یک مورد امنیتی تکان‌دهنده در یکی از پیمانکاران دولتی رخ داد که در آن، تلاش برای تسهیل فرآیند استقرار کد (Code Deployment)، منجر به ایجاد یک حفره امنیتی گسترده در دسترسی به داده‌های حساس شد.
جزئیات حادثه و اشتباهات پیکربندی
بر اساس گزارش‌های منتشر شده، توسعه‌گران یک سازمان پیمانکار دولتی برای ساده‌سازی انتقال داده‌ها از یک دیتاسنتر با سطح امنیت پایین (که برای تست کدها استفاده می‌شد) به دیتاسنتر طبقه‌بندی شده (Classified Datacenter) که سرورهای عملیاتی (Production) در آن قرار داشتند، درخواست تغییر در قوانین فایروال (Firewall Rules) دادند.
هدف این توسعه‌گران این بود که بتوانند از طریق یک VPN تجاری به سرورهای Provisioning دسترسی داشته باشند تا انتقال کدها سریع‌تر انجام شود. نکته بحرانی این بود که این VPN توسط دیتاسنتر تجاری مدیریت می‌شد و نه توسط دولت، و کاربران متعددی از سایر شرکت‌ها نیز به این شبکه دسترسی داشتند.
نادیده گرفتن هشدارهای امنیتی
مسئول امنیت سیستم‌های اطلاعاتی (ISSO) سازمان، پیش از اعمال این تغییرات، به شدت نسبت به خطرات آن هشدار داد. وی استدلال کرد که باز کردن یک Rule در فایروال که اجازه دسترسی از یک محیط با امنیت پایین به محیطی با سطح دسترسی «محرمانه» (Top Secret) را می‌دهد، یک ریسک پذیرفتنی نیست.
با این حال، در زمان غیبت مسئول امنیت، توسعه‌گران توانستند تاییدیه لازم را از هیئت پذیرش تغییرات (Change Acceptance Board) دریافت کرده و قانون فایروال را تغییر دهند.
اثبات مفهوم (PoC) و ابعاد خطر
پس از بازگشت مسئول امنیت، وی با یک نمایش عملی (Demonstration) نشان داد که چگونه می‌تواند تنها با اتصال لپ‌تاپ به اینترنت موبایل و ورود به VPN تجاری، به سرورهای عملیاتی دسترسی پیدا کرده و آن‌ها را کنترل کند. این سرورها حاوی ۵۰ میلیون رکورد حساس مربوط به مهاجران، شامل هویت افراد و محل اقامت آن‌ها بود.
تحلیل ریسک
- سطح دسترسی: هزاران کاربر به VPN تجاری دسترسی داشتند، در حالی که تنها ده‌ها نفر باید به دیتاسنتر دولتی دسترسی می‌داشتند.
- ضعف احراز هویت: در آن زمان، سیستم‌ها فاقد احراز هویت چندعاملی (MFA) بودند و استانداردهای رمز عبور بسیار پایین بود که امکان حملات Brute-force را فراهم می‌کرد.
در نهایت، پس از مشاهده این نقص توسط مدیران، قوانین فایروال بلافاصله به حالت پیش‌فرض بازگردانده شد. این حادثه نشان می‌دهد که حتی در حضور لایه‌هایی مانند VPN و رمز عبور، داده‌های حساس نیازمند لایه‌های حفاظتی اضافی و نظارت سخت‌گیرانه بر تغییرات شبکه هستند.
