什么是数据泄露?泄露途径有哪些?企业如何免遭数据泄露?

数据泄露指将机密信息、私人信息或其他敏感信息发布到不安全的环境中。数据泄露可能由意外引起,也可能是蓄意攻击的结果。

每年都有数百万人卷入数据泄露,包括意外看错病人图表的医生,以及大规模尝试访问政府计算机以发现敏感信息。

因为敏感数据不断地通过互联网传输,因此数据泄露是主要安全问题。由于需要连续传输信息,攻击者可以在任何位置尝试对其选择的几乎任何个人或企业进行数据泄露攻击。

世界各地的企业也以数字形式存储数据。存储数据的服务器通常容易受到各种形式的网络攻击。

谁通常是数据泄露的目标?

由于大型公司提供大量有效负载,因此是数据泄露攻击者的主要目标。这些有效负载包括数百万用户的个人和财务信息,例如登录凭据和信用卡号。这些数据都可以在地下市场转售。

然而,攻击者会针对可以从中提取数据的所有人。所有个人或机密数据对网络犯罪分子都很有价值——通常,世界上某个人愿意为此付费。

数据泄露有哪些主要途径?

凭据丢失或被盗 - 在线查看私人数据的最简单方法是使用其他人的登录凭据登录服务。为此,攻击者采用一系列策略来获取人们的登录名和密码。其中包括蛮力攻击和在途攻击。
丢失或被盗的设备——丢失的计算机或智能手机包含机密信息,如果落入坏人之手,会非常危险。
社会工程学攻击 - 社会工程学攻击指通过操纵人们的心理来诱使他们交出敏感信息。例如,攻击者可能冒充 IRS 代理打电话给受害者,试图说服他们透露其银行帐户信息。
内部威胁 - 有权访问受保护信息的个人故意泄露相关数据,这通常是为了谋取私利。例如,餐厅服务员复制客户的信用卡号,高级政府雇员将机密出售给其他国家。(了解有关内部威胁的更多信息。)
漏洞利用——世界上几乎每家公司都使用各种不同的软件产品。由于软件非常复杂,它通常包含被称为“漏洞”的缺陷。攻击者可以利用这些漏洞来获得未经授权的访问并查看或复制机密数据。
恶意软件感染——许多恶意软件程序旨在窃取数据或跟踪用户活动,将它们收集的信息发送到攻击者控制的服务器。
实体销售点攻击 - 这些攻击旨在获取信用卡和借记卡信息,最常见的方式是通过扫描和读取这些卡的设备来发动攻击。例如,有人可能会安装假的 ATM 机,甚至将扫描仪安装到合法的 ATM 机上,以期收集卡号和密码。
凭据填充 - 某个用户的登录凭据在数据泄露中公开后,攻击者可能会尝试再用这些凭据登录许多其他的平台。如果该用户使用相同的用户名和密码登录多种服务,则攻击者可能会访问受害者的电子邮件、社交媒体和/或在线银行帐户。
缺乏加密——如果收集个人或财务数据的网站不使用 SSL/TLS 加密,任何人都可以监控用户与网站之间的传输并以查看明文形式的数据。
配置错误的 Web 应用程序或服务器——如果网站、应用程序或 Web 服务器设置不正确,则可能会将数据暴露给任何具有互联网连接的人。无意中发现机密数据的用户或有意寻找机密数据的攻击者可能会看到这些数据。


现实世界中的数据泄露是怎样的?

2017 年的 Equifax 数据泄露事件是大规模数据泄露的一个主要示例。Equifax 是一家美国征信机构。2017 年 5 月至 6 月期间,恶意方访问了 Equifax 服务器中近 1.5 亿美国人、约 1500 万英国公民和约 19,000 名加拿大公民的私人记录。这次攻击之所以成为可能,是因为 Equifax 没有为他们系统中的软件漏洞应用补丁。

较小规模的数据泄露也会产生重大影响。2020 年,攻击者劫持了众多知名人士和有影响力人士的 Twitter 帐户。由于最初的社交工程攻击让攻击者得以访问 Twitter 的内部管理工具,因此导致了这次攻击。从最初的违规行为开始,攻击者能够盗用多个人的帐户并发起一个骗局,该骗局收集了大约 117,000 美元的比特币。

