最近，传统机动车制造商遇到了很多麻烦。去年，本田遭遇勒索软件攻击、奔驰数据泄露、川崎重工和日产公司数据泄露事故。
周一，日产北美公司配置错误(使用默认管理员用户名密码组合:admin/admin)的Bitbucket Git服务器信息在Telegram该服务器直到周三才离开频道和黑客论坛。
该服务器是日产北美公司开发和使用的移动应用程序和内部工具的源代码，目前已在线泄漏。
瑞士软件工程师Tillie Kottmann本周在接受媒体采访时透露，他从匿名来源获悉泄露，并在周一分析了日产数据，发现泄露Git存储库包含以下源代码：
- 日产NA Mobile应用程序
- 部分日产ASIST诊断工具
- 经销商业务系统/经销商门户
- 日产核心移动代码库
- 日产/英菲尼迪NCAR/ICAR服务
- 客户获取和保留工具
- 销售/市场研究工具 数据
- 各种营销工具
- 车辆物流门户
- 车辆联网服务/日产联网
- 以及其他后端和内部工具
梅赛德斯-奔驰未能训
日产发言人已向媒体确认数据泄露。日产发言人在回复媒体询问的电子邮件中说：“我们知道关于日产汽车机密信息和源代码泄露的报道，我们正在认真对待这一事件并进行调查。”
值得注意的是，这不是瑞士研究人员Kottmann第一次发现汽车制造商Git服务器数据泄露。2020年5月，Kottmann发现类似配置错误GitLab各种梅赛德斯奔驰应用程序和工具源代码泄露了服务器。
Kottmann在奔驰Git在代码托管门户网站上注册了一个账户，然后成功下载了580多个账户Git存储库包括梅赛德斯卡车的板载逻辑单元(OLU)的源代码。(OLU负责汽车硬件和软件之间的组件“将汽车连接到云端”。)还包括其他泄露数据Raspberry Pi管理远程图像、服务器图像OLU的内部Daimler组件、内部文档、代码示例等。
尽管这些泄露数据看起来无害，但它们威胁到情报公司Under Breach在审计泄露数据后，发现了戴姆勒内部系统的密码API令牌。如果使用不当，这些密码和访问令牌可能会被用来计划和安装未来对奔驰云服务和内部网络的攻击。
数据泄露仍然是云安全的最大威胁，配置错误是数据泄露的主要原因
尼桑和奔驰Git服务器泄露的数据主要是源代码。事实上，源代码也是中国企业在线泄露和泄露的主要资产之一。
根据上周在安全牛发布的《数字资产暴露风险报告》，系统源代码和技术方案占中国企业外部数据泄露类型的61%(下图)。分析发现，泄露系统源代码中密码密钥的风险最高，也是很多运营商用户最关心的外部数据泄露风险。
随着知识共享和知识支付的兴起，越来越多的用户在第三方开源社区和知识支付平台上分享给第三方开源社区和知识支付平台。内部数据泄露很容易成为攻击者和黑客社会工作者的重要渠道Github与百度文库共享导致数据泄露的比例高达60%。
此外，根据云安全联盟(CSA)2020在2020年10月发布的《云计算11大威胁报告》中，数据泄露威胁继续在2020年年调查第一，也是最严重的云安全威胁。2020年，配置错误和变更控制不足CSA云安全威胁列表中的新威胁。
CSA配置错误和变更控制不足的关键原因包括：
- 云资源的复杂性使其难以配置；
- 不要指望传统的控制和变更管理方法在云中有效；
- 利用自动化和技术，这些技术将不断扫描错误配置的资源。
近年来，由于配置和变更的疏忽或意外，越来越多的企业通过云公开披露资产和数据Elasticsearch数据库的多次大规模泄露尤为引人注目。
【本文是51CTO专栏作者“安全牛”请通过安全牛(微信微信官方账号)转载原创文章id:gooann-sectv）获取授权】
戳这里，看作者更好的文章