公開的秘密： 置貴公司於風險之中的雲端資料曝險
敏感資料與密碼正在外洩。雲端安全主管要如何防堵？
儘管企業投資在網路安全的金額高達數十億美元，最容易預防的威脅之一仍然存在，也就是在可公開存取的雲端服務中暴露的敏感資料與憑證。根據 2025 年 Tenable 雲端安全風險報告，公用雲端儲存資源中，有 9% 含有敏感資料，包括個人可識別資訊 (PII)、智慧財產 (IP)、付款卡產業 (PCI) 詳細資訊以及受保護的健康資訊 (PHI)。
即使憂心加劇，報告中顯示使用 Amazon Web Services (AWS) Elastic Container Service (ECS) 任務定義和 Google Cloud Platform (GCP) Cloud Run 的企業中，有超過半數在知情或不知情下，在這些服務中至少有一個內嵌密碼。
這些曝險令人擔憂，因為它們是可利用的疏忽，攻擊者正在尋找並且武器化這些曝險。
為什麼這對於安全主管來說很重要
暴露的密碼 — 例如 API 金鑰和加密權杖，都會對攻擊者開啟大門，造成橫向移動、資料洩漏或接管整個環境。
這不僅僅是一個錯誤設定問題而已。 這個監管缺口因舊型的安全工具而加大，而在某些案例中，則因為對原生雲端服務能夠提供足夠保護的錯誤認知而更加嚴重。
我們現在該怎麼做
安全主管必須從偵測轉變為預防，並透過強制執行以下工作來改善其敏感資料保護的能力：
- 自動化的資料搜尋與分類： 瞭解您的環境中存放了哪些資料，並持續評估資料的敏感性。這個工作應持續以遙測的方式推動進行，而不是每季掃描的方式。
- 消除預設的公開存取：針對資料與網路存取強制執行最低特權原則。公用儲存應屬極少的特例。
- 採用企業級的密碼管理：刪除硬式編碼的密碼並建置雲端原生工具，例如：AWS Secrets Manager 和 Microsoft Azure Key Vault。
- 雲端安全態勢管理 (CSPM)：利用身分管理智慧型 CSPM 來統一您所有雲端足跡的能見度，並即時偵測錯誤設定、密碼和過於寬鬆的權限。
關鍵提要：暴露的密碼和敏感資料並不是罕見的情況。它們是隱藏在眾目睽睽之下的系統性風險，且必須在攻擊者刺探利用之間加以消除。
深入瞭解
- 歡迎下載 2025 年 Tenable 雲端安全風險報告
- 歡迎加入我們即將舉辦的研究網路研討會：為什麼您的雲端資料終究可能還是不安全：來自 Tenable 雲端研究團隊的精闢見解
Diane Benjuya
Tenable 資深產品行銷經理
Diane Benjuya 是資深產品行銷經理，在雲端安全領域擁有 20 多年的經驗，近期則專注於雲端基礎架構和身分領域。閒暇之時，她喜歡跑步，或是來一場暢快淋漓的即興演奏。Diane 擁有語言學碩士學位。
相關文章
Cybersecurity Snapshot: SharePoint Attacks Trigger Urgent Patching Calls, While U.S. Gov’t Unveils AI Innovation Plan
Check out the latest on attackers’ cyber siege of SharePoint servers. Plus, the White House releases plan to spur AI innovation. In addition, CISA alerts orgs about Interlock ransomware. And get the latest on Q2's top malware; ransomware trends; and credentialed scanning....
Tackling Shadow AI in Cloud Workloads
As enterprise adoption of cloud AI systems balloons, protecting them has become a priority for cybersecurity teams. Shadow AI – the rampant, unsanctioned use of AI apps and services – has emerged as a particularly critical threat. Here we outline two best practices that can help you combat shadow AI...
Cybersecurity Snapshot: AI Security Tools Embraced by Cyber Teams, Survey Finds, as Vulnerability Research Gets a Boost from UK Cyber Agency
Check out why AI security tools are turning into “must have” assets for cyber teams. Plus, get the details on the NCSC’s efforts to supercharge its bug hunting capabilities. Meanwhile, Tenable webinar attendees shared their experience securing machine identities. And get the latest on the crypto cri...
- Cloud
- Cloud
- Research Reports