數字資(zi)產(chan)暴(bao)露面(mian)風險：指運營單位擁有或控制(zhi)的(de)(de)域名、IP、網站、公眾號、小程序、源代碼、數據等(deng)資(zi)產(chan)，被互聯(lian)網或暗網披露的(de)(de)這些資(zi)產(chan)所存(cun)在的(de)(de)漏洞、弱口令、敏感(gan)端口、數據泄露等(deng)安全隱患(huan)信(xin)息(xi)所形成的(de)(de)風險。

2020年(nian)12月30日，深圳數(shu)(shu)字觀星科技有限公司首次發(fa)布《2020數(shu)(shu)字資產(chan)(chan)(chan)暴露面風險(xian)》報告(gao)，報告(gao)立足(zu)于(yu)觀星運(yun)營(ying)中(zhong)心(xin)數(shu)(shu)據及工作(zuo)實踐(jian)，包含(han)有4個關鍵(jian)發(fa)現：業務數(shu)(shu)字化轉型、國家相關法(fa)律法(fa)規(gui)出臺、微(wei)信公眾號/小程序資產(chan)(chan)(chan)數(shu)(shu)量擴增、數(shu)(shu)字資產(chan)(chan)(chan)暴露面風險(xian)增大；呈(cheng)現銀(yin)行、證券、基金、保(bao)險(xian)、教育、能源、醫(yi)療(liao)、運(yun)營(ying)商等行業的(de)數(shu)(shu)字資產(chan)(chan)(chan)變化趨勢。

從數(shu)字資產(chan)暴露(lu)面漏洞看行(xing)業(ye)網(wang)安(an)建設(she)水平，報告(gao)對數(shu)字資產(chan)暴露(lu)面的(de)(de)整(zheng)體分(fen)布、行(xing)業(ye)數(shu)字資產(chan)暴露(lu)面的(de)(de)風險分(fen)布、數(shu)字資產(chan)暴露(lu)面的(de)(de)風險現狀等做(zuo)詳細(xi)分(fen)析。

數字資產暴露(lu)面(mian)的(de)風險現狀主(zhu)要分為6個方面(mian)：

1.數字資產暴露面漏洞

以新型(xing)資產暴露面漏(lou)洞為例，運營(ying)單位使用公眾號/小程序開(kai)展業務，由(you)于新型(xing)資產缺少(shao)相應監測手段，容易出(chu)現注入、代(dai)碼(ma)問(wen)題、跨站腳本(ben)、配置錯(cuo)誤(wu)、遠程代(dai)碼(ma)執行等漏(lou)洞風險。

2.數字資產敏感端口風險

數字資產云化、邊界(jie)不受(shou)控、流程管(guan)理問題、安(an)全意識差等是導致(zhi)敏感端口大門向外部開放的(de)主(zhu)(zhu)要原(yuan)因，敏感端口暴露Top5主(zhu)(zhu)要有22、21、3389、3306、23。

3.數據泄露類型-系統源碼

系統源碼(ma)和技術方案占據(ju)外部數(shu)據(ju)泄露類型61%，分析(xi)發現(xian)泄露系統源碼(ma)中(zhong)含有(you)密碼(ma)密鑰(yao)風險(xian)最(zui)(zui)高，也是眾多運(yun)營單位(wei)用戶最(zui)(zui)為關注的外部數(shu)據(ju)泄露風險(xian)。

4.Github和百度文庫成數據泄露主要渠道

內部(bu)數據外泄(xie)，容易成為攻擊者和黑客社工利用重(zhong)要渠(qu)道(dao)，分析發(fa)現(xian)在Github和百度文庫共享導致數據泄(xie)露比例高達60%。

5.內部員工和供應商依舊是高風險人群

內部(bu)員工和(he)(he)供應商引(yin)起(qi)的外(wai)部(bu)數據泄露事件占(zhan)比92%，普遍由于網絡(luo)安全(quan)意識薄弱(ruo)和(he)(he)缺少安全(quan)管(guan)理手段所導致。

6.冰山下的暗網數據泄露交易活躍

2020年(nian)，觀星暗網情(qing)報監測共發(fa)現1500+起，交(jiao)易(yi)數(shu)量231+件，交(jiao)易(yi)用戶數(shu)據(ju)高達780w+條，由于(yu)暗網自身具有較強的匿名性和隱(yin)蔽(bi)性，暗網數(shu)據(ju)交(jiao)易(yi)也成為金融客戶數(shu)據(ju)泄露(lu)販賣交(jiao)易(yi)的主要(yao)渠道。

觀(guan)星依托(tuo)于多(duo)年的實(shi)戰經驗，已為業內眾多(duo)用戶(hu)打造了數(shu)字化轉(zhuan)型(xing)下的數(shu)字資產暴(bao)露面風險解決方案，并不斷(duan)探索(suo)實(shi)踐(jian)，助力(li)行業用戶(hu)在數(shu)字化浪潮下讓資產的安全保障“看得(de)清”和(he)“管(guan)得(de)好”，加強資產威脅(xie)監測和(he)應(ying)急響(xiang)應(ying)能力(li)，為推動數(shu)字化轉(zhuan)型(xing)戰略保駕護航。

觀星根據2020 數字資產暴露面風險分析和實戰運營經驗，給處于數字化浪潮下的行業用戶們幾點建議和展望。詳見：觀星《2020數字資產暴(bao)露面風(feng)險》報告完整版 。

附：數字資產暴(bao)露面風險解(jie)決方案框(kuang)架