首页
学习
活动
专区
工具
TVP
发布
精选内容/技术社群/优惠产品,尽在小程序
立即前往

上网需谨慎!成人网站泄露7TB数据,内含超53万中国用户

又有网站泄露数据,这次是一家成人网站,不过不是P站,而是国外一家叫CAM 4的成人网站。

导致这次泄露事故的原因据说是因为搜索引擎服务器 Elasticsearch 配置错误,高达7TB的数据泄露,从而使一系列生产数据库不受在线保护,任何使用 Web 浏览器的人都可以访问

此次泄露的数据库中合计包含高达108.8 亿条用户信息,包括用户的真实姓名、电子邮件、IP地址、哈希密码,甚至是各种聊天记录、性取向......

在所有泄漏数据中,大约有 1100 万条记录包含电子邮件,其中一些记录包含与来自多个国家或地区用户相关的电子邮件地址。据 SafetyDetectives 统计,这些用户主要来自美国、巴西、意大利等国家。其中,有超过50万名受害者来自中国。

Elasticsearch 原本是用来提供全文搜索服务的开源组件,不过也有不少公司直接将它当作数据库存储使用,但很多开发人员却忽略了它的安全性。

Elasticsearch 配置不正确导致数据泄露的问题已经不是个例,前有国内某婚庆网站因配置问题导致数据泄露,印度运输机构因为没有设置集群的安全权限超过11000辆公交车的实时实时位置

为了避免类似的事故发生,保障Elasticsearch 集群的网络安全,必须做到如下几点:

1、不要将默认端口暴露在公网,ElasticSearch默认使用的端口是9200,绑定的是localhost,但千万不能将端口暴露在公网上,服务器必须配置防火墙。因为ElasticSearch不需要任何权限就可以对索引增删改查。

2、不要以root身份运行Elasticsearch,单独创建用户运行ES,将用户权限最小化。

3、定期对 Elasticsearch 数据备份,Elasticsearch 本身是提供有备份还原机制,定期对数据备份,以防万一。

4、合理配置Elasticsearch 数据目录,确保Elasticsearch 目录分配合理读写权限,避免敏感信息泄露。

5、使用最新的Elasticsearch版本,Elasticsearch 老版本存在很多漏洞,升级到最新版本7.x免费提供TSL功能,可对通信进行加密,基于角色的访问控制。可用于控制用户对集群 API 和索引的访问权限

  • 发表于:
  • 原文链接https://kuaibao.qq.com/s/20200510A0IMI700?refer=cp_1026
  • 腾讯「腾讯云开发者社区」是腾讯内容开放平台帐号(企鹅号)传播渠道之一,根据《腾讯内容开放平台服务协议》转载发布内容。
  • 如有侵权,请联系 cloudcommunity@tencent.com 删除。

相关快讯

扫码

添加站长 进交流群

领取专属 10元无门槛券

私享最新 技术干货

扫码加入开发者社群
领券