腐败案件导致哥伦比亚特区IT安全的梦魇

DoSECU 安全报道 3月18日消息：继昨天哥伦比亚特区首席信息安全官被指控收受贿赂而被拘捕后，有传来不予保释的消息，部分原因可能是出于目前尚不清楚他是否还有权访问哥伦比亚特区的IT系统。

这只是哥伦比亚特区政府所面临的众多安全隐患中的一起，自从美国联邦调查局逮捕了特区的IT官员后，他们又拘捕了担任首席安全官职位的Yusuf Acar，他也成为受贿赂指控牵连的又一人。

举例来说，Acar的工作职责允许他有权访问哥伦比亚特区系统内的员工数据和其他机密信息。美国联邦调查局提交给法庭的证据显示还有其他的哥伦比亚特区职员也与这起贿赂案件有所牵连。安全分析家警告说Acar和他的同谋建立了一个进入系统的秘密通道。他们所受的指控中包括在购买安全软件方面所做的手脚，因此他们可能会就特区安全工具的质量问题接受法庭质询。

位于美国马里兰州Bethesda市的SANS Institute互联网风暴中心的首席技术官约翰尼斯.乌利兹表示，从一名IT安全官的立场来看，华盛顿特区的许多官员都有着类似的梦魇。

作为一名IT部门的安全官，Acar掌握着使用哥伦比亚特区网络，数据库和密码文件的特权。除此之外，他个人还负责系统用户访问控制流程的细节制定。这种级别的访问和知情权可以让他做很多事情，而且很难被察觉。

乌利兹强调说，没有完整的调研，就无法确认是否特区的系统确实遭受到了严重的破坏。他表示哥伦比亚特区官员应该寻找的内部欺诈行径包括安装秘密通道，盗窃系统内部数据，种植可在指定时间发作对数据进行毁坏的逻辑炸弹。欺骗其他用户进入安装了木马程序或者其他危险设备的系统。

昨天在美国联邦地方法院对Acar的传讯中，美国助理律师托马斯.汉伯格列举了大量理由来说明IT职员应该在下周二举行的听证会上被判监禁。首先，汉伯格表示Acar是非常危险的人物，他有亲属在土耳其会帮助他们潜逃国外。但是汉伯格也指出Acar握有访问系统的特权，检举人也不知道Acar现在是否还有权访问哥伦比亚特区的网络。

联邦调查员目前没有透露贿赂案件是否威胁到了系统中大量数据的安全。今天美国律师代理行发言人表示他们目前无法对调查过程做出评论。

乌利兹建议说，除了要保证Acar被阻断在网络之外，哥伦比亚特区的官员还应该重新审核网络和系统日志来检查Acar的活动痕迹。他还表示密码和其他访问控制的机制必须被重新设置。特区的安全工具也应该根据美国联邦调查局的声明重新评估，因为贿赂案件牵扯到了从安全厂商迈克菲处购买的软件。

根据美国联邦调查局的说法，在此次案件中，一家位于华盛顿地区的外包和IT服务厂商Advanced Integrated Technologies Corp.代表哥伦比亚特区的IT部门从迈克菲处购买了500份许可证授权，但却从政府处收取了2000份许可证授权的费用。ATTC公司的首席执行官Sushil Bansal由此成为受贿赂案牵连被美国联邦调查局批捕的第二人。

乌利兹表示这是有可能的，从ATTC处购买的某些安全技术并非同类产品中最好的或者是特区系统所需要的。乌利兹认为"安全基础架构的质量就可能存在问题。谁知道他们买了什么？谁知道他们是否会为了钱把网络或者数据的访问权出卖掉？"

Gartner咨询公司的分析师John Pescatore将哥伦比亚特区官员目前面临的情况形容为"极端混乱"。Pescatore表示"迄今为止，为公众所知的主要事由都是经济问题"。但是与乌利兹不同的是，Pescatore认为目前所需的主要计算机防范手段是将所有涉案的犯罪人员全部绳之以法。

由于AITC公司也为哥伦比亚特区的交通部和人力资源办公室服务，因此Pescatore认为在这些部门也存在"数据被盗或者公民或员工数据被出售的可能性"。

SANS Institute研究总监艾伦.派勒表示Acar和Bansal牵扯二处的安全问题还有其他的可能性。派勒表示"主要的负面影响是他们都没有严守自己的职责道德，而是对赚大钱更感兴趣"。但是要到整个调查结束以后我们才能知道最后的结果。

根据传讯听证会透露的指控文件，牵扯的案件内容非常复杂。美国联邦调查局在起诉书中称，Acar提交了比实际交付的产品数量更多的采购订单，而哥伦比亚特区从来没有收到过这些产品。美国联邦调查局还指控说，Acar还在特区的薪水册上增加了"幽灵员工"，为虚构的员工建立花名册，这样他就能为他们领取薪水。

由于上周奥巴马总统刚刚任命Vivek Kundra担任华盛顿特区的首席技术官和联邦祝福的首任首席信息官，因此这宗腐败案件受到了更大的关注。

从法庭文件上看没有任何迹象表明Kundra对这起违法案件有所了解。不过白宫发言人今天确认称Kundra自从昨天Acar被捕事件发生后就开始休假。这让大家不禁猜想他所倡导的联邦政府技术革命的宏图将如何实现。

未经允许不得转载：DOIT » 腐败案件导致哥伦比亚特区IT安全的梦魇