زلزله در زیرساخت وزارت امنیت داخلی آمریکا؛ ۴۱ هزار هویت در معرض افشا

فروپاشی دیواره‌های حفاظتی؛ وقتی سیستم احراز هویت شکست می‌خورد

نشت اطلاعاتی اخیر وزارت امنیت داخلی ایالات متحده (Department of Homeland Security - DHS) تنها یک درز داده ساده نیست؛ این یک زلزله در معماری امنیت ملی است که عمق فاجعه در مدیریت زیرساخت‌های ابری را به رخ می‌کشد. با افشای اطلاعات بیش از ۴۱ هزار پرسنل، پیمانکاران و ماموران مخفی، شاهد یکی از بزرگترین شکست‌های امنیتی در تاریخ سازمان‌های فدرال هستیم. داده‌های منتشر شده که گروهی تحت عنوان «Department of Peace» مسئولیت آن را بر عهده گرفته، شامل ایمیل‌ها، شماره تماس‌ها و آدرس‌های فیزیکی است؛ اما خطر اصلی در بخش مدیریت دسترسی‌ها (Access Management) نهفته است.

اگرچه سخنگویان شرکت «Okta» ادعای نفوذ به سیستم‌های خود را رد کرده‌اند، اما ماهیت داده‌های خارج شده نشان‌دهنده دسترسی عمیق به لایه‌های احراز هویت داخلی است. در مهندسی زیرساخت، کنترل دسترسی مبتنی بر نقش (RBAC) باید به گونه‌ای باشد که حتی در صورت نشت اطلاعات کاربری، کل ساختار عملیاتی سازمان به خطر نیفتد. اما در این مورد، مهاجمان به نقشه‌های دقیقی از چگونگی سازماندهی DHS، از رهبران ارشد تا ماموران میدانی دست یافته‌اند که نشان‌دهنده یک «Point of Failure» بحرانی در سیستم‌های یکپارچه این سازمان است.

شفافیت اجباری؛ افشای ابزارهای شنود و عملیات‌های مخفی

بخش ترسناک این نشت، لیست بیش از ۵۵ هزار «گروه دسترسی» است که مستقیماً به برنامه‌های نظارتی و عملیات‌های مخفی مرتبط هستند. در مستندات افشا شده، ارجاعات مستقیمی به سیستم‌هایی نظیر «CUC» (مخفف Certified Undercover Operation) و برنامه‌های پیشرفته شنود مانند «Title III Intercept Program» دیده می‌شود. این یعنی مهاجمان اکنون نقشه‌ای از نحوه رهگیری ارتباطات و استفاده از ابزارهای بیومتریک در اختیار دارند.

برای تیم‌های دواپس و متخصصان امنیت، این مورد یک درس تلخ است: وقتی ابزارهای حساس نظارتی مانند «Mobile Fortify» (اپلیکیشن تشخیص چهره) یا پلتفرم‌های تحلیل داده مانند «Palantir Falcon» در یک ساختار دسترسی متمرکز قرار می‌گیرند، هرگونه رخنه در لایه Identity می‌تواند به فاجعه‌ای امنیتی منجر شود. افشای این دسترسی‌ها به معنای سوختن تمامی عملیات‌های جاری و به خطر افتادن جان ماموران در میدان است؛ چرا که اکنون دشمنان می‌توانند با تحلیل این دسترسی‌ها، الگوهای رفتاری ماموران را پیش‌بینی کنند.

تضاد در سیاست‌های امنیتی؛ از داکسینگ تا ضعف زیرساختی

جالب اینجاست که DHS در ماه‌های اخیر با شدت تمام به دنبال شناسایی کاربران ناشناس در شبکه‌های اجتماعی بوده و حتی تعریف «داکسینگ» را برای محافظت از نام و چهره کارمندان خود گسترش داده است. اما این نشت نشان داد که بزرگترین تهدید برای امنیت کارمندان این سازمان، نه شبکه‌های اجتماعی، بلکه ضعف در پیاده‌سازی استانداردهای مدرن امنیت ابری و کنترل دسترسی‌های داخلی بوده است.

این نشت اطلاعاتی حاوی لیستی از دسترسی‌ها به هوش مصنوعی‌های عمومی نظیر OpenAI ChatGPT، Google Gemini و Microsoft Copilot است که توسط مقامات ارشد فناوری DHS استفاده می‌شوند. حضور یک گروه دسترسی به نام «Grok.com» در میان لیست‌های رسمی، نشان می‌دهد که حتی لایه‌های حفاظتی فیلترینگ وب در DHS نیز دچار شکاف‌های جدی است. وقتی سیاست‌های امنیتی سازمان به جای تمرکز بر «Zero Trust Architecture» به دنبال محدودسازی بیرونی است، نتیجه آن نشت اطلاعاتی می‌شود که به گفته کارشناسان شرکت امنیت سایبری «Recorded Future»، یک منبع اطلاعاتی فوق‌ارزشمند برای نفوذ به عمق ساختار فدرال است.

تبعات استراتژیک؛ درس‌هایی برای معماران امنیت ابری

این واقعه باید زنگ خطری برای تمامی سازمان‌های بزرگ باشد. وقتی حدود یک‌هفتم نیروی کار یک سازمان فدرال به راحتی از طریق یک نشت داده شناسایی می‌شوند، یعنی معماری زیرساخت آن‌ها در برابر حملات هدفمند (Targeted Attacks) آسیب‌پذیر است. مهاجمان با داشتن این داده‌ها، می‌توانند ماه‌ها صرف مهندسی اجتماعی، جعل هویت و نفوذ عمیق‌تر به سیستم‌های عملیاتی کنند.

به‌عنوان کارشناس زیرساخت، باید تاکید کنم که امنیت فقط در رمزنگاری داده‌های در حال انتقال (Encryption in transit) خلاصه نمی‌شود. مسئله اصلی، «مدیریت هویت و دسترسی» (IAM) است. استفاده از پروتکل‌های احراز هویت چندعاملی (MFA) سخت‌افزاری، ایزوله‌سازی محیط‌های عملیاتی از محیط‌های اداری و پیاده‌سازی معماری Zero Trust دیگر یک انتخاب نیست، بلکه یک ضرورت است. نشت DHS ثابت کرد که حتی غول‌های امنیتی نیز در برابر خطاهای انسانی و پیکربندی‌های نادرست دسترسی‌ها، به‌شدت آسیب‌پذیرند و امنیت یک سیستم، به اندازه ضعیف‌ترین حلقه زنجیره دسترسی‌های آن است.