CISA เผยรหัสผ่านหลายพันชุดหลุดสู่ GitHub สร้าง Playbook ตอบเหตุฉุกเฉิน.

การเปิดเผยข้อมูลรหัสผ่านจำนวนมากจากที่เก็บไว้ในคลัง GitHub สาธารณะซึ่งอัปโหลดโดยพนักงานของผู้รับเหมาให้กับหน่วยงาน CISA ทำให้สำนักข่าวไซเบอร์ Brian Krebs รายงานเหตุการณ์นี้เมื่อเดือนพฤษภาคม และเปิดเผยว่าหน่วยงานต้องสร้าง “playbook” การจัดการเหตุการณ์ระหว่างที่กำลังตอบสนองอยู่ ความสำคัญของเรื่องนี้คือแสดงให้เห็นช่องโหว่ในการจัดการข้อมูลภายในหน่วยงานระดับชาติและกระบวนการแก้ไขปัญหาแบบเร่งด่วน

Overview

สำนักข่าวเทคครันช์เผยว่าเหตุการณ์เกิดจาก GitGuardian นักวิจัยด้านความปลอดภัยได้ตรวจพบไฟล์ที่มีรหัสผ่านหลายพันชุดถูกจัดเก็บไว้ในรีโพซิทอรีของ GitHub ที่ตั้งอยู่บนโครงสร้างสาธารณะ ผู้ใช้ GitHub ใดก็สามารถดาวน์โหลดข้อมูลเหล่านี้ได้โดยไม่มีการป้องกันใด ๆ ตามรายงาน การเปิดเผยรหัสผ่านดังกล่าวทำให้ข้อมูลระบบสำคัญของหน่วยงานรัฐบาลอาจถูกนำไปใช้ในโจมตีต่อไป

เหตุการณ์นี้เกิดขึ้นภายในช่วงเวลาที่ CISA (Cybersecurity and Infrastructure Security Agency) กำลังดำเนินการตรวจสอบความปลอดภัยของซัพพลายเออร์หลายราย การที่ข้อมูลสำคัญหลุดออกสู่สาธารณะทำให้หน่วยงานต้องประเมินผลกระทบอย่างเร่งด่วนและจัดทำคู่มือการตอบสนอง (incident playbook) ขึ้นใหม่ในระหว่างเหตุการณ์เอง

How the breach was discovered

Brian Krebs ระบุว่าเขาได้รับแจ้งจากนักวิจัยของ GitGuardian ซึ่งใช้เครื่องมือตรวจจับความรั่วไหลของข้อมูลบน GitHub เมื่อพบไฟล์ที่มี “reams of exposed passwords” นักวิจัยได้ส่งลิงก์และรายละเอียดให้กับ Krebs เพื่อทำการตรวจสอบต่อไป

Krebs ได้เปิดเผยข้อมูลนี้ต่อสาธารณะในเดือนพฤษภาคม พร้อมแนบหลักฐานว่าไฟล์ดังกล่าวถูกอัปโหลดโดย พนักงานของผู้รับเหมา ที่ทำหน้าที่ให้บริการด้านไอทีแก่ CISA การตรวจพบจากแหล่งภายนอกเป็นครั้งแรกที่ทำให้หน่วยงานต้องยอมรับว่ามีการรั่วไหลข้อมูลสำคัญภายในระบบของตน

ขั้นตอนการรายงานต่อสาธารณะตามมาตรฐานของสื่อเทคโนโลยีสากล ทำให้ผู้มีส่วนได้เสียรวมถึงเจ้าหน้าที่รัฐบาลและบริษัทที่เกี่ยวข้องต้องทำความเข้าใจขอบเขตของเหตุการณ์อย่างรวดเร็ว

Response and Playbook Development

หลังจากรับข้อมูลการรั่วไหล CISA ได้เริ่มกระบวนการตอบสนองโดยอาศัยทีมภายในและผู้เชี่ยวชาญจากภายนอก เพื่อประเมินว่าข้อมูลใดถูกเปิดเผยและผลกระทบต่อระบบของรัฐบาลเป็นอย่างไร

เนื่องจากไม่มี “playbook” ที่เตรียมไว้ล่วงหน้าสำหรับเหตุการณ์ประเภทนี้ หน่วยงานจึงต้อง สร้างคู่มือการจัดการเหตุการณ์ ระหว่างที่กำลังดำเนินการตรวจสอบจริง การพัฒนา playbook อย่างเร่งด่วนนั้นรวมถึงขั้นตอนต่อไปนี้

