2018年(nián)已過大半，在過去(qù)的(de)8個月裏，全球各地(dì)深受數據洩露事件的(de)困擾，已造成數以萬計的(de)損失。據《2018數據洩露損失研究》評估顯示，遭遇數據洩露事件的(de)公司企業平均要損失386萬美元，同比去(qù)年(nián)增加了6.4%。

根據全球各地(dì)頻發的(de)數據洩露事件，ITPUB整理(lǐ)了2018年(nián)上半年(nián)度國(guó)內(nèi)外影響最大的(de)數據洩露事件，希望以此引起大家對數據安全的(de)重視(shì)。

洩密指數：★★★★★

洩密數量：10億條

事件時間：2018年(nián)1月3日

事件回顧：

印度10億公民身份數據庫Aadhaar被曝遭網絡攻擊，該數據庫除了名字、電話号碼、郵箱地(dì)址等之外還有(yǒu)指紋、虹膜紀錄等極度敏感的(de)信息。

洩密指數：★★★☆☆

洩密數量：超過8700萬條

事件時間：2018年(nián)3月17日

事件回顧：

今年(nián)3月，一(yī)家名為(wèi)Cambridge Analytica的(de)數據分析公司通過一(yī)個應用程序收集了5000萬Facebook用戶的(de)個人信息，該應用程序詳細描述了用戶的(de)個性、社交網絡以及在平台上的(de)參與度。4月，該公司通知了在其平台上的(de)8700萬名用戶，他們(men)的(de)數據已經遭到洩露。

不幸的(de)是，随着對Facebook應用程序更深入的(de)審查，6月27日，安全研究員Inti DeCeukelaire透露了另一(yī)個名為(wèi)Nametests.com的(de)應用程序，它已經暴露了超過1.2億用戶的(de)信息。

洩密指數： ★★☆☆☆

洩密數量：3700萬條

事件時間：2018年(nián)4月2日

事件回顧：

4月2日，安全研究員DylanHoulihan公開了他在2017年(nián)8月向Panera Bread報告的(de)一(yī)個漏洞。該漏洞導緻Panerabread.com以明文洩露客戶記錄。在此後的(de)八個月裏，Houlihan每個月都會檢查一(yī)次這個漏洞，直到最終向Krebs披露。随後，Krebs在他的(de)博客上公布了這些細節。盡管該公司最初試圖淡化此次數據洩露事件的(de)嚴重程度，并表示受到影響的(de)客戶不到1萬人，但據信真實數字高(gāo)達3700萬。

洩密指數：★★★★☆

洩密數量：1.5億條

事件時間：2018年(nián)5月25日

事件回顧：

3月25日，美國(guó)著名運動裝備品牌Under Armour稱有(yǒu)1.5億MyFitnessPal用戶數據被洩露了，MyFitnessPal是一(yī)款營養主題應用，以跟蹤用戶每天消耗的(de)卡路裏、設置運動目标、集成來自(zì)其他運動設備的(de)數據、分享運動成果到社交平台而受到廣大歡迎。

據該公司稱，此次數據洩露事件影響到的(de)用戶數據包括用戶名、郵箱地(dì)址、和(hé)加密的(de)密碼，但并沒有(yǒu)涉及到用戶的(de)社會安全号碼（Social Security numbers）、駕駛證号、和(hé)銀行(xíng)卡号等隐私信息。

洩密指數：★★★★☆

洩密數量：超過9200萬條

事件時間：2018年(nián)6月4日

事件回顧：

6月4日，MyHeritage的(de)安全管理(lǐ)員收到一(yī)位研究人員發來的(de)消息稱，其在該公司外部的(de)一(yī)個私有(yǒu)服務器上發現了一(yī)份名為(wèi)《myheritage》的(de)文件，裏面包含了9228萬個MyHeritage帳号的(de)電子(zǐ)郵件地(dì)址和(hé)加密密碼。在檢查文件後，MyHeritage的(de)安全管理(lǐ)員确認該資産包含了在2017年(nián)10月26日之前已注冊MyHeritage的(de)所有(yǒu)用戶的(de)電子(zǐ)郵箱地(dì)址。

随後該公司發布的(de)一(yī)份聲明稱，由于MyHeritage依賴第三方服務提供商(shāng)來處理(lǐ)會員的(de)付款，黑客破解了密碼機(jī)制，獲得哈希密碼，但不包含支付信息。服務商(shāng)将家譜和(hé)DNA數據存儲在與存儲電子(zǐ)郵箱地(dì)址的(de)服務器不同的(de)服務器上。

