最近，有多起与错误配置和变更控制不足相关的网络安全事件在微信安全圈爆出，为保护事主的声誉也给自己减少麻烦，特隐去真实名称，并将有关的案件问题分享如下：
- 配置错误的云存储使上亿个家庭的详细和私有数据被暴露于地下网络。该数据集属于某政府系统的系统服务商，该服务商将数据导出给了数据分析公司，该数据分析公司在安全上配置不足，进而在互联网上暴露了该文件。
- 一项不安全的税务数据库查询导致了一场大规模泄露，其中包含1.5亿个税人员的敏感个人数据，包括工资数据、雇主名称、专项扣除等家庭成员信息。数据库服务器被配置为可公开访问，漏洞被信息服务商发现时，已有大量信息被“拖库”的日志记录。
- 一家房地产租售信息应用的云服务器后台在升级系统时临时禁用了身份验证，造成配置错误的一台服务器允许访问者查看所有的房屋租售信息、中介人员信息以及登录过该应用的人员电话号码，不法分子乘机“拖库”大约5亿条记录。
错误配置往往是在系统初上线或进行变更时发生的，通常会使系统容易受到恶意活动的攻击。一些常见的示例包括：
- 未更改默认密码和初始配置
- 不安全的数据存储设置
- 设置了过多的访问权限甚至全部权限
- 禁用了标准的安全控制措施
对此，昆明亭长朗然科技有限公司网络安全研究员董志军表示：配置错误和变更错误是导致数据泄露的主要原因，这不仅发生在IT人员身上，也经常发生在普通用户身上。比如用户可能会禁用或删除或修改桌面安全软件如防火墙、防病毒以及中断补丁的自动更新服务，甚至有可能为了传输文件的便利而放开guest账户访问敏感文件。这些行为无疑都是人为原因造成的错误，根本原因在于人们的安全意识薄弱，没能认识到错误配置可能带来的危害。
缺乏有效的变更控制是配置错误的常见原因，传统的变更过程涉及多个角色和批准，可能需要数天或数周才能进入生产阶段。现在，云计算动态环境要求敏捷和主动的方法来更新变更控制和补救措施。更为迫切的是强化IT人员、数据管理员以及最终用户的信息安全意识，以规范的操作流程和安全的行为规范，避免人为原因造成的失误。同时，也应采用自动化技术，持续扫描以发现错误配置的资源并实时进行告警和自动修复。
为帮助各类似的组织机构防范由于错误配置和变更失误而造成的信息数据泄露等安全事件，昆明亭长朗然科技有限公司创作了大量的安全意识教程，包括动画视频、电子课件和漫画图片，欢迎有兴趣的客户及行业伙伴联系我们，预览作品及进行采购。
