Datenpanne auf Github: US-Cyberbehörde hat eigene Security-Empfehlungen missachtet
Eine im Mai bekanntgewordene Datenpanne bei einem Dienstleister der US-amerikanischen Cybersicherheitsbehörde Cisa (Cybersecurity and Infrastructure Security Agency) traf die Behörde offenbar völlig unvorbereitet. In einem neuen Bericht(öffnet im neuen Fenster) teilt die Cisa ihre Lehren, die sie aus dem Vorfall und der anschließenden Aufarbeitung gezogen hat. Unter anderem soll es an einem wichtigen Verfahrensleitfaden gemangelt haben.
Der Sicherheitsvorfall wurde Mitte Mai bekannt. Forscher von Gitguardian stießen damals auf ein seit Monaten öffentlich verfügbares Github-Repository namens Private-Cisa, welches unter anderem Klartextpasswörter, private Schlüssel, Github- und AWS-Tokens, Skripte, Infrastrukturdaten, Build-Logs, Dokumentationen und Backups enthalten haben soll.
Die Cisa selbst wurde nach eigenen Angaben am 15. Mai über den Fund informiert. Sie teilt ihre Erkenntnisse nun öffentlich, damit auch andere Organisationen daraus lernen können. "Seit Jahren betont die Cisa, dass diese Art des Informationsaustauschs entscheidend ist, um Trends zu erkennen und zu einem breiteren nationalen Bewusstsein beizutragen. Nun sind wir an der Reihe", so die Behörde.
Anmeldedaten auf Github
Zunächst schreibt die Cisa in ihrem Bericht, wie sie auf den Fund reagierte. Sie nahm das betroffene Github-Repo vom Netz, sicherte die enthaltenen Daten und analysierte diese anschließend, um das Ausmaß des Vorfalls zu ermitteln. Enthaltene Anmeldedaten wurden den Angaben nach zügig rotiert. Zudem sperrte die Cisa jenen Akteur, der die Daten geleakt hatte, zügig aus ihren Systemen aus.
Weiter unten im Bericht geht die Cisa dann auf die Punkte ein, an denen aus ihrer Sicht Handlungsbedarf besteht und bei denen in Teilen auch schon nachgebessert wurde. Dort gesteht die Behörde etwa, entgegen ihrer eigenen Empfehlung Anmeldedaten und andere Geheimnisse in ihren privaten Github-Repos gespeichert zu haben.
Mängel bei Vorbereitung und Meldeweg
Zudem mangelte es wohl an einer internen Verfahrensrichtlinie zum Umgang mit Datenpannen der beschriebenen Art. "Die Cisa hatte es versäumt, ein Github-/Cloud-Playbook zu erstellen, und musste daher in der Anfangsphase des Vorfalls Zeit damit verbringen, eines zu entwickeln", heißt es. Wie viel Zeit das genau gekostet hat, wird allerdings nicht erwähnt.
Dabei predigt die Behörde selbst schon seit Jahren(öffnet im neuen Fenster), wie wichtig es ist, solche Playbooks "für alle vorhersehbaren Anforderungen zu erstellen" und auf Basis realer Cybervorfälle kontinuierlich zu optimieren, um im Falle eines Sicherheitsvorfalls jederzeit schnell reagieren zu können. Offenkundig befolgt die Cisa ihren eigenen Rat aber auch erst jetzt, nachdem sie eine entsprechende Datenpanne erlitten hat.
Überdies hatte Gitguardian wohl Probleme, die Cisa zu erreichen und den Fund zu melden. Die Meldewege waren "nicht klar definiert", gesteht die Behörde. Das habe die Forscher veranlasst, "mehrere Wege auszuprobieren – darunter eine E-Mail an den Dienstleister, eine Meldung über die Schwachstellen-Offenlegungsplattform der Cisa und schließlich die Einschaltung eines Reporters". Auch an dieser Stelle will die Behörde aber nachbessern.
- Anzeige Hier geht es zur AVM Fritzbox 7590 AX bei Amazon Wenn Sie auf diesen Link klicken und darüber einkaufen, erhält Golem eine kleine Provision. Dies ändert nichts am Preis der Artikel.