Es geschah im Mai. Ein Bauunternehmer hat Mist gebaut. Sie ließen die Haustür weit offen.
Brian Krebs entdeckte das Durcheinander als Erster. Nicht gerade ein kleiner Fehler, es handelte sich um eine digitale Geiselnahme, die nur darauf wartete, geschehen zu können. Ein Mitarbeiter eines CISA-Auftragnehmers hat ein GitHub-Repository hochgeladen, das Unmengen von Passwörtern enthält. Zugriffsschlüssel für US-Regierungssysteme, die jedem mit einem Webbrowser zur Verfügung stehen.
CISAs eigene Obduktion enthüllt eine unangenehme Wahrheit. Sie hatten keinen Plan. Keiner. Als sich der Staub dieser ersten Entdeckung noch legte, reagierten die CISA-Mitarbeiter nicht. Sie schrieben es.
„Das Personal musste in der Anfangsphase des Vorfalls viel Zeit damit verbringen, ein Planbuch zu erstellen.“
Denken Sie darüber nach. Sie sind der Schutzschild gegen bundesstaatliche Netzwerkangriffe, improvisieren jedoch, wie Sie den Schutzschild halten können, wenn Daten verloren gehen. So sollte es nicht funktionieren, aber es funktionierte.
Krebs bemerkte die Enthüllung. Ein Forscher von GitGuardian versuchte zunächst, den Auftragnehmer zu alarmieren. Schweigen. Die Leere gab nichts zurück. Also stieg Krebs die Kette hinauf. Er kontaktierte CISA. Erst dann kam es zur Tat.
Das Repository ist heruntergefahren. Anmeldeinformationen widerrufen. Ersetzt.
Es gingen keine Kundendaten verloren. Das ist etwas, denke ich. CISA dankte dem Reporter und dem Forscher für die Rettung. Es war knapp. Vielleicht zu nah.
Die Agentur gab zu, dass ihre Kanäle für Forscher vage seien. „Nicht genau definiert“, nannten sie es. Sie reparieren es. Jetzt schnellere Wege zur Benachrichtigung. Playbooks für erwartete Bedürfnisse. Die Idee ist, dass man die Regeln nicht während des Feuers schreibt. Du hast es vor dem Funken gelesen.
Aber die Verzögerung bleibt bestehen. Wie viel Zeit bei der Ausarbeitung des Playbooks verloren gegangen ist, will ein Sprecher nicht sagen. Das Schweigen zu diesem Detail spricht Bände.
Sind wir überrascht?
Die Infrastruktur wird gehärtet. Die Leute vergessen zu patchen. Manchmal müssen sogar die Verteidiger herausfinden, was zu tun ist, wenn die Panik einsetzt.
