从Dropbox Breach的课程

Dropbox终于确认，68,680,741个账户的电子邮件地址和散列密码在2012年发生的黑客中暴露。

该公司建议可能受影响的用户在学习四年前在黑客中被收获的用户凭证的缓存后重置他们的密码。

从这个大规模的数据违约中可以了解一些课程，即悉数和企业应该采取行动，以确保他们不是下一组违约受害者。

访问包含用户电子邮件地址的“项目文件”和（已散列和盐味）密码是可能的，因为Dropbox Employee使用相同的密码，黑客已从另一个数据泄露中收获。

移动身份公司重视的报告显示，73％的在线账户被重复密码保护，其中54％的消费者为所有在线帐户使用五个或更少的密码。

安全专家建议使用密码管理器生成，存储和管理所有在线帐户的强大密码。

违规仅影响自2012年以来未更改密码的Dropbox用户。通过定期更改密码，即使发生漏洞，它们也将仅在限定时间内为黑客有用。

如果任何员工使用其他与其他与其他业务相关的账户使用相同的密码，则强制员工经常将密码更改密码的企业也将减少其曝光。

根据TeleSign报告，47％的在线账户持有人依赖于五年没有更改的密码。

Dropbox还更新了它自2012年以来多次存储其密码的方式 - 包括将其密码散列机制更新为Bcrypt从SHA-1中进行Bcrypt - 因此随后更改的密码有几个保护层。

即使密码受到损害和破解，如果启用双因素身份验证（2FA），则攻击者将无法使用没有附加密码的密码。

安全专家建议在Dropbox上启用2FA以及此选项可用的所有其他在线帐户。

“你的Dropbox账户是否已经冒险，这只是一个血腥的好主意，”独立安全顾问Graham Cluley在一个博客帖子中。

根据保罗·克·克·鲁德林，攻击者的高级技术专家，攻击者可以购买密码饼干，少于20,000美元（15,000英镑）。

在理想条件下，这样的工具将使攻击者每秒测试万亿密码，这意味着每八个字母密码可以在仅需2秒钟内测试，并且在一分钟内每九个字母密码进行测试，Ducklin在博客文章中写道。

虽然Dropbox确认凭据于2012年被盗，但在公司表示只损害电子邮件地址，而不提及它达到近7000万。

Dropbox通过说没有迹象表明任何账户都没有被违反所访问的账户。

云存储公司还促使所有用户可能受到违规影响的用户，以便在公开违约的规模和性质之前重置他们的密码。

Rapid7的信息安全副主席Josh Feinblum已让Dropbox获得主动行动。

“他们的客户 - 第一个方法正在令人耳目一新，可能会对他们的用户进行大量风险。他们对挑战事件的回应是其他云公司的一个很好的模型，如果面对类似的情况。

“我们认为，关于安全，减少的公司正在促进风险，缓解和行动的安全性，将有助于加强安全技术社区，”他说。

Dropbox中的一个违规者显示了杀戮和公司对保护其数据的责任，罗马Foeckl表示，数据丢失预防官Fircosososs的首席执行官的责任。

“重要的是不要仅仅依靠第三方所设定的安全措施，特别是在我们谈论机密公司数据时，”他说。

Foeckl表示启用2FA和使用复杂的，唯一的密码很重要，但避免在控制第三方控制的任何应用程序或容器上存储个人或商业敏感数据更为重要。

许多公司依赖Dropbox进行低成本云存储，并且在此违规行为中妥协的Log-Ins可能会离开敏感数据，但由于员工下载和使用该应用程序，IT部门甚至可能无法充分意识到Dropbox使用程度没有他们的知识，俗称阴影它。

“企业必须接受数据可能会使他们不知道并在控制之外的地方。这意味着需要一种新的数据安全方法，无论它最终目标还是试图访问它，都保护了新的数据安全方法，“数据安全公司Covata的首席执行官Trent Telford表示。

“例如，限制数据下载数据的策略是利用云以其安全福利的方式，并提供紧密审计控制谁已访问数据以及何时，”他说。

但是，Dropbox漏洞不应妨碍企业使用云存储其数据，说Telford，因为它可以是存储数据的更安全的方式，如果以正确的方式完成。

他说：“批判性地，安全性需要在每个杀戮数据中都是内置的，因为从一开始，因为它是不可能在每个端点和潜在数据泄漏点周围包装企业武器。”

数据违规作为Dropbox强调任何文件共享服务的违规是对企业的威胁。

“员工也越来越多地在工作中使用个人账户，覆盖敏感的业务数据脆弱，”云访问安全经纪人S​​kyhigh网络的首席欧洲发言人奈杰尔·霍桑说。

他说：“随着更多公司信息迁移到云端，对于组织来监测和控制风险，无需采取正确措施，因此对组织进行了令人难以置信的困难，”他说。

山楂表示，企业必须了解所有在企业中使用的云服务。“这使他们能够响应违规，分析如何影响它们并通过强制密码变化或完全停止流量来缓解数据的风险，”他说。

Hawthorn还建议企业设定有关处理企业数据的政策，并定义受批准的云服务列表。

“通过包括使用的所有常见原因的选项，例如合作，文件转换和项目管理，可以鼓励员工使用仅在风险替代方面仅使用批准的应用程序，”他说。

“通过将云监控技术与现有的身份和访问管理控制相结合，在账户受到损害时，公司可以更容易地识别和采取行动。”

建议企业监控他们的IT系统，以确保重复使用的密码泄露，可以发现任何尝试使用被盗凭据的攻击者。

如果Dropbox本身在2012年正在使用这种监控技术，则可能能够使用被盗员工凭据来防止攻击者违反用户数据。

欧洲微型焦点咨询的安全解决方案总监David Mount表示，所有企业都能监控异常活动的良好做法，并强制执行最不特权的原则。

“这是控制用户如何访问数据的关键，特别是对于具有特权访问的任何帐户，”他说。

凭借这种数据访问的可见性，Mount所述组织需要实时评估访问尝试的风险，并根据设备，位置和正常使用模式等上下文因素来评估访问尝试。

“使用多因素身份验证来增加密码，确保用户总是他们说的是，它们限制了作为员工成功伪装成功伪装的风险，”他说。

“最后，能够快速监视用户活动的业务，必须快速行动，以便无延迟采取补救措施。这将有助于限制任何损害。“