วีดีโอ: पृथà¥?वी पर सà¥?थित à¤à¤¯à¤¾à¤¨à¤• नरक मंदिर | Amazing H (ธันวาคม 2024)
คณะกรรมการการเลือกตั้งของรัฐบาลกลางถูกโจมตีด้วยชั่วโมงไซเบอร์ขนาดใหญ่หลังจากการปิดตัวของรัฐบาลเริ่มขึ้นตามรายงานจากศูนย์ความซื่อสัตย์สาธารณะ รายงานดัชนีราคาผู้บริโภคอ้างว่าจีนอยู่เบื้องหลัง "การกระทำที่เลวร้ายที่สุดของการก่อวินาศกรรม" ในประวัติศาสตร์ 38 ปีของหน่วยงาน
เจ้าหน้าที่ของรัฐสามคนที่เกี่ยวข้องในการสอบสวนยืนยันว่ามีการโจมตี CPI และ FEC รับทราบเหตุการณ์ในแถลงการณ์ อย่างไรก็ตามรายงาน CPI ไม่ได้อธิบายว่าทำไมเจ้าหน้าที่เชื่อว่าจีนมีส่วนเกี่ยวข้องหรือให้รายละเอียดใด ๆ เกี่ยวกับการบุกรุกเครือข่ายนอกเหนือจากที่ผู้โจมตีชนระบบคอมพิวเตอร์ FEC หลายระบบ เมื่อถูกขอให้ออกแถลงการณ์ FEC เรียก Security Watch ถึงกระทรวงความมั่นคงแห่งมาตุภูมิ
ความจริงที่ว่าการโจมตีในช่วงปิดเครื่อง 16 วันนั้นไม่น่าแปลกใจนักเนื่องจากผู้เชี่ยวชาญด้านความปลอดภัยหลายคนได้เตือนผู้โจมตีอาจใช้ประโยชน์จากบุคลากรด้านไอทีที่ถูกโจมตีจนไม่สามารถเริ่มการโจมตีได้ เมื่อผู้คนจำนวนน้อยดูเครือข่ายมีโอกาสมากมายสำหรับผู้โจมตี ในความเป็นจริง FEC ได้ปลดพนักงานหน่วยงานทั้งหมด 339 คนเนื่องจากไม่มีเจ้าหน้าที่คนใดที่ได้รับการพิจารณาว่า "จำเป็นต้องมีการป้องกันภัยคุกคามที่ใกล้เข้ามา" แก่ทรัพย์สินของรัฐบาลกลางตามดัชนี CPI
" ความเสี่ยงสูง" สำหรับการบุกรุกเครือข่าย
Hindsight คือ 20/20 แต่การโจมตีเกิดขึ้นเกือบหนึ่งปีหลังจากผู้ตรวจสอบอิสระได้เตือน FEC ว่าโครงสร้างพื้นฐานด้านไอทีอยู่ใน "ความเสี่ยงสูง" สำหรับการโจมตี ผู้สอบบัญชีชี้ให้เห็นว่าในขณะที่ FEC มีนโยบายอยู่บ้างก็ไม่เพียงพอและต้องดำเนินการทันทีเพื่อลดความเสี่ยง FEC ไม่เห็นด้วยกับคำแนะนำส่วนใหญ่ของผู้สอบบัญชีการพิสูจน์ว่าระบบมีความปลอดภัย
"ระบบสารสนเทศและข้อมูลของ FEC มีความเสี่ยงสูงเนื่องจากการตัดสินใจของเจ้าหน้าที่ FEC ที่จะไม่นำข้อกำหนดด้านความปลอดภัยขั้นต่ำทั้งหมดที่รัฐบาลนำมาใช้" ผู้ตรวจสอบจาก Leon Snead & Company เขียนในเดือนพฤศจิกายน 2012
ปัญหารวมถึงรหัสผ่านที่ไม่หมดอายุไม่มีการเปลี่ยนแปลงตั้งแต่ปี 2550 หรือไม่เคยถูกใช้ในการเข้าสู่ระบบบัญชีผู้พิการยังคงอยู่ใน Active Directory และแล็ปท็อปที่ออกให้ผู้รับเหมาใช้รหัสผ่าน "เดาง่าย" เดียวกันตามรายงาน แม้ว่า FEC ต้องการการรับรองความถูกต้องด้วยสองปัจจัยในระบบคอมพิวเตอร์ของตน แต่การตรวจสอบระบุคอมพิวเตอร์ 150 เครื่องซึ่งสามารถใช้เชื่อมต่อกับระบบ FEC จากระยะไกลที่ไม่ได้เปิดใช้งานการป้องกันเพิ่มเติม ผู้ตรวจสอบยังติดธงกระบวนการแก้ไขที่ไม่ดีและซอฟต์แวร์ที่ล้าสมัย
