什么是数据泄露？

了解数据泄露的发生方式不应局限于观察单一事件。大多数的数据泄露都是可能被威胁行动者利用的一系列漏洞、错误操作或被忽视的风险所造成的。

网络攻击者通常通过识别最容易突破的入口点来获取访问权限，通常是通过人为疏漏或流程缺陷，而不单纯是技术薄弱环节。常见示例包括：

• 网络钓鱼和社会工程。 网络钓鱼仍然是最常见的入口点之一。恶意行动者会模拟受信任实体（如 IT 团队或供应商）来诱使用户共享凭据或批准访问请求。类似的策略（如语音钓鱼）使用电话呼叫来实现相同的目标。
• 被盗用的凭据。 弱密码或重用密码仍是一个主要风险。如果不实施强身份验证控制（如 多重身份验证 [MFA]），网络攻击者就可以在不触发即时警报的情况下获取访问权限。
• 未修补的漏洞。 过时的系统和软件可能会暴露已知漏洞。威胁行动者会主动扫描这些漏洞，并利用它们侵入系统。
• 配置错误的服务。 当存储或服务配置不正确时，云环境会产生风险。可公开访问的数据存储是导致频繁泄露的来源。
• 第三方公开。 供应商和合作伙伴通常有权访问内部系统和共享平台，例如客户关系管理 (CRM) 工具。如果安全状况较差，它们就有可能会成为间接入口点。
• 内部操作。 并非所有数据泄露都源于外部。员工或承包商可能会无意中公开数据，或者在部分情况下也可能存在恶意操作。

大多数网络攻击者会蓄意分步攻击，力求最大化攻击影响，同时规避检测。其中包括：

• 信息收集和侦查 - 威胁行动者会收集有关系统、用户和潜在漏洞的信息，以确定有价值的目标。

• 初始访问 - 网络攻击者通过被盗用的凭据、网络钓鱼或其他漏洞获取访问权限。

• 持久化 - 他们会确定长期维持访问权限的方法，即使攻击目标发现了初始入口点，攻击者也仍然可以访问。

• 横向移动 - 通过单个被盗用帐户，恶意行动者可尝试跨系统扩展访问权限，并且通常尽可能以特权帐户为目标。

• 数据外泄 - 攻击者会收集敏感数据并传输到环境外部，有时会少量递增以规避检测。

• 变现或勒索 - 被盗数据可能会被出售、公开泄露或用于勒索软件或勒索方案。

数据泄露生命周期充分说明了强标识控制和早期检测对于限制损害至关重要的原因。

组织会遇到多种不同类型的数据泄露，每种数据泄露都具有其自身的风险和缓解策略。虽然这些类别通常重叠，但将它们理解为单一事件有助于团队确定网络防御的优先级。

外部网络攻击者会使用恶意软件、勒索软件或凭据填充等技术来获取访问权限。在凭据填充中，恶意行动者使用被盗用户名和密码组合来尝试访问多个帐户。这些网络攻击通常是自动化的，并以经常出现的漏洞为目标。

内部泄露可能出于恶意，也可能是意外事件。例如，员工可能会出于个人利益而有意提取数据，或因为错误配置的共享设置或成为社会工程的受害者而在无意中公开了敏感信息。

笔记本电脑和外部驱动器等设备，或者甚至纸质文档都有可能丢失或被盗。如果没有实施适当的保护，它们有可能在组织控制范围之外公开敏感数据。

组织采用云服务后，配置错误的存储或权限可能会导致数据可公开访问。如果不开展持续监视，通常难以检测到这些问题。

组织日益依赖于合作伙伴和供应商。即使组织自己的系统保持安全状态，影响第三方的数据泄露仍有可能公开共享数据。

凭据泄露（通过网络钓鱼、密码重用或暴力攻击）是基于标识的泄露的最常见诱发因素之一，这会导致网络攻击者可以使用有效凭据来访问系统和数据。

数据泄露可能会产生深远的后果，并不局限于即时的技术修正。对于许多组织来说，最重要的影响不是泄露本身，而是后续的连锁影响。

数据泄露的成本包括多个响应和恢复层。如果安全漏洞导致数据泄漏，组织必须调查事件、遏制威胁、通知受影响的个人，并且通常会提供额度监视等修正服务。

就运营而言，泄露可能会中断业务流程、延迟项目以及从战略优先事项转移资源。

组织还必须满足与 法规合规性相关的要求，这一点因地区和行业而异，包括严格的泄露报告时间线以及维护数据处理活动和数据映射的记录。

常见的法规框架包括：

• 一般数据保护条例 (GDPR) 要求及时发布数据泄露通知并采用严格的数据处理做法。
• 加州消费者隐私法案 (CCPA)/加州隐私权利法案 (CPRA) 侧重于消费者隐私权和透明度。
• 健康保险流通与责任法案 (HIPAA) 管理健康信息的保护。
• 支付卡行业数据安全标准 (PCI DSS) 适用于支付卡数据安全性。

