敏感数据泄露：它是什么以及如何避免

由于技术进步无疑让我们的生活更加便捷，我们与外界分享的敏感数据量也急剧增加。然而，这些进步也有代价——我们的个人数据被更多地暴露。

那么，敏感数据是如何被暴露的？

什么是敏感数据泄露？

当组织在不知情的情况下泄露其客户的私人信息，导致敏感数据意外破坏、更改或分发时，就会发生敏感数据泄露。

个人身份信息 (PII)（例如财务、业务和个人数据）并不是唯一需要保护的敏感信息。需要严格保护的其他形式的敏感数据包括：

重要的是要记住，敏感数据暴露不同于数据泄露，尽管这些术语经常互换使用。

数据泄露是指第三方怀有恶意，未经授权访问敏感信息。这种情况通常发生在敏感数据暴露时；然而，即使没有预先暴露，泄露仍然会发生。

另一方面，组织可能会暴露敏感数据，但其信息并未遭到泄露。暴露并不意味着一定会遭到泄露，但暴露会大大增加泄露的几率。

您越了解数据容易泄露的原因，您的组织就越有能力减轻针对这些敏感信息的潜在攻击。由于 GDPR 和 CCAP 等法规要求组织保护敏感数据，否则将面临严重后果，因此，了解贵公司的敏感文件可能在哪些地方遇到麻烦至关重要。

数字数据有几种不同的状态，为了更好地了解攻击发生的地点，我们需要首先快速浏览一下它们。

许多 Web 应用程序通常将静态数据存储在服务器、文件、网络和数据库中。虽然这些数据似乎不太容易受到攻击，但这些信息的安全性完全取决于保护它们的协议。网络攻击（例如 SQL 注入或恶意负载）可用于规避安全措施并获得对存储数据的未经授权的访问。

由于数据在服务器、渠道和应用程序编程接口 (API) 之间交换，因此存在被第三方拦截的风险。网络犯罪分子利用两个应用程序或服务器在未加密的情况下进行通信时存在的安全漏洞。一种常见的攻击被称为中间人 (MITM)，攻击者会拦截并监控流量和通信。

与动态数据或静态数据不同，使用中数据反映了组织 IT 基础架构中当前发生的活动。这意味着它可以随时被主动更新、处理或删除，而不是简单地存储起来以供日后访问。处于这种状态的数据同样容易受到攻击，甚至更有可能由内部攻击发起。

现在您知道了数据可能在哪里受到攻击，让我们看看这些攻击是如何发生的方式。

访问控制失效– 破坏性访问控制攻击在 OWASP 2021 年 Web 应用程序十大攻击榜单中排名第一，当未经授权的用户突破为保护您的数据和应用程序而设置的现有安全屏障时就会发生这种情况。
TSL/HTTPS 薄弱或缺失– 缺乏加密或加密薄弱也是敏感数据泄露的主要原因。将包含个人信息的纯文本文件存储到您的网站会使其容易受到攻击。
SQL注入漏洞– 当攻击者向系统引入恶意查询以使用简单命令提取有关用户或其他重要详细信息的信息时，就会发生 SQL 注入。
网络钓鱼– 网络钓鱼攻击旨在误导用户并让他们通过电子邮件、即时消息和短信提供敏感信息。
内部攻击– 内部攻击是指具有授权访问权限的现任或前任员工通过闯入并窃取数据发起攻击，这种攻击通常不被注意，因为大多数组织关注的是外部攻击，而不是来自内部的攻击。

虽然 Web 应用程序和 Web 界面都有自己的漏洞，但Gartner预测，到 2022 年，API 将成为主要的攻击媒介。为了帮助防止暴露，OWASP建议您采取这些最低限度的措施来防止加密故障（敏感数据暴露的另一个名称）。

虽然这些步骤提供了一个很好的起点，但采取高级措施将确保您的数据得到良好的保护。我们建议采取一些高级安全措施。

自动化安全– 使用自动化的端到端漏洞扫描解决方案，通过根据OWASP Top 10 列表对 Web 应用程序进行基准测试来改善您的安全状况。自动化 API 测试平台可以在潜在问题发展成重大问题之前检测到它们。
持续测试– 将安全性集成到软件中，包括从开发到生产的持续测试，为您提供全面的覆盖，并确保攻击者不会利用任何漏洞。

随着世界的发展周期不断加快，组织绝不能为了满足数字化转型的需求而牺牲安全性。