一项新的研究发现，恶意行为者可以利用对谷歌云平台 (GCP) 的“不充分”取证可见性来泄露敏感数据。
云事件响应公司 Mitiga 在一份报告中说:“不幸的是，GCP 没有在其存储日志中提供允许任何有效取证调查所需的可见性级别，从而使组织对潜在的数据泄露攻击视而不见。”
攻击的先决条件是对手能够通过社会工程等方法获得对目标组织中身份和访问管理 (IAM) 实体的控制，以访问 GCP 环境。
问题的症结在于 GCP 的存储访问日志没有提供关于潜在文件访问和读取事件的足够透明度，而是将它们全部分组为单个“对象获取”活动。
“同一事件用于多种类型的访问，包括:读取文件、下载文件、将文件复制到外部服务器，[以及]读取文件的元数据，”Mitiga 研究员 Veronica Marinov 说。
这种缺乏区分可能使攻击者能够在不被发现的情况下收集敏感数据，这主要是因为无法区分恶意和合法用户活动。
在假设的攻击中，威胁行为者可以使用 Google 的命令行界面 ( gsutil ) 将有价值的数据从受害组织的存储桶传输到攻击者组织内的外部存储桶。
谷歌此后提供了缓解建议，范围从虚拟私有云 ( VPC ) 服务控制到使用组织限制标头来限制云资源请求。
披露之际，Sysdig 发现了一项名为SCARLETEEL 的复杂攻击活动，该活动针对容器化环境，以窃取专有数据和软件。
