Video: A chinese hacker tells me WHY he's CHEATING in Battlefield 5 (Dezember 2024)
Laut einem Bericht des Zentrums für öffentliche Integrität war die Bundestagswahlkommission Stunden nach Beginn des Regierungsabschlusses von einem massiven Cyberangriff betroffen. Der CPI-Bericht behauptete, die Chinesen stünden hinter dem "schlimmsten Sabotageakt" in der 38-jährigen Geschichte der Agentur.
Drei an der Untersuchung beteiligte Regierungsbeamte bestätigten den Angriff auf CPI, und die FEC bestätigte den Vorfall in einer Erklärung. Der CPI-Bericht erklärte jedoch nicht, warum die Beamten glaubten, China sei beteiligt, und lieferte keine Details zum Netzwerkeinbruch, die über die Tatsache hinausgingen, dass Angreifer mehrere FEC-Computersysteme zum Absturz brachten. Als FEC um eine Stellungnahme gebeten wurde, verwies sie Security Watch an das Department of Homeland Security und übermittelte keine Informationen.
Die Tatsache, dass es während des 16-tägigen Herunterfahrens zu einem Angriff kam, sollte keine große Überraschung sein, da viele Sicherheitsexperten Angreifer gewarnt hatten, dass IT-Mitarbeiter möglicherweise gezwungen sind, einen Angriff zu starten. Da weniger Leute die Netzwerke beobachteten, gab es für Angreifer viele Möglichkeiten. Tatsächlich hatte die FEC alle 339 Leiharbeitnehmer beurlaubt, da laut VPI keines ihrer Mitarbeiter als "notwendig zur Verhütung drohender Bedrohungen" des Bundeseigentums angesehen worden war.
" High Risk" für Netzwerkeinbrüche
Im Nachhinein ist es 20/20, aber der Angriff ereignete sich fast ein Jahr, nachdem ein unabhängiger Prüfer die FEC gewarnt hatte, dass die IT-Infrastruktur einem "hohen Risiko" für Angriffe ausgesetzt war. Der Abschlussprüfer wies darauf hin, dass einige Richtlinien der FEC zwar vorhanden, jedoch nicht ausreichend waren und sofortige Maßnahmen erforderlich waren, um die Risiken zu verringern. Die FEC widersprach der Mehrheit der Empfehlungen des Abschlussprüfers und argumentierte, dass seine Systeme sicher seien.
"Die Informations- und Informationssysteme der FEC sind aufgrund der Entscheidung der FEC-Beamten, nicht alle von der Bundesregierung festgelegten Mindestsicherheitsanforderungen zu erfüllen, einem hohen Risiko ausgesetzt", schrieb der Wirtschaftsprüfer von Leon Snead & Company im November 2012.
Zu den Problemen gehörten Kennwörter, die nie abgelaufen sind, die seit 2007 nicht geändert oder zum Anmelden verwendet wurden. Deaktivierte Konten blieben in Active Directory, und Laptops, die an Auftragnehmer ausgestellt wurden, verwendeten laut Bericht dasselbe "leicht zu erratende" Kennwort. Obwohl die FEC auf ihren Computersystemen eine Zwei-Faktor-Authentifizierung erforderte, ermittelte das Audit 150 Computer, auf denen eine Remote-Verbindung zu FEC-Systemen hergestellt werden konnte, für die der zusätzliche Schutz nicht aktiviert war. Die Prüfer wiesen auch auf schlechte Patch-Prozesse und veraltete Software hin.
"Die vorhandenen Kontrollen spiegeln das angemessene Sicherheitsniveau und das akzeptable Risiko wider, um die Mission zu unterstützen und die Daten der Agentur zu schützen", sagte die Agentur in ihrer Antwort auf die Prüfung.
Es ist nicht klar, ob die Angreifer die schlechten Passwörter oder eines der anderen Probleme ausnutzten, die während des Oktober-Angriffs im Bericht gemeldet wurden. In Anbetracht der Tatsache, dass die Agentur die Kritikpunkte im Prüfungsbericht zurückgewiesen hat, ist es wahrscheinlich, dass viele der Probleme bis Oktober ungelöst geblieben sind.
Sicherheit, keine Vorschriften
Die Agentur musste NIST-IT-Sicherheitskontrollen in FIPS 200 und SP 800-53 einführen und allen Auftragnehmern und Drittanbietern auferlegen, die im Federal Information Security Management Act von 2002 (FISMA) festgelegten Anforderungen zu erfüllen. Auftragnehmer, die mit der Bundesregierung zusammenarbeiten, müssen sich an die FISMA halten, und nur weil die FEC von der FISMA befreit ist, heißt das nicht, dass dies die Auftragnehmer sind, sagten die Prüfer.
Die FEC traf offenbar IT-Sicherheitsentscheidungen auf der Grundlage dessen, was die Agentur gesetzlich zu tun hat, anstatt zu prüfen, was die Sicherheit der Informationen und Informationssysteme der Agentur erhöhen würde, heißt es in dem Prüfungsbericht.
Für Unternehmen ist es wichtig zu erkennen, dass es bei der Sicherheit nicht nur darum geht, eine Liste von Richtlinien und Standards abzuhaken. Administratoren müssen überlegen, was sie tun, und sicherstellen, dass ihre Aktionen den Anforderungen ihrer Infrastruktur entsprechen. Die FEC bestand darauf, dass Richtlinien und Richtlinien zum Schutz ihrer Daten und Netzwerke vorhanden seien, und dies reichte aus, weil eine andere Sicherheitsrichtlinie eingehalten wurde. Die Agentur hatte nicht aufgehört zu überlegen, ob diese Kontrollen und Richtlinien ihr Netzwerk tatsächlich sicher machten.
Aufgrund der schlechten Sicherheitslage des FEC bestehe ein erhöhtes Risiko für Verlust, Diebstahl, Manipulation, Betriebsunterbrechung und andere nachteilige Auswirkungen des Computernetzwerks, der Daten und Informationen.
Und wir werden uns fragen, was die Angreifer getan haben, die das Eindringen zum größten Sabotageakt in der Geschichte der Agentur gemacht haben und welche anderen Agenturen im gleichen Zeitraum getroffen wurden. Wir können nur hoffen, dass andere Behörden die Mindestsicherheitsstandards für ihre Daten und Netzwerke besser erfüllt haben.
