翻译：360代码卫士团队

十天前，一个亚马逊S3存储桶暴露了来自美国陆军CENTCOM和PACOM机构的数据。如今研究人员又发现另外一个S3服务器实例暴露了来自美国陆军和NSA联合成立的机构INSCOM的文件，该部门主要负责开展情报、安全和信息行动。

跟上次的泄露事件类似，这次被暴露的服务器也是由UpGuard团队发现的。该团队发现了一个托管少量文件和文件夹的S3服务器，其中三个文件可供自由下载。

在这三个可自由下载的文件中，其中一个是甲骨文虚拟应用(.ova) 文件，它是运行基于Linux操作系统的虚拟机和虚拟硬盘驱动的镜像文件。

研究人员无法启动操作系统或访问存储在虚拟硬盘驱动中的任何文件。这可能是因为启动操作系统的进程是由仅供美国国防部内部网络访问的访问服务控制的，而这是一种典型的保护敏感系统安全的方法。

尽管如此，研究人员通过存储在虚拟硬盘驱动上的元数据判断出SSD镜像存储着大量高度敏感文件，其中一些被标记为“绝密”和“NOFORN（禁止外国国民访问）”的安全级别。

另外，在这个虚拟机镜像文件中的一个文件夹中还表明，该系统也是云计算平台RedDisk的一部分内容。该平台是美国国防部开发的“战场情报平台”分布式通用地面系统-陆军 (DCGS-A) 的一部分。

Red Disk旨在收集来自DCGS-A主网络的数据、对其进行检索，并让美国陆军人员基于权限级别实时访问并搜索数据。

国防部在RedDisk平台上花费了约9300万美元，希望能借此帮助部队在阿富汗部署，但早期测试表明平台及其缓慢，而且大部分时候会阻止现有操作。该项目从未走出测试阶段，美国国防部最终在2014年弃用。

UpGuard团队此前曾找到暴露在网上的其它美国政府信息，他们指出，这是他们首次在亚马逊S3服务器中发现可自由访问的机密信息。另外，研究人员指出，“很遗憾，这种云泄露事件是完全可以避免的，这种结果可能是因为IT环境中出现了进程错误，而IT环境中缺乏必要措施，无法保证包含机密信息的数据库等具有巨大影响力的数据不被公开访问。鉴于改正这种错误配置的措施非常简单，因此真正的问题是，政府机构如何才能在追踪所有数据的同时确保数据的配置正确和安全性？”

本文由360代码卫士编译，不代表360观点，转载请注明 “转自360代码卫士www.codesafe.cn”。

原文链接：

https://www.bleepingcomputer.com/news/security/top-secret-us-army-and-nsa-files-left-exposed-online-on-amazon-s3-server/