數字資(zi)(zi)產暴露面風險(xian)：指運營單位擁有或(huo)控制的(de)域名、IP、網(wang)站、公眾號、小程(cheng)序、源代碼、數據等(deng)資(zi)(zi)產，被(bei)互聯網(wang)或(huo)暗(an)網(wang)披露的(de)這些(xie)資(zi)(zi)產所(suo)存(cun)在的(de)漏(lou)洞、弱(ruo)口令、敏感端口、數據泄露等(deng)安(an)全隱患信息所(suo)形成的(de)風險(xian)。

2020年12月30日，深圳數(shu)(shu)字觀星(xing)科(ke)技有限公(gong)(gong)司(si)首次發(fa)布《2020數(shu)(shu)字資(zi)產(chan)(chan)暴露面(mian)風(feng)險》報告，報告立足(zu)于(yu)觀星(xing)運(yun)營(ying)中心數(shu)(shu)據及(ji)工作實踐，包含有4個關鍵發(fa)現：業務數(shu)(shu)字化轉型、國家相關法律(lv)法規出臺、微信(xin)公(gong)(gong)眾號/小程序資(zi)產(chan)(chan)數(shu)(shu)量擴增、數(shu)(shu)字資(zi)產(chan)(chan)暴露面(mian)風(feng)險增大；呈現銀行(xing)、證券、基金、保險、教育、能源、醫療、運(yun)營(ying)商等(deng)行(xing)業的數(shu)(shu)字資(zi)產(chan)(chan)變(bian)化趨勢。

從數(shu)字(zi)(zi)資產(chan)暴(bao)(bao)露面(mian)漏(lou)洞看(kan)行業網(wang)安(an)建設(she)水平，報告(gao)對數(shu)字(zi)(zi)資產(chan)暴(bao)(bao)露面(mian)的(de)整(zheng)體分布、行業數(shu)字(zi)(zi)資產(chan)暴(bao)(bao)露面(mian)的(de)風(feng)險分布、數(shu)字(zi)(zi)資產(chan)暴(bao)(bao)露面(mian)的(de)風(feng)險現狀等做詳細分析。

數字資產暴露面的風(feng)險現狀主(zhu)要(yao)分為6個方面：

1.數字資產暴露面漏洞

以新(xin)型資產(chan)暴露面漏(lou)洞(dong)為例，運營單位(wei)使(shi)用公眾(zhong)號/小(xiao)程序開展業務，由于新(xin)型資產(chan)缺少相應監測手(shou)段，容(rong)易出現注入、代碼問題、跨(kua)站腳本、配(pei)置(zhi)錯誤、遠(yuan)程代碼執行等漏(lou)洞(dong)風險。

2.數字資產敏感端口風險

數字資(zi)產云化、邊界(jie)不(bu)受控(kong)、流程管理(li)問題、安全意識(shi)差等是導(dao)致敏感端(duan)口大門向外部(bu)開放(fang)的主要原因，敏感端(duan)口暴(bao)露(lu)Top5主要有22、21、3389、3306、23。

3.數據泄露類型-系統源碼

系(xi)統(tong)(tong)源(yuan)碼和技術方案占據(ju)外部(bu)數(shu)據(ju)泄(xie)露類型(xing)61%，分析發現泄(xie)露系(xi)統(tong)(tong)源(yuan)碼中含有密碼密鑰風險(xian)最高，也是眾(zhong)多(duo)運(yun)營單位用戶最為關(guan)注的(de)外部(bu)數(shu)據(ju)泄(xie)露風險(xian)。

4.Github和百度文庫成數據泄露主要渠道

內(nei)部數據外泄，容易(yi)成(cheng)為(wei)攻擊者和黑客社工利用重要渠(qu)道(dao)，分析發(fa)現在(zai)Github和百度(du)文庫共享(xiang)導致數據泄露比例高達60%。

5.內部員工和供應商依舊是高風險人群

內部員工和供應商引起的外部數據泄露事(shi)件占比92%，普遍(bian)由于網(wang)絡安(an)(an)全(quan)意識薄弱和缺(que)少安(an)(an)全(quan)管理(li)手段所導致(zhi)。

6.冰山下的暗網數據泄露交易活躍

2020年，觀星暗(an)網(wang)情報監測(ce)共(gong)發(fa)現(xian)1500+起，交易數量231+件，交易用戶(hu)數據高達(da)780w+條，由于暗(an)網(wang)自身具有較(jiao)強(qiang)的匿名性(xing)和隱蔽性(xing)，暗(an)網(wang)數據交易也成為金融(rong)客戶(hu)數據泄露販賣交易的主(zhu)要渠道。

觀星依托(tuo)于多年的(de)實戰經驗，已為(wei)業內(nei)眾多用戶(hu)打(da)造了數字(zi)化(hua)(hua)轉型下的(de)數字(zi)資(zi)產暴露面(mian)風險解決方(fang)案(an)，并不斷探索實踐(jian)，助力(li)行(xing)業用戶(hu)在(zai)數字(zi)化(hua)(hua)浪(lang)潮下讓資(zi)產的(de)安全保(bao)障“看得清”和“管得好”，加強資(zi)產威脅(xie)監測和應急響(xiang)應能(neng)力(li)，為(wei)推動數字(zi)化(hua)(hua)轉型戰略(lve)保(bao)駕護航。

觀星根據2020 數字資產暴露面風險分析和實戰運營經驗，給處于數字化浪潮下的行業用戶們幾點建議和展望。詳見：觀(guan)星《2020數字資產暴露面風險(xian)》報告完整(zheng)版 。

附：數字資產暴露面風險(xian)解決方案框架