Tin tặc Trung Quốc đã tấn công fec trong khi chính phủ đóng cửa

Ủy ban bầu cử liên bang đã bị tấn công bởi một giờ tấn công mạng lớn sau khi chính phủ ngừng hoạt động, theo một báo cáo từ Trung tâm Liêm chính. Báo cáo CPI tuyên bố người Trung Quốc đứng sau "hành động phá hoại tồi tệ nhất" trong lịch sử 38 năm của cơ quan này.

Ba quan chức chính phủ tham gia vào cuộc điều tra đã xác nhận cuộc tấn công vào CPI và FEC đã thừa nhận vụ việc trong một tuyên bố. Tuy nhiên, báo cáo CPI không giải thích lý do tại sao các quan chức tin rằng Trung Quốc có liên quan hoặc cung cấp bất kỳ chi tiết nào về sự xâm nhập mạng ngoài thực tế là những kẻ tấn công đã đánh sập một số hệ thống máy tính FEC. Khi được yêu cầu tuyên bố, FEC đã giới thiệu Bộ theo dõi an ninh cho Bộ An ninh Nội địa và không cung cấp bất kỳ thông tin nào.

Việc một cuộc tấn công trong thời gian ngừng hoạt động 16 ngày xảy ra không phải là một bất ngờ lớn, vì nhiều chuyên gia bảo mật đã cảnh báo những kẻ tấn công có thể lợi dụng nhân viên IT bị xáo trộn để tiến hành một cuộc tấn công. Với ít người xem mạng hơn, có rất nhiều cơ hội cho những kẻ tấn công. Trên thực tế, FEC đã bao vây tất cả 339 nhân viên của cơ quan vì không ai trong số các nhân viên của mình được coi là "cần thiết để ngăn chặn các mối đe dọa sắp xảy ra" đối với tài sản của liên bang, theo CPI.

" Nguy cơ cao" đối với các cuộc xâm nhập mạng

Hindsight là 20/20, nhưng cuộc tấn công đã xảy ra gần một năm sau khi một kiểm toán viên độc lập cảnh báo FEC rằng cơ sở hạ tầng CNTT của họ có "nguy cơ cao" bị tấn công. Kiểm toán viên chỉ ra rằng trong khi FEC có một số chính sách, chúng không đủ và cần phải hành động ngay lập tức để giảm thiểu rủi ro. FEC không đồng ý với phần lớn các khuyến nghị của kiểm toán viên, cho rằng các hệ thống của họ là an toàn.

"Các hệ thống thông tin và thông tin của FEC có nguy cơ cao do các quan chức FEC đưa ra quyết định không áp dụng tất cả các yêu cầu bảo mật tối thiểu mà chính phủ Liên bang đã áp dụng", kiểm toán viên từ Leon Snead & Company viết vào tháng 11/2012.

Các vấn đề bao gồm mật khẩu chưa bao giờ hết hạn, đã không được thay đổi kể từ năm 2007 hoặc chưa bao giờ được sử dụng để đăng nhập. Các tài khoản bị vô hiệu hóa vẫn còn trong Active Directory và máy tính xách tay được cấp cho các nhà thầu sử dụng cùng một mật khẩu "dễ đoán", theo báo cáo. Mặc dù FEC yêu cầu xác thực hai yếu tố trên các hệ thống máy tính của mình, cuộc kiểm toán đã xác định 150 máy tính có thể được sử dụng để kết nối từ xa với các hệ thống FEC không được bật bảo vệ bổ sung. Kiểm toán viên cũng đánh dấu các quy trình vá lỗi kém và phần mềm lỗi thời.

"Các biện pháp kiểm soát tại chỗ phản ánh mức độ bảo mật thích hợp và rủi ro chấp nhận được để hỗ trợ nhiệm vụ và bảo vệ dữ liệu của cơ quan", cơ quan này cho biết khi trả lời kiểm toán.

Không rõ liệu những kẻ tấn công đã lợi dụng mật khẩu kém hay bất kỳ vấn đề nào khác được gắn cờ trong báo cáo trong cuộc tấn công tháng Mười. Xem xét các cơ quan đã bác bỏ những lời chỉ trích trong báo cáo kiểm toán, có thể nhiều vấn đề vẫn chưa được giải quyết kể từ tháng Mười.

An ninh, không theo quy định

Các cơ quan cần phải áp dụng các biện pháp kiểm soát bảo mật CNTT của NIST trong Trin 200 và SP 800-53 và yêu cầu tất cả các nhà thầu và nhà cung cấp bên thứ ba tuân theo các yêu cầu được nêu trong Đạo luật Quản lý An ninh Thông tin Liên bang năm 2002 (FISMA). Các nhà thầu làm việc với chính phủ liên bang phải tuân thủ FISMA và chỉ vì FEC được FISMA miễn trừ không có nghĩa là các nhà thầu, các kiểm toán viên cho biết.

FEC dường như đang đưa ra các quyết định bảo mật CNTT dựa trên những gì cơ quan bắt buộc phải làm về mặt pháp lý, thay vì xem xét điều gì sẽ làm cho hệ thống thông tin và thông tin của cơ quan an toàn hơn, báo cáo kiểm toán cho biết.

Điều quan trọng đối với các tổ chức là nhận ra rằng bảo mật không chỉ là kiểm tra danh sách các nguyên tắc và tiêu chuẩn. Quản trị viên phải suy nghĩ về những gì họ đang làm và đảm bảo hành động của họ phù hợp với những gì cơ sở hạ tầng của họ cần. FEC khẳng định họ có các chính sách và hướng dẫn để bảo vệ dữ liệu và mạng của mình và điều đó là đủ vì nó tuân thủ một chỉ thị bảo mật khác. Cơ quan này đã không dừng lại để xem xét liệu các kiểm soát và chính sách đó có thực sự làm cho mạng của nó an toàn hay không.

Tư thế bảo mật kém của FEC có nghĩa là "mạng máy tính, dữ liệu và thông tin có nguy cơ mất mát, trộm cắp, thao túng, gián đoạn hoạt động và các hành động bất lợi khác", báo cáo cảnh báo.

Và chúng tôi đang tự hỏi những kẻ tấn công đã làm gì khiến vụ xâm nhập trở thành hành động phá hoại lớn nhất trong lịch sử của cơ quan, và những cơ quan nào khác có thể đã bị tấn công trong cùng khoảng thời gian. Chúng tôi chỉ có thể hy vọng các cơ quan khác đã thực hiện công việc tốt hơn để đáp ứng các tiêu chuẩn bảo mật tối thiểu cho dữ liệu và mạng của nó.