The Wall Street Journal tarafından daha önce bildirildiği üzere Biden yönetimi, sivil federal kurumların yüzlerce siber güvenlik açığını düzeltmesini istiyor. WSJ’nin belirttiği gibi, Siber Güvenlik ve Altyapı Güvenliği Ajansı’nın (CISA) BOD 22-01 direktifi, siber güvenlik uzmanlarının 2017 ile 2020 arasında keşfettiği yaklaşık 200 bilinen tehdidin yanı sıra 2021’de bulunan 90 kusuru daha kapsıyor. eski tehditleri düzeltmek için altı ay ve geçen yıl içinde keşfedilenleri düzeltmek için sadece iki hafta.
WSJ raporu, güvenlik söz konusu olduğunda federal kurumların genellikle kendi cihazlarına bırakıldığına dikkat çekiyor. bazen zayıf güvenlik yönetimine neden olur. Amaç, federal kurumları, büyük olsun ya da olmasın tüm potansiyel tehditleri düzeltmeye zorlamak ve diğer özel ve kamu kuruluşlarının takip etmesi için temel bir liste oluşturmaktır. Daha önce bilinmeyen açılışlardan yararlanan sıfırıncı gün güvenlik açıkları büyük manşetlerde yer alırken, “şimdi zarar veren güvenlik açıklarının alt kümesini” ele almak birçok olayın önüne geçebilir.
Federal kurumların eski tehditleri yamalamak için altı ayı var
Önceden , 2015 tarihli bir emir, federal kurumlara “kritik risk” olarak kabul edilen tehditleri düzeltmeleri için bir ay verdi. Bu, WSJ tarafından belirtildiği gibi “yüksek riskli” olarak sınıflandırılan tehditleri içerecek şekilde 2019’da değiştirildi. Yeni yetki, belirli tehdit düzeylerine öncelik vermekten uzaklaşıyor ve bunun yerine, küçük deliklerin, bilgisayar korsanlarının bunlardan yararlanmanın bir yolunu bulmaları halinde hızla daha büyük sorunlara neden olabileceğini kabul ediyor.
“Yönerge, federal siviller için net gereksinimler ortaya koyuyor. CISA direktörü Jen Easterly, kurumların güvenlik açığı yönetimi uygulamalarını iyileştirmek ve siber saldırılara maruz kalmalarını önemli ölçüde azaltmak için derhal harekete geçmelerini istiyor” dedi. “Bu Direktif federal sivil kurumlar için geçerli olsa da, kritik altyapı varlıkları da dahil olmak üzere ülke çapındaki kuruluşların aynı güvenlik açıklarını kullanarak hedef alındığını biliyoruz. Bu nedenle, her kuruluşun bu Yönergeyi benimsemesi ve CISA’nın genel kataloğunda listelenen güvenlik açıklarının azaltılmasına öncelik vermesi çok önemlidir.”
CISA’nın yeni yayınlanan bilinen güvenlik açıkları listesi, özellikle Microsoft Exchange Server kusurunu içerir. Mart ayında, 30.000’den fazla ABD resmi ve ticari kuruluşundan gelen e-postalar, bir Çinli grup tarafından, yamaları yapılsa saldırıları önleyebilecek bilinen dört güvenlik açığı sayesinde hacklendi. CISA’nın listesi, “Microsoft Exchange Uzaktan Kod Yürütme Güvenlik Açığı”nın yamalanmasını gerektiriyor ve federal kurumları Mayıs 2022’ye kadar mevcut SolarWinds yamalarını yüklemeye çağırıyor.
Solarwinds Orion Platformu da listede yer alıyor. 2020’nin sonlarında ABD devlet kurumlarını tehlikeye atan büyük bir hack. CISA, “SolarWinds Orion API’sinin, uzaktaki bir saldırganın API komutlarını yürütmesine izin verebilecek bir kimlik doğrulama atlamasına karşı savunmasız olduğunu” belirtiyor.
Siber güvenlik, göreve başladığından beri Başkan Biden için bir öncelik oldu. Mayıs ayında, gelecekteki siber güvenlik felaketlerini önlemeye yardımcı olmak için bir yönetici emri imzaladı. Emir, federal hükümet genelinde iki faktörlü kimlik doğrulamasını zorunlu kılar, siber saldırılara yanıt vermek için bir protokol oluşturur ve diğer güvenlik önlemlerinin yanı sıra bir Siber Güvenlik Güvenliği İnceleme Kurulu oluşturur.
