分享链接前三思:现实世界中的SaaS

协作是SaaS应用程序的本质。这个词，或者它的某种形式，出现在谷歌工作空间主页的前两个标题中。在微软365的主页上可以找到6次，在Box上可以找到3次，在Workday上可以找到1次。访问几乎所有的SaaS网站，“协作”很可能会成为应用的关键卖点之一。

通过云计算，应用程序中的内容可以立即共享，使其比以往任何时候都更容易与其他人协作。

然而，这种共享性是一枚两面硬币。另一方面，面向公众的网站上的敏感链接往往很容易被访问。从试图收集公司机密的竞争对手，到与记者或立法者分享内部信息的举报人，泄露文件所造成的曝光可能会造成巨大的伤害。尽管协作是SaaS不可或缺的一部分，但共享链接会产生高风险情况和现实生活中的违规行为，可以通过正确的流程来缓解。

共享文件和文档

虽然Micro365、Salesforce、谷歌Workspace和Box使用的术语略有不同，但从SaaS应用程序中共享文件和文档基本上有两种方法。文件所有者可以让资源对特定用户可用，也可以让“任何拥有链接的人”可用。

与特定用户共享文件既麻烦又耗时。当文件传递给不同的涉众时，文件所有者需要根据需要添加每个用户。当与外部供应商合作时，需要与供应商联系人协调，以了解谁将使用该文件。每个用户的电子邮件地址都需要单独添加，如果有人遗漏了，文件所有者需要回到共享设置并添加他们。

与任何拥有链接的人共享文件就不那么麻烦了。文档所有者可以复制链接，将其发送给供应商，而不必再考虑文档管理的问题。此外，人们经常从私人帐户(例如，他们的gmail电子邮件)而不是业务监控的电子邮件帐户请求访问。这可能是由于外部供应商有时只有一个私有域，也可能是他们也登录到自己的私人帐户，所以他们意外地请求访问它。

然而，尽管免费分享链接很诱人，但这样做会使文档被泄露。一旦链接被共享，就无法控制文件会发生什么，用户可以从任何帐户访问该文件。文件被泄露的风险程度呈指数级增长。

谷歌驱动器，微软Sharepoint和纽约市学童

纽约市的学校官员经历了惨痛的教训才认识到共享链接的危险。2021年，学校官员证实了一起数据泄露事件，其中包含纽约市公立学校系统3000多名学生和100多名工作人员的敏感信息。当一名学生访问谷歌驱动器时，数据被曝光。

这篇报道发生在微软Sharepoint被入侵之后，当时一名学生在做作业时无意中发现了一份讨论新冠肺炎期间学校何时开学的文件草案。这封信包括测试政策、隔离政策的细节，以及学校系统尚未准备好公布的其他信息。由于不安全的文档共享设置，该数据被暴露。

谷歌武装部队的形式

不仅仅是学校官员需要小心他们的共享链接。2021年，一个武装部队要求士兵填写一份与COVID-19疫苗有关的谷歌表格。每个士兵都输入了姓名和身份证号码，并回答了有关冠状病毒的问题。

然而，谷歌表格的作者允许受访者审查结果。任何有这个链接的人都可以获取士兵的姓名和身份证号码。这些数据是按时间顺序列出的，因此很容易按部队对特定的士兵进行分组。只要有浏览器和链接，任何人都可以访问这些数据。

在收到警告后，该军事单位删除了该表格，但不可能知道数据泄露的程度。

盒子文件曝光到世界

据TechCrunch报道，2019年，安全研究人员发现数十家公司泄露了保存在Box中的敏感公司和客户数据。研究人员使用脚本扫描box账户，发现包括box在内的90多家公司的数据对任何有链接的人都是可见的。

包括Amadeus、苹果、爱德曼和康宝莱在内的公司暴露了客户姓名和联系信息、项目提案、捐赠者姓名、患者信息等。如果公司使用平台内可用的访问控制，这些信息本可以很容易地得到保护。

防止数据泄漏和数据丢失的最佳实践

SaaS应用程序中包含的数据存在于云端，但不需要通过链接向任何人公开。具有安全意识的组织应该遵循这些指导方针，以确保其数据的安全。

与特定用户共享文件——要求用户在访问数据之前登录，极大地降低了数据落入坏人之手的可能性

为共享链接添加过期日期——大多数文档和文件都是共享的，最终被遗忘了，让公司甚至不知道自己被暴露了。通过在链接中添加截止日期，这种疏忽不会回过头来伤害公司。

密码保护所有链接-通过要求对所有面向外部的文件进行密码保护，增加额外的数据安全层

创建资源清单——在一个地方列出所有公司资源，包括每个文件的共享设置，为安全团队提供一个单一的视图，使他们能够评估风险和暴露。

每个未受保护的链接都有可能暴露数据。作为链接共享者，不可能知道收件人设备的卫生状况，他们是否会与他人共享链接，甚至他们是否向他人提供访问他们电子邮件帐户的权限。保护链接是限制这种风险的主要保护方法之一。

防止链接过度共享的另一种方法是通过使用SSPM解决方案的自动化方法。像Adaptive Shield这样的SSPM，通过识别哪些资源正在被公开共享和处于危险之中，帮助组织防止数据丢失。它还可以识别没有过期日期的共享资源，或者设置为允许客人共享项目。一旦安全团队意识到攻击面，他们就可以根据需要修复和保护链接。