如果不遵守规定，可能会导致来自监管机构的处罚、法律诉讼和更严格的审查。

除了财务和法律后果之外，泄露还可能会损害信任。客户、合作伙伴和利益干系人可能会对组织保护敏感信息的能力失去信心，尤其是在卷影数据、基于标识的攻击或内部威胁等风险扩大了泄露的范围和影响时。这种影响通常难以量化，但随着时间的推移可能会形成显著影响。

即使采取强预防措施，组织也必须假定可能会发生泄露。快速检测和响应的能力对于最大程度降低影响至关重要。

新式检测依赖于跨系统、用户和数据关联信号，包括：

• 通过安全信息和事件管理 (SIEM) 和安全业务流程自动响应 (SOAR) 平台监视活动。
• 使用终结点和标识遥测来检测异常。
• 应用数据丢失防护 (DLP) 策略来识别异常数据移动。

这些功能通常是合并了多个工具和数据源的更广泛的 IT 安全策略的一部分。

有效的 事件响应 计划有助于确保安全团队能够快速一致地行动。

关键成分包括：

• 定义明确的角色和升级路径
• 常见方案的预生成 Runbook
• 法律和合规工作流
• 内部团队、客户和外部利益干系人的通信计划

识别到数据泄露后，需要立即采取措施来限制其传播。

组织通常会采取行动，以：

• 隔离受影响的系统或标识。
• 撤消访问权限并轮换凭据。
• 保留证据以供调查。

采取遏制措施后，团队将专注于还原系统并降低重复发生的风险。恢复通常涉及：

• 通过干净备份还原操作。
• 验证系统完整性和访问控制。
• 确定差距并加强防御。
• 通过定期测试改进响应工作。

为了防止数据泄露，组织需要采用主动分层方法来处理标识、数据、基础结构和人类行为。请考虑实施以下安全最佳做法：

• 采用零信任模型：零信任基于“从不信任，始终验证”的原则。这意味着持续验证访问请求、强制执行最低权限，并假定泄露可能会随时发生。
• 增强标识安全性：标识通常是主要攻击途径。组织应强制实施 MFA、监视标识风险、限制特权访问，并定期轮换机密以减少暴露。
• 通过治理保护数据：应根据敏感度对数据进行分类，并设置控制措施以防止未经授权的访问或共享。与数据安全状况管理 (DSPM) 一致的解决方案可帮助组织了解敏感数据的驻留位置及其使用方式。
• 安全的云环境：云采用带来了新的风险。云安全状况管理 (CSPM)、云工作负荷保护平台 (CWPP) 和云原生应用程序保护平台 (CNAPP) 等解决方案有助于在错误配置和漏洞被利用识别它们。
• 管理漏洞并减少攻击面：持续修补和漏洞管理有助于在已知漏洞被利用之前提前解决它们。
• 降低人为风险：员工仍是一条关键防线。定期培训可帮助用户识别社会工程策略（如网络钓鱼或语音钓鱼），并避免导致泄露的常见错误。
• 缓解第三方风险：应定期开展针对供应商和合作伙伴的评估，以确保其满足安全要求，并且不会引入其他风险。
• 准备应对事件：再强大的防御也可能会遇到失败。组织应通过模拟和桌面推演定期测试事件响应计划，以确保准备就绪。

解决数据泄露风险不仅需要保护数据。它需要跨标识、数据、终结点、云环境和安全解决方案来协调可见性和控制。Microsoft 安全解决方案旨在通过协同工作来支持此方法。

主要解决方案领域包括：

• 标识保护—Microsoft Entra 利用 MFA、条件访问和标识风险检测来帮助抵御基于凭据的攻击。
• 数据安全性和治理-Microsoft Purview 旨在帮助组织在敏感数据生命周期内对其进行分类、保护和管理。
• 威胁防护-Microsoft Defender 提供跨终结点、电子邮件和云应用程序的扩展检测和响应。
• 云安全状况-Microsoft Defender for Cloud 有助于保护云工作负载，并使用 CSPM 和 CNAPP 功能识别错误配置。
• 安全运营-Microsoft Sentinel 支持高级威胁检测、调查和自动响应。