美国网络安全局CISA自曝：事故应急预案竟是边处置边编写

作为美国联邦政府网络安全防线的中枢机构，网络安全与基础设施安全局（CISA）近日坦承了一个令人错愕的事实：在一起导致大量敏感凭据泄露的安全事故中，该机构竟然没有现成的应急响应预案可用，不得不在处置事故的同时临时起草标准化操作手册。

这一尴尬局面源于数月前的一起严重泄密事件。今年5月，知名独立网络安全记者 Brian Krebs 率先披露，GitGuardian 公司的安全研究人员在一个公开可访问的 GitHub 仓库中发现了大量明文存储的密码。经溯源追查，这些敏感凭据竟由 CISA 的一名承包商员工上传至公共代码库。

对于肩负保卫美国关键基础设施重任的 CISA 而言，事故处理手册（Incident Playbook）本应是面对危机时确保响应速度与执行一致性的基石文档。然而，当自身承包商捅出如此大的安全漏洞时，该机构才发现相关预案竟然处于空白状态，只能在“灭火”的同时匆忙构思“消防手册”。

此次事件暴露的问题远不止一次数据泄露那么简单。首先，它揭示了 CISA 对第三方承包商的安全审查和监督管理存在显著盲区，承包商人员能够轻易将未经脱敏的内部凭证上传至公开平台，本身就说明权限管控和审计追踪机制存在缺失。其次，“边处置边写预案”的现实表明，即使在美国最高层级的网络安全机构中，应急管理的制度化建设仍有巨大提升空间。

GitHub 代码仓库长期以来是开发者协作的核心平台，但近年已多次成为敏感信息意外泄露的重灾区。包括 AWS 密钥、数据库密码在内的各类凭据因疏忽或流程缺失被误上传至公开仓库，往往在数小时内即被恶意扫描工具捕获。此次 CISA 相关事件再次印证，即便是安全领域的管理者自身，也难以完全免疫供应链端的低级失误所引发的连锁危机。

目前，CISA 尚未公开披露受影响系统的具体范围以及凭据泄露后的实际损害评估。但随着越来越多细节浮出水面，外界对美国联邦网络安全防御体系成熟度的质疑正在持续升温。

来源： TechCrunch 报道（Zack Whittaker）