《2021網絡空間測繪年報》解讀｜公有云資產畫像與風險度量

近日，綠盟科技與中國電信聯合發布《2021網絡空間測繪年報》，旨在通過測繪的方法，發現物聯網、公有云、工控系統、安全設備、數據庫、智慧平臺等關鍵領域資產在公網上的暴露情況，分析各個領域資產所面臨的安全隱患，助力于數字化轉型背景下新興資產服務的安全管理。

本文為《2021網絡空間測繪年報》精華解讀系列第三篇，主要介紹公有云的資產測繪與風險度量。

PART 01 公有云資產測繪的動因與挑戰

近年來公有云安全事件數量呈現上升趨勢，特別是非法利用云資源挖礦和云上數據泄露。隨著各個行業上云步伐加快，云上業務及數據變得越來越重要，同時，公有云上服務租戶眾多，數據存儲巨大，安全事件的影響具有規模性。2021年4月，公有云服務提供商DreamHost泄露了8億用戶數據，包括諸多WordPress賬戶信息及其關聯的郵件地址，郵件地址的暴露可能使攻擊者發起針對性的釣魚攻擊或其他社會工程詐騙。

由此看來，云上安全風險一直存在且影響范圍廣泛。風險態勢評估的前提是資產梳理，對云上資產服務的宏觀把握十分重要。因此，對公有云資產的梳理與測繪勢在必行。然而，對公有云資產開展測繪工作也存在著許多挑戰。

首先，大部分公有云廠商不會公開自己的主機IP庫，且許多公有云主機IP處于動態變化中。發現存活云主機是梳理云上服務的第一步，而IP庫的缺失與IP的多變性為存活云主機的發現帶來了巨大挑戰。其次，云上資產數量巨大，AWS所公開的IP就有一億多個，要進一步挖掘這些IP上開放的端口與對外提供的服務所需要的時間成本是巨大的。再次，公有云上租戶眾多，運行在其上的業務多種多樣，資產部署情況復雜，為資產梳理也帶來了難度。

PART 02 公有云資產多維畫像

在《2021網絡空間測繪年報》中，我們經過多方調研與對比測試，針對國內幾大公有云廠商，整理出了相對可靠的IP庫。而后利用測繪系統對公有云資產從存活主機、暴露端口、對外服務等多個維度入手，進行了統計分析。最終基本梳理出了國內幾大公有云廠商的資產暴露情況。其中部分結果展示如下。

圖1 阿里云主機地理分布情況

圖2 華為云開放數量前六的服務情況

PART 03 公有云關鍵資產風險度量

在風險度量方面，《2021網絡空間測繪年報》從公有云重要資產——對象存儲服務入手，對云上數據泄露風險進行了具體分析。我們以Amazon AWS的S3對象存儲服務為例，利用數據分析的手段生成了一部分S3訪問域名，并對數千個S3存儲桶中的數據類型進行了統計分析，分析結果如圖3所示。最終在文檔類型數據中發現了部分敏感信息，證明了公有云上的數據泄露事件時刻存在。

圖3 可公開訪問存儲桶數據類型分布圖

PART 04 總結

面向公有云資產的測繪與風險度量十分重要且挑戰巨大。如何構建較為全面的公有云IP庫、如何高效地挖掘出資產信息以及如何把控復雜多變的公有云環境都是值得進一步研究的問題。