来自云存储的数据

对手可能会访问云存储中的数据。 许多IaaS提供商提供在线数据对象存储解决方案，如Amazon S3、Azure Storage和Google Cloud Storage。同样，SaaS企业平台如Office 365和Google Workspace通过OneDrive和Google Drive等服务为用户提供基于云的文档存储，而SaaS应用程序提供商如Slack、Confluence、Salesforce和Dropbox可能提供云存储解决方案作为其平台的外围或主要用例。 在某些情况下，如基于IaaS的云存储，没有与存储对象交互的总体应用程序（如SQL或Elasticsearch）：相反，这些解决方案中的数据是通过云API直接检索的。在SaaS应用程序中，对手可能能够直接从API或后端云存储对象中收集这些数据，而不是通过其前端应用程序或界面（即，来自信息库的数据）。 对手可能会从这些云存储解决方案中收集敏感数据。提供商通常提供安全指南以帮助最终用户配置系统，但配置错误是一个常见问题。(引用: Amazon S3 Security, 2019)(引用: Microsoft Azure Storage Security, 2019)(引用: Google Cloud Storage Best Practices, 2019) 已经发生了许多事件，其中云存储未正确保护，通常是通过无意中允许未经身份验证的用户公开访问、所有用户的过度访问，甚至是任何匿名人员在不需要基本用户权限的情况下访问。 这种开放访问可能会暴露各种类型的敏感数据，如信用卡、个人身份信息或医疗记录。(引用: Trend Micro S3 Exposed PII, 2017)(引用: Wired Magecart S3 Buckets, 2019)(引用: HIPAA Journal S3 Breach, 2017)(引用: Rclone-mega-extortion_05_2021) 对手还可能获取并滥用从源代码库、日志或其他方式泄露的凭据，以访问云存储对象。