搜索

[13490] 2018-12-03_万豪数据泄漏门再敲警钟，酒店集团7步安全建议

文档创建者：s7ckTeam
浏览次数：17
最后更新：2025-01-18
2018-12-03_万豪数据泄漏门再敲警钟，酒店集团7步安全建议 万 豪 数 据 泄 漏 门 再 敲 警 钟 ， 酒 店 集 团 7 步 安 全 建 议 F r e e B u f   2 0 1 8 - 1 2 - 0 3 以 下 文 章 来 源 于 阿 里 云 安 全   ， 作 者 易 鑫 前 言 前 言 1 1 月 月 3 0 日 ， 万 豪 酒 店 官 方 发 布 消 息 称 ， 多 达 日 ， 万 豪 酒 店 官 方 发 布 消 息 称 ， 多 达 5 亿 人 次 预 订 喜 达 屋 酒 店 客 人 的 详 细 个 人 信 息 可 能 遭 到 泄 露 。 万 豪 国 亿 人 次 预 订 喜 达 屋 酒 店 客 人 的 详 细 个 人 信 息 可 能 遭 到 泄 露 。 万 豪 国 际 在 调 查 过 程 中 了 解 到 ， 自 际 在 调 查 过 程 中 了 解 到 ， 自 2 0 1 4 年 起 即 存 在 第 三 方 对 喜 达 屋 网 络 未 经 授 权 的 访 问 ， 但 公 司 直 到 年 起 即 存 在 第 三 方 对 喜 达 屋 网 络 未 经 授 权 的 访 问 ， 但 公 司 直 到 2 0 1 8 年 年 9 月 才 第 月 才 第 一 次 收 到 警 报 。 一 次 收 到 警 报 。 万 豪 国 际 还 表 示 ， 泄 露 的 5 亿 人 次 的 信 息 中 ， 约 有 3 . 2 7 亿 人 的 信 息 包 括 如 下 信 息 的 组 合 ： 姓 名 、 邮 寄 地 址 、 电 话 号 码 、 电 子 邮 件 地 址 、 护 照 号 码 、 S P G 俱 乐 部 账 户 信 息 、 出 生 日 期 、 性 别 、 到 达 与 离 开 信 息 、 预 订 日 期 和 通 信 偏 好 ； 更 为 严 重 的 是 ， 对 于 某 些 客 人 而 言 ， 信 息 还 包 括 支 付 卡 号 和 支 付 卡 有 效 期 ， 虽 然 已 经 加 密 ， 但 无 法 排 除 该 第 三 方 已 经 掌 握 密 钥 。 酒 店 行 业 数 据 泄 漏 频 繁 发 生 酒 店 行 业 数 据 泄 漏 频 繁 发 生 酒 店 集 团 的 数 据 泄 漏 问 题 已 经 不 是 第 一 次 。 近 些 年 洲 际 、 希 尔 顿 、 凯 悦 、 文 华 东 方 等 酒 店 集 团 等 不 止 一 次 遭 遇 过 这 类 安 全 事 件 。 上 一 次 华 住 集 团 的 数 据 泄 露 事 件 我 们 还 记 忆 犹 新 。 以 下 是 最 近 几 年 发 生 在 酒 店 行 业 的 部 分 数 据 泄 漏 事 件 ： 2 0 1 8 . 1 0 ： 丽 笙 （ R a d i s s o n ） 酒 店 ， 具 体 泄 露 数 据 量 未 公 布 。 2 0 1 8 . 8 ： 华 住 酒 店 集 团 ， 泄 露 数 据 量 ： 5 亿 条 ， 并 在 暗 网 售 卖 。 2 0 1 7 . 1 0 ： 凯 悦 酒 店 集 团 ， 泄 露 数 据 涉 及 全 球 的 4 1 家 凯 悦 酒 店 。 2 0 1 7 . 4 ： 洲 际 酒 店 集 团 ， 泄 露 数 据 涉 及 超 过 1 0 0 0 家 酒 店 。 2 0 1 4 和 2 0 1 5 ： 希 尔 顿 酒 店 集 团 ， 泄 露 数 据 涉 及 超 过 3 6 万 条 支 付 卡 数 据 。 阿 里 云 安 全 阿 里 云 安 全   . 徜 徉 云 上 世 界 ， 仰 望 安 全 星 空 。   W e l c o m e   o n   b o a r d   !
