CISA 数据泄露：运营安全失败案例研究

美国网络安全与基础设施安全局 (CISA) —— 这个肩负着保卫国家关键基础设施重任的机构 —— 最近成为了严重运营安全 (OPSEC) 失败的受害者。一名拥有管理权限的承包商被发现发布了一个名为 "Private-CISA" 的公开 GitHub 仓库，其中包含了数十个 CISA 内部系统的明文凭证，包括 AWS GovCloud 密钥。

这次事件是一个关键的提醒：即使是最先进的技术防御，也往往会被人为错误和缺乏严格的内部控制所削弱。此次泄露并非源于复杂的外部攻击，而是由于滥用公开代码托管平台而导致的内部泄露。

泄露剖析

根据 KrebsOnSecurity 的报告，此次泄露是由一名 CISA 承包商发起的，该承包商使用公开的 GitHub 个人资料作为“工作草稿本或同步机制”，以便在工作机器和家用机器之间移动数据。在一次令人震惊的判断失误中，该承包商禁用了 GitHub 内置的防止在公开仓库中发布敏感凭证的保护功能。

关键暴露的机密

"Private-CISA" 仓库包含了任何对手都垂涎的高价值目标：

• AWS GovCloud Keys: 关键云基础设施的明文凭证。
• RSA Private Keys: 一个暴露的 RSA 私钥授予了对 CISA 企业账户拥有的 GitHub app 的访问权限，允许攻击者读取 CISA-IT 组织中每个仓库（包括私有仓库）的源代码。
• Internal System Credentials: 各种 CISA 内部系统的明文密码和令牌。

正如 Truffle Security 的 Dylan Ayrey 所指出的，风险在于“任何监控 GitHub 事件的人都可能掌握着这些信息”。由于 GitHub 会发布所有提交 (commit) 的实时动态，网络犯罪集团和外国对手（如中国、俄罗斯和伊朗）经常在几秒钟内监控这些动态，以便迅速捕捉泄露的密钥。

机构失败与“人为问题”

虽然 CISA 声称“没有迹象表明任何敏感数据遭到破坏”，但考虑到暴露的规模和持续时间（可追溯至 2025 年 11 月）以及使密钥失效的缓慢响应，恶意行为者很可能已经获取了这些信息。

承包商管理漏洞

争议的一个核心点在于此类泄露是否可以被预防。Risky Business 播客的 Adam Boileau 认为，这是一个“人为问题”，无法仅靠技术控制来解决，因为该承包商正在使用 CISA 管理环境之外的个人账户。

然而，批评人士和社区成员认为，更胜任的技术控制措施本应防止承包商持有在数月内仍然有效的长期密码。这表明了凭证生命周期管理和轮换策略的失败。

领导层真空

包括参议员 Maggie Hassan 和众议员 Bennie Thompson 在内的立法者们表达了严重的担忧，认为此次事件反映了 CISA 内部“安全文化减弱”。这种感知到的衰退与近期的一段内部动荡期有关，在此期间，CISA 失去了超过三分之一的员工，并在经历了一系列强制退休和辞职后，几乎失去了所有的资深领导层。

"我们担心这次事件反映了安全文化的减弱，和/或 CISA 无法对其合同支持进行充分管理，”众议员 Bennie Thompson 写道。

企业启示

对于任何管理敏感代码和机密的组织而言，这次 CISA 泄露事件提供了几个关键的启示：

1. 执行严格的机密轮换: 应当消除长期凭证，转而使用短期、动态的机密。2025 年的密钥在 2026 年仍然有效，这一事实本身就是轮换策略的灾难性失败。

2. CISA-IT 组织策略: 组织应当在 GitHub 上实施自上而下的策略，以防止用户禁用针对机密扫描的安全性保护。

3. 承包商治理: 第三方承包商必须遵守与内部员工相同（或更严格）的安全标准，并且必须监控是否存在未经授权的数据移动。

4. 持续监控: 正如 GitGuardian 和 TruffleHog 提供的工具所示，组织应当积极监控公开代码仓库，以查找自身的泄露机密，以便在对手之前识别并修复泄露。