新聞中心
一個854 GB大小的MongoDB數據庫無人看管，無需密碼登錄驗證即可查看和訪問中國求職者超過2億份非常詳細的簡歷。202,730,434 條記錄中的每條記錄不僅包含候選人的技能和工作經驗，還包括他們的個人信息，如手機號碼，電子郵件，婚姻，子女，政治，身高，體重，駕駛執照，識字水平，薪水期望等。
該安全事件由HackenProof的安全研究員BobDiachenko發現，遭泄露的是MongoDB數據庫，其中存有大量中國求職者的詳細信息。據一位Twitter用戶查證，已被刪除的應用主要來源之一是bj.58.com。安全研究員BobDiachenko表示：“經過調查，MongoDB數據庫不安全且不受保護，因此無需通過高尖端的手段就可獲取用戶信息，實際上，大量的求職信息是通過簡單的BinaryEdge或Shodan搜索找到的，沒有任何密碼保護。”
該事件發生不久后，該數據庫被加入了保護機制，但這距離數據庫成立已過去很久，因此這種后來的保護很有可能起不到多少作用。根據MongoDB日志，至少有十幾個IP可能在脫機之前訪問了數據庫。對于事后“亡羊補牢”，JASK公司的安全研究主管RodSoto認為，或許應該要求軟件開發人員引入自動給代碼打補丁的機制。他說：“盡管這樣做能夠有效降低被互聯網上已知應用程序攻擊的幾率，但強行更新或打補丁通常會帶來意想不到的后果。”
實際上，此類情況并非個例，如今有越來越多的用戶數據被置身于“裸奔”狀態，企業應該正確的認識到保護第三方數據庫的重要性。顯然，此次事件中簡歷網站并沒有行使保護數據安全的責任，讓數量如此眾多的用戶的簡歷信息被公開查閱。
數據必須受到保護，因為它們存在于流程生命周期中的各個環節。
數據通常是一個組織機構最大最有價值的資產，這一特性使其成為了各種類型敵人（包括犯罪分子和民族國家）的首要目標。幾乎每周都會有新的數據泄漏事件發生，持續提醒我們數據安全的重要性。僅在2018年上半年，就有944起數據泄露事件導致了33億條數據記錄遭到泄露。但是真正的數據安全是什么樣的呢？
許多解決方案都宣傳“端到端保護”的必要性以及他們有能力提供這種保護，但當我們越過這些流行術語，我們是否清楚地知道保護數據意味著什么?
隨著攻擊途徑不斷增加，攻擊者變得越來越縝密，信息安全的方方面面都變得非常重要——從安全的數據存儲、傳輸和處理到訪問控制和有效的密鑰管理。如果有一個環節容易受到攻擊，則會破壞其他安全措施的有效性。這種來自多方面的風險需要一種全面的、以數據為中心的安全保護方法，這種方法應該在其生命周期的所有環節關注保護數據本身，而不是只關注其周圍的網絡、應用程序或服務器。組織機構必須遵循如下原則始終確保數據安全：
a. 在文件系統，數據庫上或通過存儲技術保護靜態數據；
b. 當數據在網絡中移動時，保護傳輸中的數據；
c. 在使用或處理數據時，保護正在使用的數據；
經驗告訴我們，如果存在有價值的數據正處于危險之中，攻擊者會通過某種方法找到并接觸它們——我們不能只緊鎖大門；每一個入口都需要保護。因此，僅將加密局限在數據安全三要素——存儲、傳輸、使用中的一部分，是一種危險的行為。保護靜止、傳輸和使用中的數據是至關重要的。
1 靜態數據
以任何數字形式存儲的非活動數據，靜態數據可能位于硬盤驅動器或數據庫、數據湖、云存儲或無數其他位置。在通常被認為是最安全的數據狀態下，我們通常會將基于邊界的技術和解決方案視為第一道防線，并根據數據本身的用途和敏感性添加額外防線。這些額外防線包括加密敏感數據，無論數據存儲在本地還是存儲在云中。由于數據存儲的聚合性，靜態數據對于想要竊取大量有價值數據的攻擊者來說是一個很有吸引力的目標。