"การควบคุมในสถานที่สะท้อนถึงระดับความปลอดภัยที่เหมาะสมและความเสี่ยงที่ยอมรับได้เพื่อสนับสนุนภารกิจและปกป้องข้อมูลของหน่วยงาน" หน่วยงานดังกล่าวตอบสนองต่อการตรวจสอบ
ไม่ชัดเจนว่าผู้โจมตีใช้ประโยชน์จากรหัสผ่านที่ไม่ดีหรือปัญหาอื่น ๆ ที่ตั้งค่าสถานะไว้ในรายงานระหว่างการโจมตีเดือนตุลาคมหรือไม่ เมื่อพิจารณาจากหน่วยงานได้ยกเลิกการวิพากษ์วิจารณ์ในรายงานการตรวจสอบมีแนวโน้มที่หลายประเด็นยังคงไม่ได้รับการแก้ไข ณ เดือนตุลาคม
ความปลอดภัยไม่ใช่ข้อบังคับ
หน่วยงานจำเป็นต้องใช้การควบคุมความปลอดภัยของ NIST IT ใน FIPS 200 และ SP 800-53 และมอบอำนาจให้ผู้รับเหมาและผู้ให้บริการบุคคลที่สามปฏิบัติตามข้อกำหนดที่ระบุไว้ในพระราชบัญญัติการจัดการความปลอดภัยข้อมูลของรัฐบาลกลางปี 2002 (FISMA) ผู้รับเหมาที่ทำงานกับรัฐบาลกลางต้องปฏิบัติตาม FISMA และเพียงเพราะ FEC ได้รับการยกเว้น FISMA ไม่ได้หมายความว่าผู้รับเหมาเป็นผู้ตรวจสอบบัญชีกล่าว
FEC ดูเหมือนว่าจะทำการตัดสินใจด้านความปลอดภัยของไอทีตามสิ่งที่หน่วยงานจำเป็นต้องทำตามกฎหมายมากกว่าที่จะพิจารณาว่าอะไรจะทำให้ระบบสารสนเทศและระบบข้อมูลของหน่วยงานมีความปลอดภัยมากขึ้น
สิ่งสำคัญคือองค์กรต้องตระหนักว่าการรักษาความปลอดภัยไม่ได้เป็นเพียงการตรวจสอบรายการแนวทางและมาตรฐาน ผู้ดูแลระบบต้องคิดเกี่ยวกับสิ่งที่พวกเขากำลังทำและตรวจสอบให้แน่ใจว่าการกระทำของพวกเขาสอดคล้องกับสิ่งที่พวกเขาต้องการโครงสร้างพื้นฐาน FEC ยืนยันว่ามีนโยบายและแนวทางปฏิบัติเพื่อปกป้องข้อมูลและเครือข่ายและเพียงพอสำหรับการปฏิบัติตามแนวทางความปลอดภัยที่แตกต่างกัน เอเจนซี่ไม่ได้หยุดเพื่อพิจารณาว่าการควบคุมและนโยบายเหล่านั้นทำให้เครือข่ายปลอดภัยหรือไม่
ท่าทางความปลอดภัยที่ไม่ดีของ FEC หมายความว่า "เครือข่ายคอมพิวเตอร์ข้อมูลและข้อมูลของ บริษัท มีความเสี่ยงที่เพิ่มขึ้นจากการสูญหายการโจรกรรมการจัดการการขัดจังหวะการดำเนินงานและการกระทำที่ไม่พึงประสงค์อื่น ๆ " รายงานเตือน
และเราก็ยังสงสัยว่าผู้โจมตีทำเช่นไรทำให้การบุกรุกเป็นการก่อวินาศกรรมครั้งใหญ่ที่สุดในประวัติศาสตร์ของหน่วยงานและหน่วยงานอื่นที่อาจได้รับผลกระทบในช่วงเวลาเดียวกัน เราทำได้เพียงหวังว่าหน่วยงานอื่น ๆ ทำงานได้ดีขึ้นตามมาตรฐานความปลอดภัยขั้นต่ำสำหรับข้อมูลและเครือข่าย