酒 店 集 团 数 据 泄 露 事 件 三 大 主 因 酒 店 集 团 数 据 泄 露 事 件 三 大 主 因 从 这 几 起 典 型 的 酒 店 数 据 泄 露 事 件 的 原 因 来 看 ， 主 要 有 以 下 几 种 ： 1 .   未 经 授 权 的 第 三 方 组 织 窃 取 数 据 未 经 授 权 的 第 三 方 组 织 窃 取 数 据 虽 然 万 豪 并 未 明 确 指 出 数 据 泄 露 的 原 因 ， 但 从 官 方 声 明 中 提 到 的 ” a n   u n a u t h o r i z e d   p a r t y ” ， 可 以 猜 测 本 次 数 据 泄 露 与 第 三 方 支 持 人 员 有 很 大 关 系 。 酒 店 管 理 系 统 比 较 复 杂 ， 通 常 涉 及 大 量 第 三 方 参 与 系 统 开 发 与 运 维 支 持 。 因 此 很 容 易 出 现 第 三 方 支 持 人 员 或 者 内 部 人 员 利 用 系 统 漏 洞 取 得 数 据 库 访 问 权 限 。 而 2 0 1 7 年 凯 悦 酒 店 集 团 的 数 据 泄 露 事 件 也 是 一 些 酒 店 I T 系 统 被 注 入 第 三 方 恶 意 软 件 代 码 ， 通 过 酒 店 管 理 系 统 的 漏 洞 获 取 数 据 库 的 访 问 权 限 ， 从 而 提 取 酒 店 客 户 的 支 付 卡 信 息 并 解 密 。 2 .   特 权 账 号 被 公 开 至 特 权 账 号 被 公 开 至 G i t h u b 导 致 泄 露 导 致 泄 露 这 类 原 因 以 华 住 集 团 的 泄 漏 事 件 为 典 型 代 表 ， 开 发 人 员 将 包 含 有 数 据 库 账 号 和 密 码 的 代 码 传 至 了 G i t h u b 上 ， 被 黑 客 扫 描 到 以 后 进 行 了 拖 库 。 这 一 类 原 因 已 经 成 为 全 行 业 数 据 泄 露 的 主 要 原 因 之 一 ， U b e r 在 2 1 0 7 年 因 此 泄 露 了 5 7 0 0 万 用 户 信 息 。 3 .   P O S 机 被 恶 意 软 件 感 染 机 被 恶 意 软 件 感 染 这 一 原 因 的 典 型 事 件 是 希 尔 顿 和 洲 际 酒 店 集 团 。 据 公 开 的 消 息 ， 这 两 起 数 据 泄 露 事 件 都 是 由 于 P O S 机 被 植 入 了 恶 意 程 序 ， 导 致 支 付 卡 信 息 被 窃 取 。 事 件 暴 露 的 数 据 安 全 隐 患 事 件 暴 露 的 数 据 安 全 隐 患 数 据 安 全 问 题 是 一 个 很 大 的 话 题 ， 无 法 用 一 篇 文 章 讲 完 。 我 们 仅 综 合 近 些 年 的 数 据 泄 露 事 件 和 企 业 在 数 据 安 全 领 域 最 常 见 的 几 个 误 区 ， 总 结 出 以 下 几 个 最 明 显 的 问 题 ： 内 部 安 全 意 识 不 强 ， 开 发 人 员 的 安 全 红 线 要 求 缺 失 ； 管 理 者 对 业 务 系 统 存 在 的 漏 洞 和 安 全 风 险 心 存 侥 幸 ， 不 发 生 安 全 事 件 就 假 装 视 而 不 见 ； 对 敏 感 数 据 资 产 梳 理 不 清 ， 哪 些 人 、 哪 些 系 统 有 访 问 权 限 情 况 不 明 ， 数 据 安 全 管 控 无 从 下 手 ； 敏 感 数 据 字 段 未 进 行 加 密 ， 一 旦 泄 露 就 是 明 文 数 据 ； 或 使 用 了 数 据 库 自 身 的 密 钥 管 理 机 制 做 加 密 ， 但 数 据 库 本 身 无 法 保 证 安 全 ， 密 钥 也 可 以 被 黑 客 所 窃 取 ； 对 数 据 异 常 访 问 行 为 缺 乏 检 测 和 审 计 手 段 ， 导 致 泄 露 发 生 多 年 后 才 被 发 现 （ 更 大 的 可 能 性 是 大 多 数 企 业 从 来 没 有 发 现 过 ） 。 酒 店 集 团 酒 店 集 团 7 步 安 全 建 议 步 安 全 建 议 当 前 ， 以 数 据 安 全 生 命 周 期 进 行 安 全 管 控 的 最 佳 实 践 已 经 成 为 业 内 数 据 安 全 治 理 的 共 识 。