近几十年来最著名的一起数据泄露事件是 2013 年针对主要零售商 Target 发起的网络攻击。这次攻击使用的策略组合非常复杂。它涉及社会工程学攻击、劫持第三方供应商,以及在实体销售点设备上发起大规模攻击。

攻击者通过网络钓鱼诈骗发起攻击,钓鱼的对象是为 Target 商店提供空调制冷设备的一家空调公司的雇员。这些空调连接到 Target 网络的计算机上以监控能源使用情况。为了进入 Target 系统,攻击者入侵了这家空调公司的软件。最终,攻击者得以对 Target 商店中的信用卡扫描程序重新编程,使之向攻击者提供客户信用卡数据。这些扫描仪未联网,但经过编程可以定期将保存的信用卡数据转存到攻击者监控的访问点中。这次攻击取得了成功,导致大约 1.1 亿目标客户的数据被泄露。

企业如何防止数据泄露?


由于数据泄露有多种形式,没有单一的解决方案可以阻止数据泄露,因此需要一种整体方法。企业可以采取的一些主要步骤包括:

访问控制:雇主可以通过确保其雇员仅具有完成其工作所需的最小访问权限,来防止数据泄露。

加密:企业应当使用 SSL/TLS 加密来加密他们的网站和收到的数据。企业还应该对存储在其服务器或员工设备上的静态数据进行加密。

Web 安全解决方案:Web 应用程序防火墙 (WAF) 可以保护企业免受旨在造成数据泄露的多种应用程序攻击和漏洞利用。实际上,根据推测,如果 Equifax 能正确配置 WAF,就可以避免 2017 年遭受的重大数据泄露攻击。

网络安全:除了 Web 资产外,企业还必须保护其内部网络不受入侵。防火墙、DDoS 防护、安全 Web 网关、数据丢失防护 (DLP) 都能帮助保持网络安全。

保持软件和硬件最新:旧版本的软件是危险的。软件几乎总是包含漏洞,如果利用得当,攻击者可以访问敏感数据。软件供应商定期发布安全补丁或全新版本的软件来修补漏洞。如果未安装这些补丁和更新,攻击者将能够入侵这些系统——就像 Equifax 漏洞中所发生的那样。过了某个时间点,供应商将不再支持软件产品,这会导致该软件对发现的任何新漏洞完全开放。

准备:公司应制定应对计划,在数据泄露的情况下执行,以尽量减少或遏制信息泄露。例如,公司应该保留重要数据库的备份副本。

培训:社会工程是数据泄露最普遍的原因之一。培训员工识别和应对社会工程攻击。

用户如何保护自己免遭数据泄露?


以下是保护数据的一些技巧,尽管这些操作本身并不能保证数据安全:

为每个服务使用独特的密码:许多用户在多个在线服务中重复使用密码。结果是,当其中一项服务发生数据泄露时,攻击者也可以使用这些凭据来入侵用户的其他帐户。

使用双因素身份验证:双因素身份验证 (2FA) 是指在允许登录之前,使用一种以上的验证方法来确认用户的身份。2FA 最常见的一种形式是除了密码外,用户还需输入发送到其手机的独特一次性代码。实施 2FA 的用户不太容易受到泄露登录凭据的数据泄露的影响,因为他们的密码本身不足以让攻击者窃取他们的帐户。

仅在 HTTPS 网站上提交个人信息:不使用 SSL 加密的网站,其 URL 中将只有“http://”,而不是“https://”。没有加密的网站会暴露在该网站上输入的任何数据,从用户名和密码到搜索查询和信用卡号。

保持软件和硬件最新:这个建议同时适用于用户和企业。

加密硬盘:如果用户的设备被盗,加密会阻止攻击者查看本地存储在该设备上的文件。但是,这并不能阻止通过恶意软件感染或其他方法远程访问设备的攻击者。

仅安装来自可靠来源的应用程序和打开来自可靠来源的文件:用户每天都会意外下载和安装恶意软件。确保您打开、下载或安装的任何文件或应用程序确实来自合法来源。此外,用户应避免打开意外的电子邮件附件——攻击者经常将恶意软件伪装在看似无害的电子邮件附件中。

本文来自互联网用户投稿,该文观点仅代表作者本人,不代表本站立场。本站仅提供信息存储空间服务,不拥有所有权,不承担相关法律责任。如若转载,请注明出处:/a/148292.html

如若内容造成侵权/违法违规/事实不符,请联系我们进行投诉反馈qq邮箱809451989@qq.com,一经查实,立即删除!

