2017年1月，广受欢迎的MongoDB遭遇了一种似乎正变得相当常见的攻击手法：劫持数据并以此要挟。随后对这起安全事件的调查发现，在大多数情况下，攻击者并未利用任何漏洞。问题不在软件本身，而在于配置。正是这种默认配置（大多运行在AWS上），让任何能连接互联网的人都可以不受限制地访问这些数据库。
其中包括如今臭名昭著的CloudPets事件。在该事件中，儿童与父母之间本应私密的语音消息却可被公开访问。只要具备足够的技术知识，能够获取数据库（一个未采取安全保护措施的MongoDB实例），或了解该应用的架构及其对Amazon S3的使用方式，任何人都可以访问这些消息。Cloud Pets使用S3存储个人资料图片和语音记录，但显然未采取任何安全措施，导致任何拥有正确引用信息的人都能访问这些内容。
不过，为免让人觉得我是在针对CloudPets，需要指出的是，RedLock CSI团队最近发现：“在Amazon Relational Database Service和Amazon RedShift等公有云计算环境中，82%的数据库未加密。”
［戏剧性停顿］
此外，“其中31%的数据库会接受来自互联网的入站连接请求。”
还要指出的是，2017年1月的最初几周内，有超过27,000台MongoDB服务器遭到入侵。在这起事件中，因自身安全实践不当而受害的远不止CloudPets。正如MongoDB的一篇博客在首批攻击事件公开时所指出的：“借助MongoDB内置的全面安全保护措施，这些攻击是可以预防的。您需要正确使用这些功能，我们的安全文档将帮助您做到这一点。［着重号为本人所加］”
MongoDB本身并非不安全，而是根本没有采取任何安全防护措施。问题其实不在产品，而在于一些开发者急于通过云将物联网和移动应用交付给消费者，却采用了不当的安全实践。
云推动了不安全做法
在本地数据中心，软件在向外发布并用于提供数据之前，必须通过物理关卡（防火墙等）和运营关卡（流程和审批）。云在设计上减少了物理关卡，而且遗憾的是，应用向公众开放前需要通过的运营关卡似乎往往也更少。运营关卡的减少，正是“失控IT”或“影子IT”概念的演变方向。由于不满交付周期漫长，项目周期以年而非月计算，业务线利益相关者最初开始转向云，以“绕过”IT部门。但这也意味着，他们同时绕过了为保障这些应用的安全性和性能而设置的运营关卡。
这不是云本身的问题，而是云采用者的问题。因为真正让业务利益相关者恼火的，不只是过去十年来反复听到的“物理硬件配置耗时太长”，更是“通过IT审批流程耗时太长”。他们只想抢在竞争对手之前，尽快将产品推向市场。
一项由Arxan/IBM赞助的2017年移动和IoT安全调查的受访者也证实了这一点。受访者认为，应用开发团队承受的压力导致IoT和移动应用安全性不佳，其中69%的受访者认为，仓促开发移动应用是产生易受攻击代码的根源，75%的受访者认为IoT应用也存在同样的问题。
同样的压力也延伸到了数据库和云存储的配置与保护，而这些正是让产品真正发挥作用的基础。Cloud Pets的核心并不在于玩具本身，而在于玩具收发数据的能力，通过互联网。这意味着，为了赶上圣诞节当天的发布日期，其成功取决于某个IoT应用能否在云端匆忙完成开发和部署。
开发人员并非保障其所交付应用安全的唯一责任方。负责配置应用所需云服务的人员，无论是数据库、文件共享还是一般应用服务，也必须承担相应的安全责任。业务利益相关者若设定不切实际的期限，并推动以最低限度的运营审核标准完成最终交付，同样应承担责任。
没错，IT必须拥抱数字化转型，并简化运营关卡，确保产品成功、安全地交付给消费者。但业务部门和开发人员不能继续绕过云中的这些运营关卡，依赖“默认”配置和粗疏的安全实践，使消费者和企业利益相关者都面临风险。问题的关键与其说是产品，不如说是流程；必须确保在应用及其用户面临本可避免的安全入侵之前，相关策略已部署且配置正确。
要避免发生令人难堪的事件，首先需要明确并强制执行至少一些基本的运营关卡，只有通过这些关卡后才能将产品推向市场，从而建立基本的安全防线。
组织比以往任何时候都更需要这些运营关卡，因为支撑生产力和盈利能力的应用正在加速迁移到公有云。随着迁移提速，攻击者利用这些应用的机会也随之增加。
关于作者
Lori MacVittie是F5首席技术官办公室的杰出工程师兼首席技术布道师，在应用交付、自动化战略和基础设施领域拥有深厚的专业知识。无论是为AI智能体定义防护机制、剖析脆弱的多云架构，还是探索可扩展系统的极限，她都善于化繁为简。她在应用开发、IT架构以及网络和系统运维领域拥有30多年的行业经验。加入F5之前，她曾担任技术编辑，并因出色表现获得奖项。 MacVittie拥有计算机科学硕士学位，著述颇丰，出版作品涵盖安全、云和企业架构领域。她还热衷于桌面游戏和电子游戏，并且对奶酪有着毫不掩饰的鲜明见解。
Lori Mac Vittie 的更多博客文章相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。