知識星球iSCSI 是一種將工作站和伺服器與資料儲存裝置相連的協議，通常可在大型企業 / 資料中心的磁碟儲存陣列、以及消費級的網路附加儲存（NAS）裝置上找到。然而由於客戶忘記啟用身份驗證，這種錯誤的配置導致超過 13000 個 iSCSI 儲存叢集向別有用心的網路犯罪分子敞開了大門。對於裝置擁有者來說，這會讓他們面臨極大的資料安全風險。
（題圖 via：ZDNet）
外媒 ZDNet 指出，iSCSI 全稱為“網際網路小型計算機系統介面”，該協議旨在作業系統檢視遠端儲存裝置，並與之互動。在實際體驗上，它更像是一種本地元件，而不是基於 IP 的可訪問系統。
作為現代計算機行業的核心元件，因 iSCSI 被軟體認作是本地裝置，所以其允許企業集中儲存、甚至讓虛擬機器（VM）從遠端硬碟啟動、而不會破壞無法處理基於 IP 的網路儲存路徑的應用程式。
得益於這方面的特性，iSCSI 成為了許多資料複製解決方案的一個關鍵組成部分。通常情況下，這套系統中會包含敏感的資料，因此 iSCSI 也會支援各種身份驗證措施，防止未經授權的裝置訪問。
iSCSI 裝置所有者可以設定相應的措施，對訪問其儲存叢集的使用者進行管理，比如限制資料互動或建立新的儲存驅動器。但與所有聯網裝置一樣，總有一小部分會疏於這方面的配置，從而暴露了安全隱患。
此前，我們經常聽聞路由器、資料庫、網路伺服器的洩露報告，只因一小部分裝置所有者未能遵循最低限度的安全措施。在最新的案例中，竟有 1.3 萬的 iSCSI 儲存叢集無需身份驗證即可訪問。
這意味著任何瞭解 iSCSI 儲存系統基本詳情的人們，都可以透過簡單的教程（比如 YouTube 影片）來非法訪問這些儲存叢集，導致資料中心內的大型磁碟陣列或辦公室角落的小型 NAS 資料洩露。
週末的時候，滲透測試人員 A Shadow 向 ZDNet 通報了這個極其危險的配置錯誤。其在聯網裝置引擎 Shodan 上，輕鬆檢索到了超過 13500 個 iSCSI 儲存叢集。
研究人員將本次 iSCSI 暴露描述為一種危險的後門，使得網路犯罪分子能夠在企業網路中植入可感染檔案的勒索軟體、竊取資料、或將後門置於可能被啟用的備份檔案中。
在對一小部分暴露的 iSCSI 叢集樣本進行粗略的調查後，ZDNet 發現屬於 YMCA 分支機構的 iSCSI 儲存系統可被無密碼訪問，此外還有俄羅斯政府機構、以及來自世界各地的多所大學和研究機構。
從暴露的 IP 地址來看，也有許多群暉等 NAS 裝置未妥善配置訪問許可權。儘管其 Web 控制面板受到了密碼保護，但 iSCSI 埠仍有暴露的可能。
在經歷了數天的分析後，A Shadow 指出，其中不少 iSCSI 叢集屬於私營企業，他們是網路犯罪集團的理想攻擊標的。如果遭遇不測，勒索軟體團夥可能向大型網站索取天價贖金。
*來源：cnBeta.COM
更多資訊
◈ Cloudflare 宣佈移動 VPN 服務 Warp
雲服務商 Cloudflare 去年 4 月 1 日宣佈了免費 DNS 服務 1.1.1.1，今年的同一天它宣佈了 VPN 服務 Warp，使用者現在可以透過 Cloudflare 的移動應用 1.1.1.1 註冊該服務，它的基本版本是免費的，但也將提供一個付費版本 Warp+。
來源：solidot.org
詳情：http://t.cn/EiobgqQ
◈ Pipdig 使用客戶的網站 DDoS 競爭對手
WordPress 主題供應商 Pipdig 被髮現利用客戶的伺服器對競爭對手的網站發動 DDoS 攻擊。安全研究人員分析了它的程式碼，找到了 DDoS 攻擊的確鑿證據。
來源：solidot.org
詳情：http://t.cn/EioGh2m
◈ 針對騷擾電話軟體銷售推廣問題 北京通訊管理局約談搜尋服務提供商
4月2日訊息,據北京市通訊管理局釋出的訊息，近日，北京市通訊管理局針對網際網路上發現的騷擾電話軟體銷售推廣資訊的問題，集中約談了奇虎360、搜狗等搜尋服務提供商。約談中，北京管局指出，搜尋服務提供商要認真履行社會責任，嚴格落實工業和資訊化部等十三部門綜合整治騷擾電話專項行動的相關要求，從源頭上切斷騷擾電話相關軟體、裝置的資訊來源。
來源：TechWeb
詳情：http://t.cn/EioG2RU
◈ 網頁被境外駭客入侵篡改未及時處置 中移鐵通北京分公司被開罰單
北京市通訊管理局開出的京信管罰字[2019]第01號行政處罰決定書顯示，中移鐵通有限公司北京分公司未全面履行法律義務，網站網頁被境外駭客入侵篡改未及時處置，被處以一萬元罰款，對直接負責的主管人員處五千元罰款。
來源：千龍網
詳情：http://t.cn/EioGq8M
（資訊來源於網路，安華金和蒐集整理）
