T1530: 云端存储中的数据

摘要

攻击者可能访问云端存储中的数据。 许多 IaaS 提供商提供在线数据对象存储解决方案，如 Amazon S3、Azure Storage 和 Google Cloud Storage。同样，Office 365 和 Google Workspace 等 SaaS 企业平台通过 OneDrive 和 Google Drive 等服务为用户提供基于云的文档存储，而 Slack、Confluence、Salesforce 和 Dropbox 等 SaaS 应用提供商可能将云存储解决方案作为其平台的边缘或主要用例提供。 在某些情况下，与基于 IaaS 的云存储一样，不存在可供交互的统一应用程序（如 SQL 或 Elasticsearch）来与存储的对象进行交互：相反，这些解决方案中的数据是通过[云 API](https://attack.mitre.org/techniques/T1059/009)直接检索的。在 SaaS 应用中，攻击者可能直接从 API 或后端云存储对象收集这些数据，而非通过其前端应用或界面（即[来自信息存储库的数据](https://attack.mitre.org/techniques/T1213)）。 攻击者可能从这些云存储解决方案中收集敏感数据。提供商通常会提供安全指南来帮助最终用户配置系统，但配置错误是一个常见问题。(Citation: Amazon S3 Security, 2019)(Citation: Microsoft Azure Storage Security, 2019)(Citation: Google Cloud Storage Best Practices, 2019) 已经发生过大量云存储未正确保护的事件，通常是由于无意中允许未经身份验证的用户公开访问、所有用户的权限过宽，甚至允许身份访问管理系统（Identity Access Management）控制之外的任何匿名人员访问，而无需要基本的用户权限。 这种开放访问可能暴露各类敏感数据，如信用卡、个人可识别信息或医疗记录。(Citation: Trend Micro S3 Exposed PII, 2017)(Citation: Wired Magecart S3 Buckets, 2019)(Citation: HIPAA Journal S3 Breach, 2017)(Citation: Rclone-mega-extortion_05_2021) 攻击者还可能从源代码仓库、日志或其他途径获取并滥用泄露的凭据，以此访问云存储对象。