洩密指數：★★☆☆☆

洩密數量：超過2700萬條

事件時間：2018年(nián)6月3日

事件回顧：

5月31日，美國(guó)票(piào)務巨頭Ticketfly遭遇黑客攻擊勒索，導緻音樂(yuè)會和(hé)體育賽事票(piào)務網站遭到破壞，并離(lí)線和(hé)中斷一(yī)周。據報道(dào)，此次攻擊事件背後的(de)黑客先是警告Ticketfly存在一(yī)個漏洞，并要求其支付贖金。當遭到該公司的(de)拒絕後，黑客劫持了Ticketfly網站，替換了它的(de)主頁。

據黑客IsHaKdZ表示，他手中擁有(yǒu)完整的(de)數據庫，裏面包含2700萬個Ticketfly賬戶相關信息（如(rú)姓名、家庭住址、電子(zǐ)郵箱地(dì)址和(hé)電話号碼等，涉及員工和(hé)用戶）。

洩密指數：★★☆☆☆

洩密數量：1950萬條

事件時間：2018年(nián)6月7日

事件回顧：

今年(nián)2月，一(yī)名匿名攻擊者截獲了由SacramentoBee擁有(yǒu)并運營的(de)兩個數據庫。其中一(yī)個IT資産包含加利福尼亞州州務卿提供的(de)加州選民登記數據，而另一(yī)個則存儲了用戶為(wèi)訂閱該報刊而提供的(de)聯系信息。在截獲了這些資源之後，攻擊者要求支付贖金以換取重新獲得對數據的(de)訪問權限。Sacramento Bee最終拒絕了這一(yī)要求，并删除了數據庫，以防止在将來這些數據庫在被利用來進行(xíng)其他更多的(de)攻擊。

根據Sacramento Bee的(de)說法，這起黑客攻擊事件共暴露了5.3萬名訂閱者的(de)聯系信息以及1940萬加州選民的(de)個人數據。

洩密指數：★★☆☆☆

洩密數量：800 萬條

事件時間：2018年(nián)6月14日

事件回顧：

6月14日淩晨，國(guó)內(nèi)著名網站彈幕視(shì)頻網站 AcFun（A 站）在官網發布《關于AcFun 受黑客攻擊緻用戶數據外洩的(de)公告》稱，該網站曾遭遇黑客攻擊，近千萬條用戶數據已發生外洩，其中包括用戶ID、昵稱以及加密存儲的(de)密碼等數據均遭洩露。

其實早在今年(nián)3月份，暗網論壇中就有(yǒu)人公開出售 AcFun 的(de)一(yī)手用戶數據，數量高(gāo)達800萬條，而價格僅為(wèi)12000元，平均1元能買到800條。而在AcFun發布此次數據洩露公告之前，暗網中也早有(yǒu)人兜售其 Shell 和(hé)內(nèi)網權限，主要賣點就是數據量大以及日流量高(gāo)。

洩密指數：★★★★★

洩密數量：10億條

事件時間：2018年(nián)6月19日

事件回顧：

6月19日，一(yī)位用戶在暗網上開始兜售圓通10億條快遞數據，該用戶表示售賣的(de)數據為(wèi)2014年(nián)下旬的(de)數據，數據信息包括寄（收）件人姓名，電話，地(dì)址等信息，10億條數據已經經過去(qù)重處理(lǐ)，數據重複率低(dī)于20%，并以1比特币打包出售。

并且該用戶還支持用戶對數據真實性進行(xíng)驗貨，但驗貨費用為(wèi)0.01比特币（約合431.98元），驗貨數據量為(wèi)100萬條。此驗貨數據是從10億條數據裏随機(jī)抽選的(de)，每條數據完全不同，也就是說用戶隻要花430元人民币即可(kě)購買到100萬條圓通快遞的(de)個人用戶信息，而10億條數據則需要43197元人民币。

洩密指數：★★★★★

洩密數量：5億條

事件時間：2018年(nián)8月28日

事件回顧：

華住旗下多個連鎖酒店信息數據在暗網出售，受到影響的(de)包括漢庭、桔子(zǐ)、全季、宜必思、海友等多家酒店，洩露數據總數更是近5億！

從網絡上流傳的(de)截圖可(kě)以看出，黑客在出售的(de)數據信息如(rú)下：

1. 華住官網注冊資料，包括姓名、手機(jī)号、郵箱、身份證号、登錄密碼等，共53 G，大約1.23億條記錄；

2. 酒店入住登記身份信息，包括姓名、身份證号、家庭住址、生日、內(nèi)部ID号，共22.3 G，約1.3億人身份證信息；

3. 酒店開房記錄，包括內(nèi)部ID賬号，同房間關聯号、姓名、卡号、手機(jī)号、郵箱、入住時間、離(lí)開時間、酒店ID賬号、房間号、消費金額等，共66.2 G，約2.4 億條記錄；

