萬豪數據泄漏門再敲警鐘 酒店集團7步安全建議

​​11月30日，萬豪酒店官方發佈消息稱，多達5億人次預訂喜達屋酒店客人的詳細我的信息可能遭到泄露。萬豪國際在調查過程當中瞭解到，自2014年起即存在第三方對喜達屋網絡未經受權的訪問，但公司直到2018年9月才第一次收到警報。

萬豪國際還表示，泄露的5億人次的信息中，約有3.27億人的信息包括以下信息的組合：姓名、郵寄地址、電話號碼、電子郵件地址、護照號碼、SPG俱樂部帳戶信息、出生日期、性別、到達與離開信息、預訂日期和通訊偏好；更爲嚴重的是，對於某些客人而言，信息還包括支付卡號和支付卡有效期，雖然已經加密，但沒法排除該第三方已經掌握密鑰。

酒店行業數據泄漏頻繁發生

酒店集團的數據泄漏問題已經不是第一次。近些年洲際、希爾頓、凱悅、文華東方等酒店集團等不止一次遭遇過這類安全事件。上一次華住集團的數據泄露事件咱們還記憶猶新。如下是最近幾年發生在酒店行業的部分數據泄漏事件：

2018.10
麗笙（Radisson）酒店，具體泄露數據量未公佈。

2018.8
華住酒店集團，泄露數據量：5億條，並在暗網售賣。

2017.10
凱悅酒店集團，泄露數據涉及全球的41家凱悅酒店。

2017.4
洲際酒店集團，泄露數據涉及超過1000家酒店。

2014&2015
希爾頓酒店集團，泄露數據涉及超過36萬條支付卡數據。

酒店集團數據泄露事件三大主因

從這幾起典型的酒店數據泄露事件的緣由來看，主要有如下幾種：
**
1.未經受權的第三方組織竊取數據**

雖然萬豪並未明確指出數據泄露的緣由，但從官方聲明中提到的」an unauthorized party」，能夠猜想本次數據泄露與第三方支持人員有很大關係。酒店管理系統比較複雜，一般涉及大量第三方參與系統開發與運維支持。所以很容易出現第三方支持人員或者內部人員利用系統漏洞取得數據庫訪問權限。而2017年凱悅酒店集團的數據泄露事件也是一些酒店IT系統被注入第三方惡意軟件代碼，經過酒店管理系統的漏洞獲取數據庫的訪問權限，從而提取酒店客戶的支付卡信息並解密。

2.特權帳號被公開至Github致使泄露

這類緣由以華住集團的泄漏事件爲典型表明，開發人員將包含有數據庫帳號和密碼的代碼傳至了Github上，被黑客掃描到之後進行了拖庫。這一類緣由已經成爲全行業數據泄露的主要緣由之一，Uber在2107年所以泄露了5700萬用戶信息。

3.POS機被惡意軟件感染

這一緣由的典型事件是希爾頓和洲際酒店集團。據公開的消息，這兩起數據泄露事件都是因爲POS機被植入了惡意程序，致使支付卡信息被竊取。
**
事件暴露的數據安全隱患**

數據安全問題是一個很大的話題，沒法用一篇文章講完。咱們僅綜合近些年的數據泄露事件和企業在數據安全領域最多見的幾個誤區，總結出如下幾個最明顯的問題：

1. 內部安全意識不強，開發人員的安全紅線要求缺失；
2. 管理者對業務系統存在的漏洞和安全風險心存僥倖，不發生安全事件就僞裝視而不見；
3. 對敏感數據資產梳理不清，哪些人、哪些系統有訪問權限狀況不明，數據安全管控無從下手；
4. 敏感數據字段未進行加密，一旦泄露就是明文數據；或使用了數據庫自身的密鑰管理機制作加密，但數據庫自己沒法保證安全，密鑰也能夠被黑客所竊取；
5. 對數據異常訪問行爲缺少檢測和審計手段，致使泄露發生多年後才被發現（更大的可能性是大多數企業歷來沒有發現過）。

**
酒店集團7步安全建議**

當前，以數據安全生命週期進行安全管控的最佳實踐已經成爲業內數據安全治理的共識。

咱們也深知，大部分企業不可能一次性把全部事情所有作完，咱們從防丟失、防濫用、防篡改、防泄露四個方向出發，按照先易後難、風險從高到低的優先級給出以下建議：

1.嚴控代碼：此時此刻，就當即告訴包括第三方外包服務商在內的全部開發人員，不容許將任何的開發代碼上傳到第三方平臺，已經傳上去的代碼當即刪除；阿里雲已經看到太多企業由於代碼傳至Github而引起的大規模數據泄露事件；

2.全業務滲透測試：若是你的企業已經有超過半年以上沒有進行過滲透測試，儘快啓動一次針對全業務的滲透，堵上可能存在威脅數據安全的漏洞。爲何是全業務？由於你可能並不清楚一些不起眼的邊緣業務系統裏可能就有公司內部人員的帳號；

3.權限梳理：儘快完成對業務系統敏感數據、訪問人員和權限的梳理。對大部分中小企業來講，完成梳理並不須要太多時間，並且本身就能夠完成，成本較低；

4.數據加密：對梳理出來的敏感數據進行分類分級，肯定哪些字段必須加密，利用第三方的透明加密系統、雲上的加密服務/密鑰管理服務逐步完成系統改造；

5.審計與分析：建設數據訪問控制、日誌審計和異常行爲分析手段，對第三方系統、外包人員和內部人員的權限進行嚴格限制，對數據訪問行爲進行審計、分析和監控；

6.數據脫敏：在開發測試和運維環節，建設數據靜態/動態脫敏手段，確保生產數據的抽取、查看受到嚴格保護；在應用系統後臺管理中嚴格限制數據導出落地，同時在系統中作好日誌埋點；

7.辦公網安全：建設辦公網的數據防泄漏系統，完成數據防泄漏從生產網到辦公網的閉環。

一直以來，阿里雲都很是重視雲上客戶的數據安全，做爲雲平臺服務商，不只在國內首家發佈了《數據安全白皮書》，還陸續在雲上提供了滲透測試、SSL證書、加密服務、密鑰管理服務和數據庫審計等數據安全服務來保護客戶的數據安全。相比於雲下，阿里雲的一體化安全能力、應急響應速度都有着較大的優點，例如雲上能夠快速對Github代碼泄露風險造成自動化監控，效率大大提高。此外，阿里雲後續還將上線新一代數據安全產品——數據盾。若您有任何問題，請聯繫您的客戶經理，或撥打95187-1熱線，咱們將爲您詳細解答。

做者： 雲安全專家
原文連接 本文爲雲棲社區原創內容，未經容許不得轉載。