本田汽车公司（Honda Motor Company）是世界上最大的汽车制造商之一，该公司错误配置了一个ElasticSearch数据库，其中包含大约1.34亿份文件，大约有40GB的数据。 

发现暴露数据库的安全研究员Justin Paine：

这些数据在攻击者手中特别危险的原因是，它准确地显示了内部可能存在漏洞的位置。我不打算说出负责保护本田服务器的主要安全供应商，但数据清楚地说明了他们使用的是哪个供应商，以及哪些服务器启用了安全软件并且是最新的。这些数据似乎显示哪些计算机没有启用安全服务，哪些计算机正在运行较旧的操作系统，如果您有特定的漏洞，则可以使用这些数据快速搜索尚未修补的计算机。

错误地配置云数据库，存储容器或搜索引擎会产生严重后果，尤其在它们包含机密信息的情况下。比如最近公开的Capital One因防火墙配置错误导致AWS的前员工（内部威胁）使用Web应用程序防火墙凭据获取权限提升。这允许访问他们的其中一个S3存储桶并随后暴露超过1亿用户的数据。

近期其他值得注意的公司信息泄露行为：

• Fed Ex（联邦快递）
• National Credit Federation（国家信用联合会）
  
• Verizon（威瑞森通讯）
  
• Australian Broadcasting Corporation（澳大利亚广播公司）
  
• Dow Jones（道琼斯公司）
  
• Macy’s（梅西百货）
  
• Adidas（阿迪达斯）
  
• GoDaddy

“到2022年，至少有95％的云安全漏洞都将是因为客户的配置错误，”Gartner说。 

据Breach Level Index报告，这种通病已经在过去五年中泄漏了超过140亿条数据记录。如果没有全面的安全方法，公司就会把自己暴露在过多的风险之下，主要原因是：

• 没有经验的用户
• 缺乏云服务提供商和环境的统一可见性
• 无法从面向外围的安全性调整到配置管理的安全性
• 前所未有的变化速度、规模和范围

如何避免这些错误配置？ 
di vvyCloud方法使组织能够完全改变他们的部署和构建应用程序的方式。不一定只是技术转变，更多的是文化上的改变。IT部门所做的一切都需要改变：他们如何部署应用程序，他们构建的应用程序，他们如何让客户学习等等。所有这一切都必须改变，因为工程团队可以直接访问基础架构，而旧的配置流程无法安全工作。简单的事实：软件定义基础设施的变化速度和动态特性已经超过了人的能力。如果公司收到一份包含上千个问题的清单，即使有100个人负责解决这些问题，这些问题要么消失，要么转移，要么被更重要的问题取代。企业需要能够实时处理故障。

组织需要一种安全解决方案，该解决方案可提供强制执行策略，降低风险，提供治理，实施合规性以及增强大型混合云基础架构的安全性所必需的自动化。自动化应该为组织通过一个连续的、实时的过程所做的事情提供一个框架，从而减轻这种痛苦，使云基础设施在一个共享责任的世界中变得安全。通过利用安全自动化，公司可以保持敏捷和创新，同时保持技术堆栈的完整性并应用他们认为运营业务所必需的策略。

公司解决方案的核心应该是一个易于使用的界面，客户可以从中管理现有的云基础架构。在规模上，策略执行不能也不应该手动执行。安全自动化可以发现并自动采取措施来解决策略违规或安全问题（如公开的ElasticSearch数据库）。它还允许同时进攻和防御，从而增加创新并降低风险。

本文由白帽汇整理并翻译，不代表白帽汇任何观点和立场
来源：https://thehackernews.com/2019/07/marcus-hutchins-sentenced.html