(yè)務應用。

    在此，帕拉迪的IAM身份認證與訪問安全管理系統專業(yè)的WEB  SSO、帳号自(zì)動周期改密碼、業(yè)務安全審計功能(néng)和NGDAP下(xià)一(yī)代數據庫應用防禦系統獨有的網絡防火牆、準入防火牆、行為(wèi)防火牆和白(bái)名單建模業(yè)務防火牆模塊有效結合，将有效完善數據安全防護手段，防止數據洩露事(shì)件(jiàn)。