Peretas Cina menyerang fec selama penutupan pemerintah

Komisi Pemilihan Umum Federal dilanda serangan cyber besar-besaran setelah penutupan pemerintah dimulai, menurut laporan dari Pusat Integritas Publik. Laporan CPI mengklaim bahwa Cina berada di belakang "tindakan sabotase terburuk" dalam 38 tahun sejarah agensi tersebut.

Tiga pejabat pemerintah yang terlibat dalam penyelidikan mengkonfirmasi serangan terhadap CPI, dan FEC mengakui insiden itu dalam sebuah pernyataan. Namun, laporan CPI tidak menjelaskan mengapa para pejabat percaya Cina terlibat, atau memberikan rincian intrusi jaringan di luar fakta bahwa penyerang menabrak beberapa sistem komputer FEC. Ketika ditanya sebuah pernyataan, FEC merujuk Security Watch ke Departemen Keamanan Dalam Negeri dan tidak memberikan informasi apa pun.

Fakta bahwa serangan selama shutdown 16 hari terjadi seharusnya tidak menjadi kejutan besar, karena banyak pakar keamanan telah memperingatkan penyerang mungkin mengambil keuntungan dari personil TI yang sedang cuti untuk meluncurkan serangan. Dengan lebih sedikit orang yang menonton jaringan, ada banyak peluang bagi penyerang. Faktanya, FEC telah mencabut seluruh 339 karyawan agen karena tidak ada stafnya yang dianggap "perlu untuk pencegahan ancaman yang akan terjadi" pada properti federal, menurut CPI.

" Risiko Tinggi" untuk Intrusi Jaringan

Hindsight adalah 20/20, tetapi serangan itu terjadi hampir setahun setelah auditor independen memperingatkan FEC bahwa infrastruktur IT-nya berada pada "risiko tinggi" untuk diserang. Auditor menunjukkan bahwa meskipun FEC memiliki beberapa kebijakan, mereka tidak cukup dan tindakan segera diperlukan untuk mengurangi risiko. FEC tidak setuju dengan sebagian besar rekomendasi auditor, dengan alasan sistemnya aman.

"Sistem informasi dan informasi FEC beresiko tinggi karena keputusan yang dibuat oleh pejabat FEC untuk tidak mengadopsi semua persyaratan keamanan minimum yang telah diadopsi oleh pemerintah Federal, " tulis auditor dari Leon Snead & Company pada November 2012.

Masalahnya termasuk kata sandi yang tidak pernah kedaluwarsa, tidak pernah diubah sejak 2007, atau tidak pernah digunakan untuk masuk. Akun yang cacat tetap berada di Active Directory dan laptop yang dikeluarkan untuk kontraktor menggunakan kata sandi "mudah ditebak" yang sama, menurut laporan itu. Meskipun FEC membutuhkan otentikasi dua faktor pada sistem komputernya, audit tersebut mengidentifikasi 150 komputer yang dapat digunakan untuk terhubung dari jarak jauh ke sistem FEC yang tidak memiliki perlindungan tambahan yang diaktifkan. Auditor juga menandai proses tambalan yang buruk dan perangkat lunak yang ketinggalan zaman.

"Kontrol yang diterapkan mencerminkan tingkat keamanan yang sesuai dan risiko yang dapat diterima untuk mendukung misi dan melindungi data agensi, " kata agensi dalam tanggapannya terhadap audit.

Tidak jelas apakah penyerang mengambil keuntungan dari kata sandi yang buruk atau salah satu masalah lain yang ditandai dalam laporan selama serangan Oktober. Menimbang agen telah menolak kritik dalam laporan audit, kemungkinan banyak masalah yang masih belum terselesaikan hingga Oktober.

Keamanan, Bukan Regulasi

Badan tersebut perlu mengadopsi kontrol keamanan TI NIST dalam FIPS 200 dan SP 800-53 dan mengamanatkan bahwa semua kontraktor dan penyedia pihak ketiga mengikuti persyaratan yang diuraikan dalam Undang-Undang Manajemen Keamanan Informasi Federal tahun 2002 (FISMA), kata auditor. Kontraktor yang bekerja dengan pemerintah federal harus mematuhi FISMA, dan hanya karena FEC bebas dari FISMA bukan berarti kontraktornya, kata auditor.

FEC tampaknya membuat keputusan keamanan TI berdasarkan pada apa yang secara hukum harus dilakukan oleh badan tersebut, daripada mempertimbangkan apa yang akan membuat informasi dan sistem informasi badan tersebut lebih aman, kata laporan audit.

Penting bagi organisasi untuk menyadari bahwa keamanan bukan hanya tentang memeriksa daftar pedoman dan standar. Administrator harus berpikir tentang apa yang mereka lakukan dan memastikan tindakan mereka sesuai dengan apa yang dibutuhkan oleh infrastruktur mereka. FEC menegaskan bahwa mereka memiliki kebijakan dan pedoman yang berlaku untuk melindungi data dan jaringannya, dan itu sudah cukup karena memenuhi arahan keamanan yang berbeda. Agensi tidak berhenti untuk mempertimbangkan apakah kontrol dan kebijakan tersebut benar-benar membuat jaringannya aman.

Postur keamanan yang buruk dari FEC berarti bahwa "jaringan komputer, data, dan informasi berada pada risiko yang semakin besar untuk kehilangan, pencurian, manipulasi, gangguan operasi, dan tindakan merugikan lainnya, " laporan itu memperingatkan.

Dan kita bertanya-tanya apa yang dilakukan penyerang yang menjadikan intrusi sebagai sabotase terbesar dalam sejarah agensi, dan agensi lain mana yang terkena dampak selama periode waktu yang sama. Kami hanya bisa berharap lembaga lain telah melakukan pekerjaan yang lebih baik untuk memenuhi standar keamanan minimum untuk data dan jaringannya.