مبادرات أمريكية جديدة للمواجهة بشكل أفضل للهجمات الإلكترونية

 ستركز المبادرة على تقديم توصيات لمقدمي الخدمات الحكومية والصناعية والسحابية لتحسين إدارة الهوية والتوثيق في السحابة. وستقوم الجهود الأولية بمراجعة اختراق مايكروسوفت كلاود الشهر الماضي حيث وجد الباحثون أن المتسللين الصينيين قاموا بتزوير رموز مصادقة باستخدام مفتاح توقيع أزور أكتيف ديركتوري إنتربرايز المسروق لاقتحام صناديق البريد الإلكتروني إم 365. أدى الاختراق إلى سرقة رسائل البريد الإلكتروني من حوالي 25 منظمة.

سيتوسع مجلس الإدارة بعد ذلك ليشمل المشكلات المتعلقة بالهوية المستندة إلى السحابة والبنية التحتية للمصادقة التي تؤثر على مزودي خدمة العملاء المعتمدين وعملائهم. قد يكون لهذا الجزء من المراجعة أهمية أكثر انتشارا في إصلاح عمليات الأمن السيبراني المعطلة. الولايات المتحدة تعزز إجراءات الأمان السحابية يتمثل دور المجلس في تقييم الحوادث الهامة ومواطن الضعف في النظام الإيكولوجي وتقديم توصيات بناء على الدروس المستفادة. وفقا لمسؤولين حكوميين ، يجمع مجلس الإدارة أفضل الخبرات من الصناعة والحكومة. وقال جين إيسترلي ، مدير وكالة أمن الأمن السيبراني والبنية التحتية:" ستؤدي نتائج وتوصيات مجلس الإدارة من هذا التقييم إلى تعزيز ممارسات الأمن السيبراني عبر البيئات السحابية وضمان قدرتنا بشكل جماعي على الحفاظ على الثقة في هذه الأنظمة الحيوية".

في إعلان ذي صلة في 8 أغسطس.  ، أصدر المعهد الوطني للمعايير والتكنولوجيا (نيست) مشروع إطار الأمن السيبراني الموسع الإصدار 1.0 قدم لأول مرة في عام 2014. إطار الأمن السيبراني (كسف) 2.0 هو أول مراجعة لأداة تقييم الأمن السيبراني منذ ذلك الحين. بعد النظر في أكثر من عام من ردود الفعل المجتمعية ، أصدرت نيست النسخة الجديدة من إطار الأمن السيبراني (كسف) 2.0 لمساعدة المنظمات على فهم وتقليل والتواصل حول مخاطر الأمن السيبراني. إنه يعكس التغييرات في مشهد الأمن السيبراني ويجعل من السهل تنفيذ إطار الأمن السيبراني لجميع المؤسسات. وقالت شيريلين باسكو من نيست ، المطور الرئيسي للإطار:" من خلال هذا التحديث ، نحاول أن نعكس الاستخدام الحالي لإطار الأمن السيبراني وتوقع الاستخدام المستقبلي أيضا". "تم تطوير إطار العمل القطري للبنية التحتية الحيوية مثل الصناعات المصرفية والطاقة ، لكنه أثبت أنه مفيد في كل مكان ، من المدارس والشركات الصغيرة إلى الحكومات المحلية والأجنبية. نريد أن نتأكد من أنها أداة مفيدة لجميع القطاعات ، وليس فقط تلك التي تم تصنيفها على أنها حرجة".

تتوافق مع استراتيجيات السلامة الإلكترونية السابقة افتتح البيت الأبيض يوم الخميس طلبا للحصول على معلومات للتعليق العام على أمن البرمجيات مفتوحة المصدر ولغات البرمجة الآمنة للذاكرة. الهدف هو البناء على التزامها بالاستثمار في تطوير تقنيات تطوير البرمجيات والبرمجيات الآمنة. يسعى طلب التعليق العام أيضا إلى تعزيز المبادرة 4.1.2 من خطة تنفيذ استراتيجية الأمن السيبراني الوطنية التي أصدرها البيت الأبيض لتأمين البينة التحتية الإنترنت.

