发生了什么
2025年末，一家业务遍及多个大洲的全球零售商发现了一起重大数据泄露事件。数百万客户记录，包括个人身份信息（PII）和购买历史，在一个多月内一直可以公开在线访问。根本原因是云存储桶（具体来说是Amazon S3桶）配置错误，缺乏适当的访问控制。
此次泄露并非源于针对云提供商基础设施中漏洞的攻击，而是由于迁移项目期间的内部配置错误。桶的策略被无意中设置为允许公共读取访问，使得任何拥有正确URL的人都可以发现和下载其内容。
此事件凸显了云安全漏洞中反复出现的模式。尽管云存储风险已广为人知，但此类泄露事件仍然困扰着各种规模的组织。此次特定泄露的规模强调了当此类错误持续未被发现时可能带来的灾难性后果。
为什么这种模式会反复出现
云存储配置错误持续反复出现的原因可以归结为几个系统性因素。首先，云采用的快速发展往往超出了安全团队实施强大控制和持续监控的能力。开发者在部署压力下，可能会优先考虑功能而不是细致的安全配置。
其次，云身份和访问管理（IAM）策略的复杂性为错误创造了肥沃的土壤。跨多个账户和服务的精细权限、嵌套组和继承规则可能难以全面审计。一个放错位置的*或"Effect": "Allow"语句就可能破坏整个安全态势。
第三，许多组织依赖静态安全态势管理（CSPM）工具，这些工具可以识别配置错误，但未能评估其在现实世界中的可利用性。一个发现可能被标记出来，但如果未能理解信任链或潜在影响，其关键性可能会被误判或降低优先级。这导致了一种虚假的安全感，将合规性误认为是实际的弹性。
攻击者的逐步策略
寻求配置错误的云存储的攻击者通常采用系统的侦察方法。他们的初始步骤涉及被动信息收集，利用公共搜索引擎、Shodan和其他OSINT工具来识别潜在目标。他们寻找常见的云存储命名约定、子域名枚举以及可能暗示云基础设施的公开API端点。
一旦识别出潜在的云存储实例（例如，S3桶名称），攻击者就会进行主动探测。这涉及尝试以各种权限访问资源，通常从匿名读取访问开始。s3scanner等工具或自定义脚本可以自动化桶内容和策略的枚举。
“最复杂的漏洞往往始于最简单的配置疏忽。攻击者并非总是在寻找零日漏洞；他们寻找的是敞开的大门。”
如果授予公共读取访问权限，攻击者就可以列出并下载内容。他们优先考虑敏感数据类型，如PII、财务记录、知识产权和凭证。这些数据可以迅速被窃取，通常在不被注意的情况下，尤其是在没有出口监控的情况下。最后一步涉及将数据出售到暗网论坛或将其用于后续攻击，例如网络钓鱼活动或供应链攻击。
发现和数据窃取TTPs
攻击者经常利用MITRE ATT&CK框架中编目D技术，特别是初始访问（T1133 - 外部远程服务）和收集（T1537 - 将数据传输到云账户）。开放桶的发现通常属于侦察（T1595 - 主动扫描），其中自动化工具用于测试一系列常见的桶名称或扫描与云提供商关联的IP范围。
防御者错过了什么
在防止此次泄露事件中，有几个关键的防御层可能缺失或无效。首先，缺乏持续、主动的安全态势验证。尽管CSPM工具可能已经标记了公共桶策略，但其严重性要么被错误分类，要么发现未能及时修复。
其次，基础设施即代码（IaC）模板的健壮变更管理和同行评审流程可能不足。在部署期间引入的配置错误应该在生产发布之前或之后立即被发现。自动化策略执行工具，如OPA Gatekeeper或AWS Config Rules，可以防止部署不合规的配置。
第三，可能没有针对云环境的有效数据丢失防护（DLP）策略。即使桶配置错误，DLP解决方案也可以检测敏感PII的存在并提醒安全团队，从而可能触发更早的修复。最后，全面的外部攻击面管理（EASM）计划将持续从攻击者的角度扫描公开暴露的资产，包括配置错误的云存储。
实用防御清单
CISO和安全工程师必须对云安全采取主动的、攻击性的方法。以下行动至关重要：
- 实施强制性的IaC审查和扫描： 对所有IaC变更强制执行严格的同行评审。将IaC安全扫描工具（例如Checkov、Kics）集成到CI/CD管道中，以防止配置错误进入生产环境。
- 自动化云安全态势管理（CSPM）并进行修复： 部署CSPM工具，这些工具不仅能识别配置错误，还能提供自动化修复功能或与工单系统紧密集成以实现快速响应。
- 针对敏感数据采用云原生DLP： 利用云提供商的DLP服务（例如AWS Macie、Azure Purview）或第三方解决方案来发现和分类存储桶中的敏感数据，并在未经授权访问或公开暴露时发出警报。
- 定期进行攻击性安全评估： 定期进行针对云环境的渗透测试和红队演习，重点关注配置错误和IAM缺陷。
- 强制执行最小权限IAM策略： 基于最小权限原则设计和实施IAM策略。使用AWS Access Analyzer或类似的云原生服务定期审计和审查IAM角色和策略。
- 建立出站过滤和监控： 监控和限制云环境的出站流量，以检测和防止未经授权的数据泄露，即使发生泄露。
- 开发并测试云事件响应预案： 为云安全事件创建具体预案，包括识别、遏制、消除和从数据泄露事件中恢复的步骤，并定期进行桌面演习。
现代攻击性测试如何能发现这一点
传统的漏洞扫描和合规性检查通常会忽略云配置错误的细微可利用性。我们需要的是一种更动态、以攻击者为中心的方法。一个先进的攻击性测试平台将每天对组织的公共云资产进行自动化检查，模拟真实的攻击者侦察和利用技术。这不仅涉及识别公共S3桶，还主动尝试枚举其内容、下载样本文件并确认敏感数据的存在。
这样的系统将超越简单的配置检查。它将生成可执行的概念验证（PoC）漏洞利用，演示攻击者将采取的确切路径来损害数据。这为安全团队提供了无可辩驳的可利用性证据，使他们能够根据实际风险（而不仅仅是理论漏洞）优先处理和修复关键问题。这种持续的、攻击性验证确保即使是微小的配置错误，例如过于宽松的桶策略，也能在攻击者利用它们之前被识别和解决。
接下来关注什么
云安全格局将继续快速发展。我们预计将更加关注以下领域。首先，人工智能驱动的安全分析的兴起将带来检测细微配置错误和预测攻击路径的新能力，但也会带来针对人工智能模型本身的新攻击向量。其次，“零信任”架构的采用将加速，推动组织在每个交互点（而不仅仅是边界）强制执行精细的访问控制。第三，全球范围内围绕数据隐私和违规通知的监管压力将加剧，使得此类事件的财务和声誉成本更高。最后，预计将出现更复杂的供应链攻击，这些攻击利用第三方云服务中的配置错误，强调了全面供应商安全评估和持续监控外部依赖的必要性。
