治理与安全🔥8.0
从一个泄漏的管道凭据到批量数据外泄
原标题: 从一个泄漏的管道凭据到批量数据外泄
📋总体概括
本文剖析一个常见但被忽视的云数据安全盲区：数据团队在密钥创建被禁前遗留的dbt服务账号密钥文件，散落在共享盘和前承包商笔记本备份中，且永不过期。尽管组织已禁止创建新密钥，旧密钥依然能换取访问令牌、读取并可能导出BigQuery数据。作者建议在完成密钥盘点前，宁可假设至少存在一个此类遗留密钥，并借助BigQuery Data Access日志追踪哪些表被哪个密钥读取。
⚡关键信息
- ▸dbt任务服务账号的密钥文件同时存在于旧共享盘和前承包商的笔记本备份中，且无过期时间
- ▸组织虽已禁止创建新密钥，但旧密钥不受影响，至今仍能获取访问令牌
- ▸持有密钥文件者即可利用该服务账号权限读取、甚至导出BigQuery数据集
- ▸VPC Service Controls边界可限制账号请求来源，是唯一缓解手段之一
- ▸BigQuery Data Access日志记录了哪些表被哪个密钥读取，可用于排查遗留密钥滥用
🔥犀利点评
典型的「政策只管增量、不管存量」式安全幻觉：禁止新密钥让团队自我感觉良好，真正的炸弹是政策生效前散落的旧凭据。密钥不设过期、凭据文件随人员流动扩散，等于把数据仓库钥匙印了无数份拷贝。VPC Service Controls是唯一能兜底的硬边界，而Data Access日志只是事后验尸工具。答案是先做密钥盘点，别等泄漏新闻替你盘点。
📰 相关资讯（与本文相关的其他资讯）
本文由本站自动聚合，以下为原始来源：前往 DevToData 阅读全文 →