أصدر البيت الأبيض في 13 يوليو خطة تنفيذ الاستراتيجية الوطنية للأمن السيبراني ("نسيب"). ويحدد التقرير 65 مبادرة تقودها 18 إدارة ووكالة مختلفة تم تصميمها كخريطة طريق لتنفيذ استراتيجية الأمن السيبراني الوطنية الأمريكية التي أصدرتها في مارس. الردود مستحقة بحلول الساعة 5: 00 مساء بتوقيت شرق الولايات المتحدة في 9 أكتوبر 2023. للحصول على معلومات حول تقديم التعليقات ، راجع صحيفة الوقائع: يطلب مكتب مدير الإنترنت الوطني تعليقا عاما على أمان البرامج مفتوحة المصدر ولغة البرمجة الآمنة للذاكرة. استجابة مايكروسوفت قد تشكل سابقة وفقا لكلود ماندي ، كبير المبشرين لأمن البيانات في أنظمة التماثل ، أبرز خرق سحابة مايكروسوفت المشار إليها أعلاه قضيتين. أولا ، كشفت كيف أن حزمة البنيات التجارية من مايكروسوفت تحتاج إلى ميزات أمان مع منتجات أخرى. وقال إن الهدف هو تقييد العملاء من اختيار المنتجات التنافسية على أساس تجاري. هذا يقيد الشركات من امتلاك ميزات الأمان الأساسية دون دفع أكثر مما هو مطلوب. في هذه الحالة ، فإنه ينطوي على سجلات في عملية المصادقة ، وفقا لماندي. الكشف الثاني هو أن التفاصيل حول كيفية حدوث الخرق وما هو التأثير المحتمل والبيانات التي يمكن أن تتأثر لا تزال غامضة ، مع عدم وجود يقين من قبل مايكروسوفت ، قدم ماندي. حدث ذلك على الرغم من التركيز والاستثمار من مايكروسوفت على الأمن السيبراني كتدفق للإيرادات.

وقال لـ" تكنيوز وورلد": "كصناعة ، نطالب بمزيد من الشفافية". وأشار إلى أن الدرس الأكثر أهمية من هذا الخرق بالنسبة للمؤسسات هو أن تسجيل ومراقبة أحداث البيانات - أو اكتشاف البيانات والاستجابة لها-هو أكبر رافعة يمتلكها المرء في السحابة للكشف عن الحوادث الأمنية والتحقيق فيها والاستجابة لها ، لا سيما تلك التي تنطوي على أطراف ثالثة. وقال:" الأكثر إثارة للاهتمام على المدى القصير من هذه المراجعة هو إلى أي مدى سيتم اعتماد السابقة التي وضعتها مايكروسوفت في الالتزام بتوفير هذه السجلات بدون تكلفة أو فرضها على مزودي الخدمات السحابية الآخرين". تجاهل نصف أخطاء الأمان السحابية قامت وحدة أبحاث التهديد كواليس بتحليل حالة أمان السحابة ونشرت النتائج في وقت سابق من هذا الشهر. اكتشف الباحثون أن التهيئات الخاطئة في موفري الأمن السحابي وفرت فرصا كبيرة للجهات الفاعلة في مجال التهديد لاستهداف المنظمات ، خاصة عندما تقترن بمواجهة نقاط الضعف الخارجية التي ظلت مكشوفة وتعرض المنظمات للخطر ، وفقا لترافيس سميث ، نائب رئيس وحدة أبحاث التهديد في كواليس. "عبر مزودي أمان السحابة الثلاثة الرئيسيين ، تم تمكين إعدادات التكوين المصممة لتقوية البنى السحابية وأعباء العمل بشكل صحيح فقط بنسبة 50 % تقريبا من الوقت.

وعلى صعيد مماثل ، فإن 50.85 %من نقاط الضعف التي تواجه خارجيا لا تزال غير مصححة". في حين أن المراجعة ستوفر رؤية لمخاطر نقل موارد الحوسبة إلى السحابة ، إلا أنه لا يبدو أن المؤسسات تستجيب لهذا التحذير ، كما أكد سميث. هذا الاكتشاف لا يبشر بالخير لتحسين الأمن السيبراني. ركزت المراجعة الأولى للباحثين على نقاط الضعف في لوغ4 ج. يرى خبراء الإنترنت أن لوغ4 شيل لا يزال منتشرا على نطاق واسع في البيئات السحابية ، حيث تم العثور على تصحيحات بنسبة 30 % من الوقت. لا يوجد حل للأمان السحابي المستند إلى المفاتيح سيواجه الأمان المستند إلى المفتاح دائما مشكلة الاختراق هذه. هناك دائما ، بمعنى ما ، مفتاح رئيسي ، مفتاح واحد لحكمهم جميعا ، اقترح كريشنا فيشنوبهوتلا ، نائب الرئيس لاستراتيجية المنتج في زيمبيريوم.

