[[431523]]

IT中斷服務(wù)提供商Continuity公司日前發(fā)布了一份研究報(bào)告，分析了企業(yè)存儲(chǔ)系統(tǒng)的漏洞和錯(cuò)誤配置。研究結(jié)果表明，存儲(chǔ)系統(tǒng)的安全性明顯低于IT基礎(chǔ)設(shè)施的計(jì)算和網(wǎng)絡(luò)這兩個(gè)類(lèi)別。

這個(gè)發(fā)現(xiàn)令人擔(dān)憂，因?yàn)榕c可能導(dǎo)致安全問(wèn)題的對(duì)單個(gè)端點(diǎn)或服務(wù)器的網(wǎng)絡(luò)攻擊不同，針對(duì)存儲(chǔ)系統(tǒng)的攻擊可能具有真正的破壞性。

一個(gè)存儲(chǔ)陣列的漏洞就可能導(dǎo)致數(shù)千臺(tái)服務(wù)器停機(jī)，并清除數(shù)PB的數(shù)據(jù)，考慮到過(guò)去三年針對(duì)企業(yè)數(shù)據(jù)的勒索軟件攻擊的增加，這是一個(gè)可怕的前景。

此次調(diào)查對(duì)來(lái)自Brocade、Cisco、Dell EMC、IBM、Hitachi Data Systems、NetApp等供應(yīng)商的400多臺(tái)企業(yè)存儲(chǔ)設(shè)備的數(shù)據(jù)進(jìn)行了分析。

存儲(chǔ)系統(tǒng)漏洞的影響

• 檢測(cè)到6300多個(gè)獨(dú)立的安全問(wèn)題，如漏洞和錯(cuò)誤配置。
• 170多條安全原則沒(méi)有得到完全遵守。
• 平均而言，企業(yè)存儲(chǔ)設(shè)備有15個(gè)安全漏洞。其中大約有三個(gè)被認(rèn)為是高風(fēng)險(xiǎn)或嚴(yán)重風(fēng)險(xiǎn)評(píng)級(jí)——這意味著如果被利用，它們可能會(huì)帶來(lái)重大的問(wèn)題。
• 五種最常見(jiàn)的漏洞類(lèi)型包括：使用易受攻擊的協(xié)議/協(xié)議設(shè)置、未解決的常見(jiàn)漏洞和暴露(CVE)、訪問(wèn)權(quán)限問(wèn)題(過(guò)度暴露)、用戶管理和身份驗(yàn)證不安全，以及日志記錄不足。

Continuity公司首席執(zhí)行官Gil Hecht說(shuō)：“在三大IT基礎(chǔ)設(shè)施類(lèi)別(計(jì)算、網(wǎng)絡(luò)和存儲(chǔ))中，從安全和業(yè)務(wù)角度來(lái)看，存儲(chǔ)往往具有最大的價(jià)值。存儲(chǔ)設(shè)備的安全漏洞和錯(cuò)誤配置構(gòu)成了一個(gè)重大威脅，特別是在過(guò)去幾年勒索軟件主要攻擊企業(yè)的情況下。然而，根據(jù)我們的分析，大多數(shù)企業(yè)存儲(chǔ)系統(tǒng)的安全態(tài)勢(shì)是非常薄弱的。企業(yè)必須立即采取行動(dòng)，更好地保護(hù)它們的存儲(chǔ)以及備份系統(tǒng)，以確保它們的數(shù)據(jù)不受勒索軟件和其他網(wǎng)絡(luò)攻擊的影響。”

企業(yè)需要獲得可視性，他們需要了解存儲(chǔ)漏洞風(fēng)險(xiǎn)并避免盲點(diǎn)，還應(yīng)該評(píng)估現(xiàn)有的安全流程，并確保存儲(chǔ)層的安全和加固程度與計(jì)算和網(wǎng)絡(luò)資產(chǎn)類(lèi)似。