相关文章

向量矩阵范数pytorch

向量矩阵范数pytorch 矩阵按照某个维度求和(dim就是shape数组的下标)1. torch1.1 Tensors一些常用函数 一些安装问题cd进不去不去目录PyTorch里面_表示重写内容 在默认情况下,PyTorch会累积梯度,我们需要清除之前的值 范数是向量或…

企业级真实应用利用Mybatis-Plus进行分页查询处理

怎么导入依赖我在之前的文章里边有说过不理解的可以看看 你应该懂点Mybatis-plus&#xff0c;真的好用 1&#xff1a;了解Page<T>类的使用 首先我们需要使用到Page类 &#xff0c;建立一个Page类&#xff0c;泛式类型中放入我们需要输出的类&#xff0c;是列表的话就…

分享5款好用到爆的神仙软件

​ 最近陆陆续续收到好多小伙伴的咨询&#xff0c;这边也是抓紧时间整理出几个好用的软件&#xff0c;希望可以帮到大家。 1.全局鼠标手势——MouseInc ​ MouseInc是一款由shuax制作的全局鼠标手势软件&#xff0c;还支持很多增强辅助功能&#xff0c;如屏幕取色、窗口管理、…

前端学习笔记--Event-loop

定义 Event Loop&#xff1a;即事件循环&#xff0c;是指浏览器或Node的一种解决javaScript单线程运行时不会阻塞的一种机制&#xff0c;也就是我们经常使用异步的原理。 **进程&#xff1a;**进程是计算机中的程序关于某数据集合上的一次运行活动&#xff0c;是系统进行资源分…

vmware安装MacOS以及flutter遇到的问题

安装过程&#xff1a;参考下面的文章 链接&#xff1a; 虚拟机VMware安装苹果系统macOS&#xff0c;超级详细教程&#xff0c;附文件下载&#xff0c;真教程&#xff01;&#xff01; 无限重启情况&#xff1a; &#xff08;二&#xff09; 配置虚拟机找到你的虚拟机安装文件…

查询站点真实IP地址,绕过CDN

一.如何判断站点是否使用了CDN&#xff1f; 使用其他省市的电脑进行ping看返回的IP地址是否相同通过第三方网站查询 站长工具 3.nslookup命令 二. 如何绕过CDN获取真实IP 子域名查询&#xff0c;因为很多站点只对主域名进行了CDN加速网站邮件头信息微步在线DNS查询

[PyTorch][chapter 63][强化学习-QLearning]

前言&#xff1a; 这里结合走迷宫的例子,重点学习一下QLearning迭代更新算法 0,1,2,3,4 是房间&#xff0c;之间绿色的是代表可以走过去。 5为出口 可以用下图表示 目录&#xff1a; 策略评估 策略改进 迭代算法 走迷宫实现Python 一 策略评估 强化学习最终是为了…

算法通关村——数组中第K大的数字

数组中第K大的数字 1、题目描述 ​ LeetCode215. 数组中的第K个最大元素。给定整数数组nums和整数k&#xff0c;请返回数组中第k个最大的元素。请注意&#xff0c;你需要找的是数组排序后的第k个最大的元素&#xff0c;而不是第k个不同的元素。 示例1&#xff1a; 输入&#…

LLM prompt提示工程调试方法经验技巧汇总

现在接到一个LLM模型任务&#xff0c;第一反应就是能不能通过精调prompt来实现&#xff0c;因为使用prompt不需要训练模型&#xff0c;只需输入指令就可以实现和LLM的交互。按照以往经验&#xff0c;不同的prompt对模型输出影响非常大&#xff0c;如果能构造一个好的prompt&…

【23真题】厉害,这套竟有150分满分!

