CISA与海岸警卫队发现关键基础设施组织的网络卫生改进领域
CISA和海岸警卫队在关键基础设施组织的主动威胁搜索中发现了多个网络卫生问题,包括凭证管理不当、网络分段不足和日志记录不完善。本文详细分析了这些发现及其对组织安全的影响,并提供了改进建议。
近期,美国网络安全与基础设施安全局(CISA)与美国海岸警卫队(USCG)联合发布了一份网络安全咨询,详细描述了他们在一家美国关键基础设施组织中进行的主动威胁搜索(threat hunt)的发现。尽管这次搜索未发现恶意活动的证据,但揭示了多个网络卫生(cyber hygiene)问题,这些问题可能为潜在的网络攻击提供机会。本文将深入探讨这些发现,分析其潜在影响,并提供改进建议,以帮助其他关键基础设施组织提升其网络安全防护能力。在本次搜索中,CISA和USCG的分析团队使用了主机、网络、工业控制系统(ICS)以及商业云和开源分析工具,主动搜索网络中可能存在的恶意活动或恶意行为者的痕迹。虽然未发现威胁行为者的存在,但发现了多个网络安全风险,这些风险可能被恶意行为者利用。这些发现包括不足的日志记录、不安全存储的凭证、共享的本地管理员账户凭证、无限制的远程访问权限以及IT和运行技术(OT)资产之间的不足网络分段配置等。
首先,CISA和USCG发现了本地管理员账户的凭证管理不当。在多个工作站上,共享的本地管理员账户使用相同的、非唯一的密码,并且这些凭证以明文形式存储在批处理脚本中。这种做法大大增加了未经授权的访问风险,并且由于密码相同,恶意行为者可以轻松地在网络内部进行横向移动。例如,CISA在测试中使用发现的凭证成功地登录到一个工作站,并通过远程桌面协议(RDP)连接到另一个工作站,展示了凭证共享的潜在危害。其次,网络分段配置不足也是一个严重的问题。在评估IT和OT环境之间的互联性时,CISA发现标准用户账户可以直接从IT主机访问SCADA虚拟局域网(VLAN)。
这意味着,如果IT网络中的工作站被恶意行为者入侵,攻击者可能通过这些工作站访问关键的SCADA系统,从而对物理过程造成影响。此外,组织未能正确配置专用的安全跳板主机(bastion hosts)用于访问SCADA和HVAC系统,这进一步增加了安全风险。日志记录不足也是一个重要的发现。由于组织的事件日志系统不完善,CISA无法对所有预定的MITRE ATT&CK程序进行搜索。例如,Windows工作站的事件日志未被转发到安全信息和事件管理(SIEM)系统,详细的命令行审计未启用,日志保留期不足以支持全面的历史分析。这种不足限制了行为和异常检测的能力,使得检测恶意活动变得更加困难。
此外,CISA还发现了其他配置问题,例如生产服务器上的SSL标志(sslFlags)配置不当,以及SQL连接字符串的配置不当。这些问题可能被恶意行为者利用,进行中间人攻击或数据窃取。为了应对这些发现,CISA和USCG提供了多项改进建议。首先,组织应确保所有凭证都加密存储,并且使用安全的密码和凭证管理解决方案,如加密密码库或特权账户管理解决方案。其次,应实施严格的访问控制和定期审计,确保脚本或工具访问凭证的安全性。此外,应使用代码审查和自动化扫描工具检测和消除主机或工作站上的明文凭证。
在网络分段方面,组织应评估现有的网络架构,确保IT和OT网络之间有效分段。可以参考NIST SP 800-82 Rev. 3和IEC 62443标准,实施VLAN分段、防火墙和DMZ等措施,确保IT和OT网络之间的通信受到严格控制。此外,应定期测试分段控制,确保其有效性。在日志记录方面,组织应实施全面的日志记录,确保所有系统的关键事件都被记录。日志应集中存储在安全的位置,如SIEM系统,以便进行行为分析和异常检测。此外,应确保日志备份安全存储,防止恶意行为者篡改或删除日志。
最后,组织应定期测试和验证其安全控制,确保其有效性。可以参考MITRE ATT&CK框架,测试现有的安全技术,分析其性能,并根据测试结果调整安全计划。本次搜索的发现和建议对所有关键基础设施组织都具有重要意义。尽管未发现恶意活动,但这些发现揭示了潜在的安全风险,组织应采取主动措施加以改进。通过实施这些建议,组织可以提升其网络安全防护能力,减少潜在的网络攻击风险,保护关键基础设施的安全和稳定。在当今网络威胁日益复杂的环境中,网络卫生的重要性不容忽视。
关键基础设施组织应定期进行网络安全评估,识别和修复潜在的安全漏洞,确保其网络安全防护能力与日益增长的威胁相匹配。通过采取主动措施,组织可以更好地应对网络威胁,保护其资产和运营的安全。CISA和USCG的这次搜索展示了主动威胁搜索的重要性。通过主动搜索,组织可以识别潜在的安全风险,并在恶意行为者利用这些风险之前采取措施加以改进。这不仅有助于提升组织的网络安全防护能力,也有助于保护整个关键基础设施的安全和稳定。在未来,随着网络威胁的不断演变,关键基础设施组织应继续加强其网络安全防护能力。
通过采用最佳实践,实施安全控制,并定期进行网络安全评估,组织可以更好地应对网络威胁,保护其资产和运营的安全。CISA和USCG的这次搜索为其他组织提供了宝贵的经验和教训,帮助它们提升网络安全防护能力,保护关键基础设施的安全和稳定。关键基础设施组织应高度重视网络安全,采取主动措施加强其网络安全防护能力。通过实施CISA和USCG的建议,组织可以提升其网络安全防护能力,减少潜在的网络攻击风险,保护关键基础设施的安全和稳定。在当今网络威胁日益复杂的环境中,网络卫生的重要性不容忽视,组织应定期进行网络安全评估,识别和修复潜在的安全漏洞,确保其网络安全防护能力与日益增长的威胁相匹配。 。