我 们 也 深 知 ， 大 部 分 企 业 不 可 能 一 次 性 把 所 有 事 情 全 部 做 完 ， 我 们 从 防 丢 失 、 防 滥 用 、 防 篡 改 、 防 泄 露 四 个 方 向 出 发 ， 按 照 先 易 后 难 、 风 险 从 高 到 低 的 优 先 级 给 出 如 下 建 议 ： 严 控 代 码 严 控 代 码 ： 此 时 此 刻 ， 就 立 即 告 诉 包 括 第 三 方 外 包 服 务 商 在 内 的 所 有 开 发 人 员 ， 不 允 许 将 任 何 的 开 发 代 码 上 传 到 第 三 方 平 台 ， 已 经 传 上 去 的 代 码 立 即 删 除 ； 阿 里 云 已 经 看 到 太 多 企 业 因 为 代 码 传 至 G i t h u b 而 引 发 的 大 规 模 数 据 泄 露 事 件 ； 全 业 务 渗 透 测 试 全 业 务 渗 透 测 试 ： 如 果 你 的 企 业 已 经 有 超 过 半 年 以 上 没 有 进 行 过 渗 透 测 试 ， 尽 快 启 动 一 次 针 对 全 业 务 的 渗 透 ， 堵 上 可 能 存 在 威 胁 数 据 安 全 的 漏 洞 。 为 什 么 是 全 业 务 ？ 因 为 你 可 能 并 不 清 楚 一 些 不 起 眼 的 边 缘 业 务 系 统 里 可 能 就 有 公 司 内 部 人 员 的 账 号 ； 权 限 梳 理 权 限 梳 理 ： 尽 快 完 成 对 业 务 系 统 敏 感 数 据 、 访 问 人 员 和 权 限 的 梳 理 。 对 大 部 分 中 小 企 业 来 说 ， 完 成 梳 理 并 不 需 要 太 多 时 间 ， 而 且 自 己 就 可 以 完 成 ， 成 本 较 低 ； 数 据 加 密 数 据 加 密 ： 对 梳 理 出 来 的 敏 感 数 据 进 行 分 类 分 级 ， 确 定 哪 些 字 段 必 须 加 密 ， 利 用 第 三 方 的 透 明 加 密 系 统 、 云 上 的 加 密 服 务 / 密 钥 管 理 服 务 逐 步 完 成 系 统 改 造 ； 审 计 与 分 析 审 计 与 分 析 ： 建 设 数 据 访 问 控 制 、 日 志 审 计 和 异 常 行 为 分 析 手 段 ， 对 第 三 方 系 统 、 外 包 人 员 和 内 部 人 员 的 权 限 进 行 严 格 限 制 ， 对 数 据 访 问 行 为 进 行 审 计 、 分 析 和 监 控 ； 数 据 脱 敏 数 据 脱 敏 ： 在 开 发 测 试 和 运 维 环 节 ， 建 设 数 据 静 态 / 动 态 脱 敏 手 段 ， 确 保 生 产 数 据 的 抽 取 、 查 看 受 到 严 格 保 护 ； 在 应 用 系 统 后 台 管 理 中 严 格 限 制 数 据 导 出 落 地 ， 同 时 在 系 统 中 做 好 日 志 埋 点 ； 办 公 网 安 全 办 公 网 安 全 ： 建 设 办 公 网 的 数 据 防 泄 漏 系 统 ， 完 成 数 据 防 泄 漏 从 生 产 网 到 办 公 网 的 闭 环 。
* 本 文 作 者 ： 阿 里 云 安 全 ， 转 载 请 注 明 来 自 本 文 作 者 ： 阿 里 云 安 全 ， 转 载 请 注 明 来 自 F r e e B u f . C O M 阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理