דליפת מידע חמורה מסוכנות האבטחה והתשתיות של ארה"ב

דליפה חמורה מ-CISA – סוכנות אבטחת הסייבר והתשתיות של ארצות הברית: לפי דיווח חדש, מפתחות אבטחה המשמשים את הסוכנות בענן של AWS, כמו גם מידע פנימי נוסף, נחשפו במאגר מידע ציבורי.

המידע אודות התקלה הזו התפרסם בבלוג KrebsOnSecurity של עיתונאי האבטחה בריאן קראבס, בשיתוף האתר GitGuardian. קראבס חשף כי מצא בגיטהאב מאגר – ציבורי, כאמור – ובו אישורים למספר חשבונות AWS GovCloud בעלי רמת עדיפות גבוהה ולמספר רב של מערכות CISA פנימיות. זה לא היה מאגר רשמי של CISA, אלא מאגר של קבלן.

מה העלתה החקירה?

מחקירת המקרה, ש-CISA ביצעה, עולה כי גורם מסוים העלה עותקים של מאגר בנייה ופריסה של הסוכנות לחשבון הגיטהאב האישי שלו, לצורך יצירת תשתית ענן באופן אוטונומי. מאגר זה כלל את המערכת Infrastructure As Code של CISA ואת קוד הבנייה שלה.

לפי הסוכנות, היא ביצעה פעולות שנועדו לחסל את החשיפה הציבורית, להבין את היקף המידע המשותף, להעריך את ההשפעה וליישם פעולות מתקנות. הסוכנות הדגישה שככל הידוע לה, לא נחשפו נתוני לקוחות או משימות, ולא נעשה שימוש באישורים שדלפו מחוץ לסביבות שלה.

"המקרה מדגיש את הצורך לאמץ עקרונות אפס אמון"

"חשוב מאוד להתייחס ברצינות לטיפים לאבטחת סייבר ולדיווח חיצוני. הודינו לחוקרי האבטחה על שיתוף הפעולה והדיווח. זה גם מדגיש את הצורך לאמץ עקרונות אפס אמון (Zero Trust) על מנת להגן על מערכות וסביבות פיתוח", מסרה הסוכנות.

"זה לא עניין של 'אם', אלא 'מתי' אירוע אבטחת סייבר יקרה לארגון", הוסיפו ב-CISA. "חשוב שקהילת אבטחת הסייבר הרחבה יותר תתייחס לנושאים אלה בגלוי, כדי לחזק את האמון ולטפח שקיפות. שקיפות כזו פותחת הזדמנויות ללמידה שתשפר לא רק את עמדת האבטחה של CISA, אלא גם את זו של ארגונים אחרים".

כן נמסר שבסוכנות מבינים שעליהם לתת תשומת לב לכמה תחומים, כולל בקרות הדוקות יותר על גישה למאגרי קוד ציבורי, וכן שהיא מתכננת לפשט את ערוצי הדיווח של חוקרי אבטחה.