Elasticsearch 数据库又不加密,3300 万中国应聘者个人信息泄露

阅读数:1411 2019 年 3 月 15 日 18:56

Elasticsearch数据库又不加密,3300万中国应聘者个人信息泄露

近日,安全研究员、GDI.Foundation 成员 Sanyam Jain 通过 SUDAN 搜索引擎发现了一个可被完全访问的 Elasticsearch 数据库,数据库中共包含有 57GB 的数据,数据内容是 3300 万中国应聘者的个人资料,暴露的数据包括求职者的用户名、性别、年龄、当前城市、家庭地址、电子邮件地址、电话号码、婚姻状况、工作历史、教育历史和工资历史等等。
Elasticsearch数据库又不加密,3300万中国应聘者个人信息泄露

Elasticsearch数据库又不加密,3300万中国应聘者个人信息泄露

(数据库中泄露的内容示例)

2019 年 3 月 10 日,Jain 发现了这个数据库之后第一时间报告给了 Bleeping Computer,同时为了阻止数据库的暴露情况及保护数据库安全,Jain 还曾尝试寻找该数据库的所有者。

虽然当时 Jain 无法确定数据库所有者,但是他在数据中发现了多家中国招聘网站的“身影”,包括前程无忧、拉勾和智联招聘。“根据初步调查,该数据库中存储了来自前程无忧、拉勾和智联招聘的招聘数据,我认识是有一家第三方公司在收集这些公司的数据,并以某种方式在使用。”

3 月 11 日,Jain 联系了中国互联网应急中心 CNCERT,并于当天收到回复,CNCERT 已确定该 IP 地址的所有者为“北京到网络科技有限公司”,正在联系他们关闭数据库。

3 月 15 日,该数据库被关闭。

事实上,Elasticsearch 因不设密而导致的数据泄露事件并不在少数,仅仅是在 2019 年 2 月,笔者就报道过 6 起。虽然,Elasticsearch 的开源版本是不具备任何数据保护功能,但是企业在使用数据库时自身要提高安全意识,尤其是基础的保护措施一定要用起来:

1)服务器必须要有防火墙,不能随意对外开放端口;
2)Elasticsearch 集群的端口包括 TCP 和 HTTP,都不能暴露在公网;
3)Elasticsearch 集群禁用批量删除索引功能;
4)Elasticsearch 中保存的数据要做基本的脱敏处理;
5)加强监控和告警,能够在安全事件发生的第一时间感知并启动紧急预案,将损失降到最低 。

相关阅读:一个月被曝五次数据泄露,ElasticSearch 还行不行?
一个月 6 次泄露,为啥大家用 Elasticsearch 总不设密码?

评论

发布