2 傳輸中的數據
傳輸中的數據很容易受到攻擊，無論是通過專用網絡、本地設備，還是公共不可信空間。人們普遍認為，加密傳輸中的數據是標準做法——這通常是安全團隊保護數據資產時最先關注的環節之一。這是必須的，而且只要企業遵守正確的協議，傳輸加密就是一種有效的防線。
3 使用中的數據
如果前面描述的兩種數據狀態可以簡單地標記為最容易理解和最容易解決的，那么使用中的數據應該被貼上最容易被忽略的標簽。因此，它很快就成為攻擊者最容易突破的地方。本質上，數據使用領域的挑戰與缺乏對問題本身的認識有關。這部分被忽略的原因是，安全領域的一些人錯誤地認為，保護靜態數據和傳輸中的數據就可以了。
然而，隨著攻擊者越來越老練，再加上對計算機芯片處理機制普遍存在的缺陷的驚人披露，所有規模的企業都需要意識到保護正在使用的數據的重要性。當我們使用數據來提取有價值信息時，數據是最有價值的，這可以通過執行搜索或分析來實現。除了訪問控制和用戶身份驗證，這類在任何安全計劃中都重要的部分之外，還有各種商業上可用的解決方案和技術方法可于抵御此漏洞，包括同態加密、安全多方計算和安全Secure Enclave技術。
我們都知道攻擊者正在成長，而我們的安全工作也必須跟上。保護方案必須識別和保護數據，因為數據存在于流程生命周期中的各個環節，無論是靜態的、傳輸中還是在使用中。
1 部署問題
這就是數據庫安全版的博爾特一蹬出起跑器就被鞋帶絆倒。數據庫經過廣泛測試以確保能勝任應該做的所有工作，但有幾家公司肯花時間做數據庫安全性測試？
解決辦法：這個問題的解決辦法十分明顯：部署前做更多的測試，找出可被攻擊者利用的非預期操作。
2 離線服務器數據泄露
公司數據庫可能會托管在不接入互聯網的服務器上，但這并不意味著對基于互聯網的威脅完全免疫。無論有沒有互聯網連接，數據庫都有可供黑客切入的網絡接口。
解決辦法：首先，將數據庫服務器當成聯網服務器一樣看待，做好相應的安全防護。其次，用SSL或TSL加密通信平臺加密其上數據。
3 錯誤配置的數據庫
有太多的數據庫都是被老舊未補的漏洞或默認賬戶配置參數出賣的。個中原因可能是管理員手頭工作太多忙不過來，或者因為業務關鍵系統實在承受不住停機檢查數據庫的損失。無論原因為何，結果就是這么令人唏噓。
解決辦法：在整個公司中樹立起數據庫安全是首要任務的氛圍，讓數據庫管理員有底氣去花時間恰當配置和修復數據庫。
4 SQL注入
SQL注入不僅僅是最常見的數據庫漏洞，還是開放網頁應用安全計劃(OWASP)應用安全威脅列表上的頭號威脅。該漏洞可使攻擊者將SQL查詢注入到數據庫中，達成讀取敏感數據、修改數據、執行管理操作乃至向操作系統發出指令等目的。
解決辦法：開發過程中，對輸入變量進行SQL注入測試。開發完成后，用防火墻保護好面向Web的數據庫。
5 權限問題
涉及訪問權限，數據庫面臨兩大主要問題：
（1）員工被賦予超出工作所需的過多權限；
（2）合法權限被未授權或惡意使用。
解決辦法：權限分發時遵循最小權限原則，僅給員工賦予完成工作所需最小權限。數據庫訪問也要受到嚴格監視，確保員工權限僅用于經授權的操作。員工離職時需立即撤銷分發給他/她的權限。
6 存檔數據
與上一條相關，無論出于報復還是利益，員工通過盜取數據庫備份獲得大量個人資料的事屢見不鮮。
解決辦法：加密存檔數據，嚴密監視存檔數據訪問和使用情況，可以大幅減少內部人威脅。