• กำหนดขอบเขตของข้อมูลที่รั่วไหลและระบบที่อาจได้รับผลกระทบ
• ประสานงานกับผู้รับเหมาเพื่อทำการยุติการเข้าถึงรีโพซิทอรีสาธารณะทันที
• แจ้งเตือนหน่วยงานรัฐบาลอื่น ๆ ที่อาจใช้ข้อมูลเดียวกัน
• จัดทำขั้นตอนตรวจสอบและเปลี่ยนรหัสผ่านที่เกี่ยวข้อง

กระบวนการนี้ทำให้ CISA สามารถบันทึกบทเรียนจากเหตุการณ์จริงและนำไปปรับใช้ในนโยบายความปลอดภัยขององค์กรต่อไป

Implications for US Cybersecurity Agencies

การเปิดเผยข้อมูลโดยผู้รับเหมาภายในระบบของหน่วยงานระดับชาติเป็นสัญญาณเตือนว่าการจัดการซัพพลายเชนด้านไซเบอร์ยังคงมีช่องโหว่หลายจุด ตามรายงานของ TechCrunch การที่ CISA ต้องสร้าง playbook ระหว่างเหตุการณ์บ่งชี้ว่าแม้จะมีแผนรับมือเบื้องต้นแล้ว แต่การตอบสนองต่อความรุนแรงของข้อมูลที่หลุดไหลยังขาดความพร้อมเพียงพอ

ผู้วิจารณ์ด้านความปลอดภัยหลายฝ่ายได้กล่าวว่าการตรวจสอบซัพพลายเออร์และการกำหนดมาตรฐานการจัดเก็บข้อมูลบนคลาวด์ควรได้รับการเสริมสร้างอย่างเร่งด่วน เพื่อป้องกันไม่ให้เหตุการณ์เช่นนี้เกิดซ้ำอีก นอกจากนี้ การฝึกอบรมพนักงานผู้รับเหมาด้านไอทีเกี่ยวกับแนวทางปฏิบัติที่ปลอดภัยในการจัดการข้อมูลลับก็เป็นส่วนสำคัญที่ต้องใส่ใจ

ผลกระทบต่อความน่าเชื่อถือของ CISA ยังอาจส่งผลให้หน่วยงานรัฐอื่น ๆ พิจารณาปรับปรุงข้อกำหนดด้านการรักษาความปลอดภัยของซัพพลายเออร์ รวมถึงการตรวจสอบความสอดคล้องกับมาตรฐาน NIST อย่างเข้มงวดมากขึ้น

Analysis

จากมุมมองเชิงวิเคราะห์ เหตุการณ์นี้สะท้อนให้เห็นว่าการพึ่งพาผู้รับเหมาเพื่อจัดการระบบสำคัญของรัฐบาลอาจทำให้เกิด “single point of failure” หากไม่มีการตรวจสอบและควบคุมอย่างต่อเนื่อง การที่ข้อมูลรหัสผ่านหลายพันชุดถูกเก็บไว้ในรีโพซิทอรีสาธารณะเป็นความผิดพลาดด้านกระบวนการจัดการโค้ด (code management) ที่ยังพบได้บ่อยในองค์กรเทคโนโลยี

แม้ว่าการสร้าง incident playbook ระหว่างเหตุการณ์จะช่วยให้ CISA สามารถตอบสนองได้อย่างรวดเร็ว แต่ก็ชี้ให้เห็นว่าการเตรียมพร้อมล่วงหน้าผ่านการทำ tabletop exercises หรือ simulation ต่าง ๆ ยังคงเป็นสิ่งจำเป็น การเรียนรู้จากความผิดพลาดนี้อาจนำไปสู่การปรับปรุง **Secure Software Development Lifecycle (SDLC) ของหน่วยงานรัฐบาลโดยรวม

ในระดับนานาชาติ เหตุการณ์เช่นนี้อาจกระตุ้นให้พันธมิตรของสหรัฐฯ ทบทวนมาตรฐานความปลอดภัยของซัพพลายเออร์และอัปเดตแนวทางการตรวจสอบโค้ดที่เปิดเผยต่อสาธารณะเพื่อป้องกันข้อมูลสำคัญหลุดออกไป

Summary

CISA ต้องสร้างคู่มือจัดการเหตุการณ์ระหว่างที่กำลังตอบสนองต่อการรั่วไหลของรหัสผ่านจาก GitHub ซึ่งเป็นผลมาจากการอัปโหลดโดยพนักงานผู้รับเหมา รายละเอียดนี้ชี้ให้เห็นช่องโหว่ในกระบวนการควบคุมซัพพลายเชนและความจำเป็นในการเสริมสร้างมาตรฐานความปลอดภัยของข้อมูลภายในหน่วยงานระดับชาติ.