Девет месеца неоторизиран достъп: какво показва пробивът в Пентагона за пропуските в откриването

Какво се случи

Пробив в информационна система на Defense Manpower Data Center (DMDC) към Министерството на отбраната на САЩ е изложил личните данни на повече от 3 милиона души, свързани с американските въоръжени сили.

Според информация, потвърдена от служител на Министерството на отбраната, засегнати са около 2,76 милиона живи лица и още 294 000 починали. Сред изложените данни са имена, информация за контакт, дати на раждане, Social Security Numbers, военни длъжности и други записи. Видът на засегнатата информация се различава за отделните лица.

По-същественият детайл от гледна точка на киберсигурността обаче е времето.

Малък брой неоторизирани потребители са имали достъп до системата между октомври 2025 г. и юли 2026 г. Уязвимост във file-sharing система е открита на 16 юли и според уведомлението към засегнат потребител е била коригирана веднага.

Защо деветте месеца са по-важни от броя засегнати записи

Големият обем компрометирани данни привлича вниманието, но от оперативна гледна точка продължителността на неоторизирания достъп е също толкова важна.

Когато чужд достъп остане незабелязан в продължение на месеци, въпросът вече не е само каква уязвимост е позволила първоначалното проникване.

Организацията трябва да установи:

• как неоторизираните потребители са получили достъп;

• какви действия са извършвали;

• кои данни реално са били достъпени или копирани;

• имало ли е необичайни заявки, сесии или прехвърляне на информация;

• защо съществуващите контроли не са идентифицирали поведението по-рано;

• дали след отстраняване на уязвимостта е останал друг механизъм за достъп.

Това е разликата между отстраняване на уязвимост и разследване на компрометиране.

Чувствителните данни увеличават последствията

Според потвърдената до момента информация част от данните са били съхранявани некриптирано. Сред тях са Social Security Numbers и информация за длъжностите на военен и цивилен персонал.

DMDC има особено чувствителна функция. Центърът поддържа информация, използвана за идентификация на притежателите на карти на Министерството на отбраната, и записи за десетки милиони военнослужещи, ветерани, настоящи и бивши цивилни служители, подизпълнители и членове на военни семейства.

Комбинацията от лични идентификатори и информация за служебните роли може да има стойност и извън обикновената кражба на самоличност. Тя може да подпомогне по-добре насочен phishing, impersonation и други атаки срещу конкретни хора или организации.

Към момента американските власти заявяват, че няма данни изложената лична информация да е била злоупотребена. На засегнатите се предлага 12-месечен кредитен мониторинг.

Какво остава неизвестно

Въпреки мащаба на инцидента все още липсват важни публични подробности.

Не е установено публично:

• кои са неоторизираните потребители;

• дали достъпът е бил целенасочена атака;

• какъв е пълният обем на достъпената или изнесена информация;

• защо чувствителните данни са били съхранявани некриптирано;

• какви механизми за откриване са били активни през периода на компрометиране.

Към 30 септември няма публикуван подробен официален доклад от Пентагона или DMDC, който да отговаря на тези въпроси.

Какво трябва да проверят организациите

Подобен случай е добра причина организациите да разгледат не само patch management, но и способността си да откриват необичайна активност след първоначалния достъп.

Практически това включва:

• мониторинг на достъпа до чувствителни файлове и хранилища;

• проследяване на нови, необичайни или прекомерни потребителски сесии;

• откриване на необичайно масово четене или копиране на данни;

• контрол върху привилегиите и периодичен преглед на достъпа;

• криптиране на чувствителна информация при съхранение и пренос;

• достатъчно дълго съхранение на логове за ретроспективно разследване;

• корелация между identity, endpoint, network и data activity;

• процедури за compromise assessment след откриване на критична уязвимост.

DIAMATIX коментар

От гледна точка на DIAMATIX този инцидент показва един от най-важните проблеми в операциите по сигурността:

първоначалният достъп може да отнеме секунди, а откриването му да отнеме месеци.

Patch management намалява възможността известна уязвимост да бъде използвана отново. Той не обяснява какво е правил вече получил достъп потребител.

Когато достъпът до чувствителна система продължава дълго време, разследването трябва да реконструира поведението назад във времето. Това изисква достатъчна telemetry, запазени логове и способност различните сигнали да бъдат свързани в една последователност от действия.

Тук е и оперативната стойност на SOC (Security Operations Center. център за операции по сигурността) и MDR (Managed Detection and Response. управлявано откриване и реакция). Те трябва да помагат не само за генериране на предупреждение, а за разпознаване на поведение, което показва, че даден акаунт, сесия или система вече не функционира по нормалния си модел.

Практически извод

Инцидентът в DMDC поставя важен въпрос за всяка организация, която управлява чувствителни данни:

Ако някой получи достъп днес, колко време ще мине, преди да разберем?

Добрата защита изисква едновременно превенция, контрол на достъпа, наблюдение и възможност за ретроспективно разследване.

Коригирането на уязвимостта затваря една точка за достъп. Откриването и разследването показват какво се е случило, докато тя е била отворена.

DIAMATIX подпомага организациите с непрекъснат мониторинг, разследване на подозрителна активност и оценка на способността за откриване и реакция.

Заявете преглед на експозицията и готовността за реакция с DIAMATIX.

Източници

• Federal News Network. More than 3 million people affected by military data breach.

• ABC News. Pentagon breach exposed sensitive data on nearly 3 million people.

• Stars and Stripes. Breach at Pentagon personnel database exposed data of millions.

• MOAA. Pentagon Data Breach Could Impact Millions: What You Should Know.