CISA įspėja, kad jos cheminio saugumo vertinimo įrankio (CSAT) aplinka buvo pažeista sausio mėn., kai įsilaužėliai įdiegė žiniatinklio apvalkalą jos Ivanti įrenginyje, galintį atskleisti jautrius saugumo vertinimus ir planus.
CSAT yra internetinis portalas, kurį naudoja įrenginiai, norėdami pranešti apie jų turėjimą cheminių medžiagų, kurios gali būti panaudotos terorizmui, kad nustatytų, ar jos laikomos didelės rizikos objektu. Jei jie laikomi didelės rizikos, įrankis paragins juos įkelti saugos pažeidžiamumo įvertinimą (SVA) ir vietos saugumo plano (SSP) tyrimą, kuriame yra neskelbtinos informacijos apie įrenginį.
Kovo mėnesį „The Record“ pirmą kartą pranešė, kad CISA patyrė pažeidimą po to, kai buvo išnaudotas agentūros „Ivanti“ įrenginys, dėl kurio, tiriant incidentą, dvi sistemos buvo atjungtos nuo tinklo.
Nors CISA nesidalino informacija apie incidentą, „The Record“ šaltiniai teigė, kad tai buvo infrastruktūros apsaugos (IP) šliuzas ir cheminio saugumo vertinimo įrankis (CSAT).
CISA patvirtina pažeidimą
CISA dabar patvirtino, kad CSAT Ivanti Connect Secure įrenginys buvo pažeistas 2024 m. sausio 23 d., todėl grėsmės veikėjas galėjo įkelti žiniatinklio apvalkalą į įrenginį.
Tada grėsmės veikėjas kelis kartus per dvi dienas pasiekė šį žiniatinklio apvalkalą.
Kai CISA atrado pažeidimą, jie išjungė įrenginį, kad ištirtų visus grėsmės veikėjo veiksmus ir kokius duomenis galimai atskleisti.
CISA nepaskelbė, kokios spragos buvo išnaudotos, o nurodė CISA dokumentą apie grėsmių subjektus, kurie naudojasi keliomis Ivanti Connect Secure ir Policy Secure Gateway įrenginių pažeidžiamumu.
Šiame dokumente nurodomi trys pažeidžiamumai, pažymėti kaip CVE-2023-46805, CVE-2024-21887 ir CVE-2024-21893, kurie buvo atskleisti prieš CISA pažeidimą sausio 23 d., o grėsmės veikėjai jais greitai pasinaudojo. Vienas pažeidžiamumas, CVE-2024-21888, buvo atskleistas sausio 22 d., likus dienai iki CISA „Ivanti“ įrenginio pažeidimo.
Nors CISA teigia, kad visi CSAT programoje esantys duomenys yra užšifruoti naudojant AES 256 šifravimą ir nėra įrodymų, kad CSAT duomenys buvo pavogti, jie nusprendė apie tai pranešti įmonėms ir asmenims labai atsargiai.
„CISA praneša visiems paveiktiems CFATS programos dalyviams, nes labai atsargiai, kad ši informacija galėjo būti netinkamai prieinama“, – aiškinama CISA pranešime apie duomenų pažeidimą.
„Net ir neturint duomenų išfiltravimo įrodymų, potencialių asmenų ir organizacijų, kurių duomenims gali kilti pavojus, skaičius pasiekė didelio incidento slenkstį pagal Federalinį informacijos saugumo modernizavimo įstatymą (FISMA).
Duomenys, kurie galėjo būti atskleisti, apima viršutinio ekrano apklausas, saugos pažeidžiamumo vertinimus, svetainės saugos planus, personalo garantijų programos pateikimus ir CSAT naudotojų paskyras.
Šiuose pristatymuose yra labai neskelbtinos informacijos apie įrenginių, naudojančių CSAT įrankį, saugos padėtį ir cheminių medžiagų inventorių.
CISA teigia, kad CSAT vartotojų paskyrose buvo ši informacija.
- Pseudonimai
- Gimimo vieta
- Pilietybė
- Paso numeris
- Atlyginimo numeris
- Skaičius
- Visuotinis įrašo ID numeris
- TWIC ID numeris
Nors CISA teigia, kad nėra įrodymų, kad kredencialai būtų pavogti, ji rekomenduoja visiems CSAT paskyrų savininkams iš naujo nustatyti bet kurios paskyros, kurioje buvo naudojamas tas pats slaptažodis, slaptažodžius.
CISA siunčia skirtingus pranešimo laiškus, priklausomai nuo to, ar esate asmuo, ar organizacija.
