云存储服务如Amazon S3和Google Cloud Storage提供了可靠、可扩展和易于部署的存储服务，任何能够支付的人都可以使用。客户只需命名一个存储“桶”并设置其访问控制，就可以使用该服务。然而，这种灵活性也带来了风险。每个桶的保密性不受传统的企业安全机制的管辖，而是由桶操作员正确配置访问控制来保证。尽管许多违规事件已被公开与错误配置的云存储相关联，但没有详细的文档说明这些攻击是如何进行的或攻击者如何识别漏洞。此外，没有公共的AWS S3桶名称数据库，因此攻击者必须准确猜测桶的名称。
研究方法
为了确定不安全的云存储被主动攻击的程度，研究人员在UC San Diego和UC Los Angeles部署了数百个AWS S3蜜桶（honeybuckets），具有不同的名称和内容，以诱捕和测量不同的扫描策略。研究人员创建了多个公共AWS S3桶，改变了它们的命名方案和是否泄露它们的URL。为了确保泄露的桶只能通过链接找到，而不是通过猜测桶的名称，研究人员使用字母数字命名桶（例如“q81osr2ba5wnid4g”）。字母数字桶名称使得访客不太可能准确猜测桶的名称，从而给研究人员带来了高的确定性，即桶是通过链接找到，而不是通过猜测名称。
研究结果
研究结果表明，未经邀请的访客通过准确猜测桶的名称来找到AWS S3公共桶，而不是通过找到它们的URL。具有漏洞披露计划的公司命名的桶接收到了更多的未经邀请的流量，而没有漏洞披露计划的公司命名的桶则接收到了较少的流量。人类恶意行为者阅读和解释了公共桶中的敏感文件。研究人员还发现，公司命名的桶被扫描的次数最多，操作次数（如列出桶目录和下载文件）和IP地址也最多。
结论意义
对于运维和网络工程师来说，了解云存储扫描行为的研究结果具有重要的实际意义。研究结果表明，攻击者正在积极地寻找和利用不安全的云存储，特别是那些具有漏洞披露计划的公司命名的桶。因此，企业应确保其云存储桶的访问控制配置正确，并定期监测其桶的安全性，以防止未经授权的访问和数据泄露。
原文: APNIC Blog（2024-11-04）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog