![](https://cdn.unwire.pro/wp-content/uploads/2024/07/CISA-1200x602.jpg)
政府機構往往是黑客常見的攻擊目標,而美國網絡安全和基礎設施安全局(CISA)則負責提升其防衛。不過在去年的紅隊演練入侵行動中,目標政府機構竟然經過 5 個月都未發現被入侵。
CISA 最近表示,2023 年進行了名為 SILENTSHIELD 的紅隊演練評估,在未事先通知的情況下對聯邦民間行政部門(FCEB)機構進行滲透測試,模擬長期敵對國家威脅組織的行動。紅隊透過利用目標機構 Oracle Solaris 系統中一個未修補的漏洞(CVE-2022-21587,CVSS 評分 9.8)獲得了初始存取權限,導致系統完全被入侵。
紅隊在獲得 Solaris 系統存取權限後,發現無法直接進入 Windows 網絡,後來透過針對目標機構成員進行釣魚攻擊,CISA 最終成功進入了 Windows 網絡,注入了一個持久性的遙距存取木馬(RAT),並發現了未受保護的管理員憑證,意味著被評估機構被完全掌握。
不過在評估的五個月中,目標 FCEB 機構完全未能偵測或修復任何 SILENTSHIELD 活動,直到 CISA 最終向其披露行動。CISA 表示,之後他們與機構的安全團隊和系統管理員舉行了每週會議,帶來「已知技術反應時間和基於行為的檢測方面的可衡量改進」,其中主要問題之一是機構的記錄收集「效率低下且無效」。
CISA 表示,FCEB 機構需要採用縱深防禦原則,即採用多層檢測和分析措施以實現最大防衛。CISA 建議進行網絡分段,強調過度依賴已知入侵指標(IoC)相當危險。同時他們呼籲採用「安全設計」原則,不再使用預設密碼、為用戶提供免費記錄,並要求供應商與 SIEM 和 SOAR 供應商合作,以更好地利用這些記錄。
來源:The Register