據研究人員表示，此次洩露的(de)原因是華住公司程序員将數據庫連接方式及密碼上傳到GitHub導緻的(de)。而數據庫信息是20天前傳到了Github上，而黑客拖庫是在14天前，黑客很可(kě)能是利用此信息實施攻擊并拖庫。（轉載自(zì)微信公衆号ITPUB）

信息化時代的(de)今天，面對層出不窮的(de)數據洩露事件，國(guó)家、企事業單位都應提高(gāo)對數據安全的(de)重視(shì)。面對如(rú)此嚴峻的(de)數據安全形勢，如(rú)何有(yǒu)效地(dì)保障數據安全成為(wèi)了衆多企業的(de)當務之急。從數據洩露的(de)途徑分析，數據洩漏主要分為(wèi)三種：竊密、洩密和(hé)失密

內(nèi)部人員洩密：由于內(nèi)部員工安全意識薄弱，數據安全分級不明确，操作失誤，部分涉密人員無意中洩露數據；部分員工因情緒化報複、利益收買等主動洩露數據。

失密：

權限失控失密：由于帳号生命周期管理(lǐ)不善，權限劃分及認證鑒别方式失控，導緻人員對數據的(de)密級訪問權限不對等，高(gāo)密級數據流向低(dī)權限帳号，涉密數據流向無權限帳号等。

數據維護及處置失密：不安全的(de)加密方式或明文存儲、公開的(de)存儲位置、管理(lǐ)密鑰或存儲介質丢失、未完全擦除報廢，存儲數據發生洩露。

信息發布失密：合作渠道(dào)商(shāng)管理(lǐ)不善數據交互洩露，發布信息審核不當涉及密級數據洩露，信息數據流入未授權、競争關系的(de)第三方。

   帕拉迪，深耕數據安全細分方向，聚焦數據核心安全。作為(wèi)一(yī)家專注于數據中心安全與智能領域的(de)綜合解決方案提供商(shāng)，在數據安全防護措施上有(yǒu)哪些成熟的(de)小建議呢(ne)？

M1 預防性措施：

• 安全訪問控制

• 身份鑒别（強口令認證）

• 權限分離(lí)

• 多因素認證MFA

• 安全策略配置

• 數據分級

• 數據脫敏

• 數據加密

• 安全意識培訓

對數據的(de)訪問，進行(xíng)帳号權限的(de)劃分，三權分立，知其所需，通過完善接入安全，固定接入的(de)終端設備、應用接口，将非法接入拒之門外，同時采用多因素認證(MFA)方式和(hé)強口令認證，周期性修改口令，防止弱口令和(hé)權限洩露；數據相關的(de)系統更改不安全的(de)默認配置，進行(xíng)加固操作；對數據根據重要程度和(hé)敏感級别進行(xíng)分級，劃分訪問權限；存儲和(hé)傳輸數據時，進行(xíng)敏感數據脫敏和(hé)加密處理(lǐ)，同時對內(nèi)部員工進行(xíng)安全培訓，提供保障數據安全意識。

M2 檢測性措施：

• 準入控制

• 漏洞檢測/修複

• 安全行(xíng)為(wèi)審計

• IDS/IPS/FW

對系統內(nèi)數據的(de)訪問，通過管理(lǐ)權限檢測、網絡分層（網絡層、應用層）控制檢測、物理(lǐ)控制做(zuò)到準入安全；及時檢測系統存在的(de)漏洞，進行(xíng)補丁升級修複或風險規避；對數據訪問行(xíng)為(wèi)進行(xíng)記錄，通過審計來不斷調整權限和(hé)發現違規事件；通過入侵檢測發現惡意訪問事件，進行(xíng)及時告警。

M3 威懾性措施：

• 防掃描

• WAF/數據庫防火牆

• 阻斷告警

通過WEB和(hé)數據庫防火牆功能，來保障數據安全訪問，及時阻斷已知的(de)惡意攻擊，同時結合告警反饋和(hé)防掃描技術來達到對惡意攻擊者的(de)威懾。

M4 恢複性措施：

• 數據備份

• 異地(dì)災備

通過數據備份、異地(dì)災備，可(kě)以在數據遭受勒索病毒加密、入侵破壞後，快速恢複業務應用。

    在此，帕拉迪的(de)IAM身份認證與訪問安全管理(lǐ)系統專業的(de)WEB  SSO、帳号自(zì)動周期改密碼、業務安全審計功能和(hé)NGDAP下一(yī)代數據庫應用防禦系統獨有(yǒu)的(de)網絡防火牆、準入防火牆、行(xíng)為(wèi)防火牆和(hé)白名單建模業務防火牆模塊有(yǒu)效結合，将有(yǒu)效完善數據安全防護手段，防止數據洩露事件。