國防部監察長報告指稱，美國彈道導彈防禦系統(BMDS)的網絡安全操作存在“系統性漏洞”，不鎖服務器機架、缺乏加密……
BMDS是針對中短程及遠程彈道導彈的反制措施，目的是攔截飛往美國的各型彈道導彈。
這些系統由多個部件組成，包括檢測來襲威脅的聯網傳感器陣列和摧毀來襲威脅的攔截導彈。戰略指揮機構負責操作這些系統運營所需的通信網絡。
一份滿是塗黑隱去痕跡的報告揭示，某些BMDS機構的網絡安全操作存在嚴重缺陷。
報告在一些案例中發現：“有工作人員沒設置控制措施監視下載到可移動媒體的機密數據類型和大小。”
這已經不僅僅是網絡安全操作糟糕，而是直接違反了美國國家安全系統指導委員會的要求：聯邦機構必須記錄、審計和監視從系統中移出的任何數據。
彈道導彈防禦系統
報告還發現，設施管理人員說不出哪些用戶有恰當的權限，也說不清楚有系統權限的用戶是否持有所訪問數據的安全許可。
這是因為管理員並不總是留存用戶訪問表，而留了表的管理員也不總是要求用戶和監督人證明為什麼該用戶需要訪問BMDS技術信息。
監察員發現，不是所有的數據在轉出系統時都是加密的，安全經理不強制被卸載的媒體設備上使用加密。
為什麼呢？因為他們“用的遺留系統缺乏加密數據的能力和帶寬，也沒有資源購買加密軟件啊。”
即便某些遺留系統上裝了加密軟件，也是不匹配國防部目前在用的加密軟件的。
這些機構的物理安全也低於平均水平；系統硬件管理明顯很爛，連數據中心裡的服務器機櫃都不上鎖。
“
機櫃不上鎖，又不限制鑰匙持有權限，這大大增加了內部人滲漏數據的風險。
監察員在檢查過程中還發現，有些網絡管理員都沒部署能夠讓他們監視機密網絡上可疑行為的入侵檢測軟件。
該報告建議美國國防部立即採取措施彌補其硬件和軟件功能上的不足。
分享到:
閱讀更多 安全牛 的文章