لذا فإن مجرد اختيار خوارزميات ومخططات تشفير قوية لا يكفي. القلق الأكثر أهمية هو حماية المفاتيح من التعرض للإساءة وسوء المعاملة. إن الحفاظ على المفاتيح آمنة ليس ممارسة سليمة في معظم الشركات". تنتشر السحابة المتعددة والسحابة المختلطة في جميع أنحاء المؤسسة ، من الحوسبة إلى المصادقة. لذلك ، يمثل المفتاح الرئيسي الوصول إلى جميع أنظمة المؤسسة. "ما إذا كان ينبغي على الشركات أن تعهد مفاتيحها الرئيسية لمقدمي الخدمات السحابية أو ما إذا كان ينبغي على الشركات تحمل هذه المسؤولية هو السؤال الحقيقي" ، اقترح. إطار الأمن السيبراني الجديد يحمل وعدا قد تكون الجهود المبذولة لتحديث التوصيات الأمنية معركة شاقة تتجاوز خبراء الإنترنت الفعليين. واحدة من المشاكل الدائمة في مجال الأمن السيبراني هو كيفية التحدث عن الأمن للقيادة ومجلس كميا ، عرضت جون بامبينيك ، هنتر التهديد الرئيسي في نيتنريتش.

"توسيع هذه الأطر لجميع المنظمات وليس فقط البنية التحتية الحيوية يفتح الباب لتكون قادرة على القيام بذلك بطريقة متسقة عبر الاقتصاد ونأمل أن يؤدي إلى مزيد من المشاركة في استخدام الأمن للحد من مخاطر الأعمال" ، وقال تكنيوزورلد. إضافة وظيفة السادسة ، "تحكم" ، هو رسالة واضحة للمنظمات التي لتكون ناجحة ، وهناك أيضا يجب أن تدار بنشاط السياسات والعمليات التي تقوم عليها المجالات الوظيفية الأخرى ، وأشاد الرئيس التنفيذي لشركة فياكو بود برومهيد. على سبيل المثال ، يجب أن تضمن الحوكمة أن تكون جميع الأنظمة مرئية وتشغيلية وأن العمليات والسياسات الأمنية على مستوى المؤسسة موجودة توسيع نطاق إطار نيست لجميع أشكال المنظمات ، وليس فقط البنية التحتية الحيوية ، يعترف كيف تواجه كل منظمة التهديدات السيبرانية وتحتاج إلى خطة في مكان لإدارة النظافة السيبرانية والاستجابة للحوادث ، وأوضح برومهيد. "هذا هو الحال بالفعل مع التأمين السيبراني ، والتحديث الأخير نيست سيساعد المنظمات ليس فقط الحد من المشهد التهديد ولكن أيضا أن تكون في وضع أفضل للامتثال والتدقيق ومتطلبات التأمين على الأمن السيبراني" ،

وقال تكنيوسورلد. خطوة في الاتجاه الصحيح وحث برومهيد على أن تحديث نيست يجب أن يدفع المزيد من المنظمات للعمل مع مقدمي الخدمات المدارة على النظافة الإلكترونية وإدارة الأمن السيبراني. وبالنظر إلى أن نيست يوسع نطاقه ليشمل المنظمات الأصغر، سيجد الكثيرون أن مزود الخدمة المدارة هو أفضل طريقة لجعل مؤسستهم متوافقة مع إطار نيست للأمن السيبراني الإصدار 2.0. آخر تحديث لإطار الأمن السيبراني هو تحديث ممتاز لواحد من أفضل أطر مخاطر الأمن السيبراني ، كما عرض جوزيف كارسون ، كبير علماء الأمن والاستشاريين في ديلينيا. وقال لـ" تكنيوز وورلد": "من الرائع أن نرى إطار العمل ينتقل من مجرد تركيز مؤسسات البنية التحتية الحيوية والتكيف مع تهديدات الأمن السيبراني من خلال توفير التوجيه لجميع القطاعات". "ويشمل ذلك الركيزة الجديدة للحكومة التي تعترف بالتغييرات في الطريقة التي تستجيب بها المؤسسات الآن للتهديدات لدعم استراتيجيتها الشاملة للأمن السيبراني.” .