今天分享的是23年中国海洋大学946的信号与系统试题及解析。 本套试卷难度分析&#xff1a;22年中国海洋大学946考研真题&#xff0c;我也发布过&#xff0c;若有需要&#xff0c;戳这里自取!平均分为109-120分&#xff0c;最高分为150分满分&#xff01;本套试题内容难度中等&…

【vue】 实现 自定义 Calendar 日历

图例&#xff1a;自定义日历 一、标签自定义处理 <div class"date-box"><el-calendar v-model"state.currDate" ref"calendar"><template #header"{ date }"><div class"date-head flex"><div …

Golang获取月份的第一天和最后一天

package mainimport ("fmt""strconv""strings""time" )func main() {month : "2023-11"result : GetMonthStartAndEnd(month)fmt.Println(result["start"] " - " result["end"]) }// 获取月…

图形化探索:快速改造单实例为双主、MGR、读写分离等架

单机GreatSQL/MySQL调整架构为多副本复制的好处有哪些&#xff1f;为什么要调整&#xff1f; 性能优化&#xff1a;如果单个GreatSQL服务器的处理能力达到瓶颈&#xff0c;可能需要通过主从复制、双主复制或MGR&#xff0c;以及其他高可用方案等来提高整体性能。通过将读请求分…

zabbix的服务器端 server端安装部署

zabbix的服务器端 server 主机iplocalhost&#xff08;centos 7&#xff09;192.168.10.128 zabbix官网部署教程 但是不全&#xff0c;建议搭配这篇文章一起看 zabbixAgent部署 安装mysql 所有配置信息和Zabbix收集到的数据都被存储在数据库中。 下载对应的yum源 yum ins…

【Linux】非堵塞轮询

堵塞轮询&#xff1a; 堵塞轮询是我们最简单的一种等待方式也是最常应用的等待方式。 但是&#xff0c;一旦阻塞等待也就意味着我们当前在进行等待的时候&#xff0c;父进程什么都干不了。 非堵塞轮询&#xff1a; 其中非阻塞等待&#xff0c;是等待的一种模式&#xff0c; 在…

如何使用Imagewheel+内网穿透搭建私人图床实现公网访问

文章目录 1.前言2. Imagewheel网站搭建2.1. Imagewheel下载和安装2.2. Imagewheel网页测试2.3.cpolar的安装和注册 3.本地网页发布3.1.Cpolar临时数据隧道3.2.Cpolar稳定隧道&#xff08;云端设置&#xff09;3.3.Cpolar稳定隧道&#xff08;本地设置&#xff09; 4.公网访问测…

【淘宝API】商品详情+搜索商品列表接口

淘宝商品详情API接口可以使用淘宝开放平台提供的SDK或API来获取。这些接口可以用于获取商品的详细信息&#xff0c;如标题、价格、描述、图片等。 以下是使用淘宝开放平台API获取商品详情的步骤&#xff1a; 注册淘宝开放平台账号&#xff0c;并创建应用&#xff0c;获取应用…

Sentinel 流控规则

Sentinel 是面向分布式、多语言异构化服务架构的流量治理组件&#xff0c;主要以流量为切入点&#xff0c;从流量路由、流量控制、流量整形、熔断降级、系统自适应过载保护、热点流量防护等多个维度来帮助开发者保障微服务的稳定性。 SpringbootDubboNacos 集成 Sentinel&…

下一代VPN工具:体验TailScale的简便和高效

目录 一、概要VPN 是什么&#xff1f;TailScale 是什么 二、使用1、注册2、下载安装3、 Windows4、Linux5、 Android6、测试 三、Nginx整合Tailscale做端口转发 一、概要 VPN 是什么&#xff1f; 看到 VPN 第一反应应该是翻墙&#xff0c;但 VPN 最初应该也是最普遍的用途应该…

重生奇迹mu圣导师加点

重生奇迹mu圣导师加点&#xff1a;要攻击高可以加力量&#xff0c;平衡系建议加点力量600~800&#xff0c;智力200~400&#xff0c;敏够装备要求&#xff0c;统帅1000&#xff0c;其余加体力。 圣导师靠加力量培养高攻圣导师不现实&#xff0c;建议玩家练魔&#xff0c;低级圣…