คำตอบการวิจัย
ประเด็นสำคัญ ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13] รีโพซิทอรีชื่อ “Private‑CISA” มีไฟล์ภายในหลายร้อยเมกะไบต์ รวมถึงเอกสารการทำงาน ระบบ deployment และข้อมูลการเข้าถึงที่เกี่ยวข้องกับ CISA และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) [2][8] แม้จะมีความเสี่ยงสูงต่อการเข้าถึงระบบคลาวด์ของรัฐบาล แต่ CISA ระบุว่ายังไม่พบหลักฐานว่ามีการโจมตีหรือการละเมิดข้อมูลเกิดขึ้นจริง [2][13] How were sensitive credentials for the U.S A contractor’s public GitHub repository exposed sensitive credentials tied to CISA and DHS systems before the issue was discovered and removed. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: How were sensitive credentials for the U.S. cybersecurity agency CISA accidentally exposed on a public GitHub repository by a contractor, wh. Article summary: A CISA contractor reportedly left a public GitHub repository containing sensitive operational material and credentials tied to CISA/DHS systems, including AWS GovCloud keys, plaintext passwords, tokens, and internal conf. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "## ‘This kind of exposure happens with alarming frequency,’ said an expert; here’s what CSOs and CIOs should do to protect employees’ and contractors’ GitHub repositories. Until a" source context "Contractor's public GitHub account exposed GovCloud and CISA ..." Reference image 2: visual subject "# CISA Contracto
openai.com เหตุการณ์ด้านความปลอดภัยครั้งนี้เกิดขึ้นเมื่อผู้รับเหมาที่ทำงานร่วมกับ Cybersecurity and Infrastructure Security Agency (CISA) ซึ่งเป็นหน่วยงานด้านความมั่นคงไซเบอร์หลักของรัฐบาลสหรัฐ เปิดเผยข้อมูลรับรองระบบจำนวนมากโดยไม่ตั้งใจผ่าน GitHub repository แบบสาธารณะ
นักวิจัยด้านความปลอดภัยพบว่าภายในรีโพซิทอรีดังกล่าวมีไฟล์ปฏิบัติการและคีย์ยืนยันตัวตนที่เชื่อมโยงกับระบบของ CISA และ Department of Homeland Security (DHS) อย่างไรก็ตาม ภายหลังเจ้าหน้าที่ระบุว่า ยังไม่พบหลักฐานว่าข้อมูลเหล่านี้ถูกนำไปใช้โจมตีหรือเกิดการเจาะระบบจริง
จุดเริ่มต้นของการรั่วไหล
ปัญหาเกิดจากรีโพซิทอรีบน GitHub ที่ผู้รับเหมาของ CISA ดูแล ซึ่งถูกตั้งชื่อว่า
คนยังถาม คำตอบสั้น ๆ สำหรับ "เหตุการณ์ GitHub ของ CISA: ผู้รับเหมาทำคีย์คลาวด์รัฐบาลและรหัสผ่านหลุดสู่สาธารณะ" คืออะไร ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13] รีโพซิทอรีชื่อ “Private‑CISA” มีไฟล์ภายในหลายร้อยเมกะไบต์ รวมถึงเอกสารการทำงาน ระบบ deployment และข้อมูลการเข้าถึงที่เกี่ยวข้องกับ CISA และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) [2][8]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แม้จะมีความเสี่ยงสูงต่อการเข้าถึงระบบคลาวด์ของรัฐบาล แต่ CISA ระบุว่ายังไม่พบหลักฐานว่ามีการโจมตีหรือการละเมิดข้อมูลเกิดขึ้นจริง [2][13]
คำตอบการวิจัย
ประเด็นสำคัญ ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13] รีโพซิทอรีชื่อ “Private‑CISA” มีไฟล์ภายในหลายร้อยเมกะไบต์ รวมถึงเอกสารการทำงาน ระบบ deployment และข้อมูลการเข้าถึงที่เกี่ยวข้องกับ CISA และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) [2][8] แม้จะมีความเสี่ยงสูงต่อการเข้าถึงระบบคลาวด์ของรัฐบาล แต่ CISA ระบุว่ายังไม่พบหลักฐานว่ามีการโจมตีหรือการละเมิดข้อมูลเกิดขึ้นจริง [2][13] How were sensitive credentials for the U.S A contractor’s public GitHub repository exposed sensitive credentials tied to CISA and DHS systems before the issue was discovered and removed. AI พรอมต์ Create a landscape editorial hero image for this Studio Global article: How were sensitive credentials for the U.S. cybersecurity agency CISA accidentally exposed on a public GitHub repository by a contractor, wh. Article summary: A CISA contractor reportedly left a public GitHub repository containing sensitive operational material and credentials tied to CISA/DHS systems, including AWS GovCloud keys, plaintext passwords, tokens, and internal conf. Topic tags: general, general web, user generated. Reference image context from search candidates: Reference image 1: visual subject "## ‘This kind of exposure happens with alarming frequency,’ said an expert; here’s what CSOs and CIOs should do to protect employees’ and contractors’ GitHub repositories. Until a" source context "Contractor's public GitHub account exposed GovCloud and CISA ..." Reference image 2: visual subject "# CISA Contracto
openai.com เหตุการณ์ด้านความปลอดภัยครั้งนี้เกิดขึ้นเมื่อผู้รับเหมาที่ทำงานร่วมกับ Cybersecurity and Infrastructure Security Agency (CISA) ซึ่งเป็นหน่วยงานด้านความมั่นคงไซเบอร์หลักของรัฐบาลสหรัฐ เปิดเผยข้อมูลรับรองระบบจำนวนมากโดยไม่ตั้งใจผ่าน GitHub repository แบบสาธารณะ
นักวิจัยด้านความปลอดภัยพบว่าภายในรีโพซิทอรีดังกล่าวมีไฟล์ปฏิบัติการและคีย์ยืนยันตัวตนที่เชื่อมโยงกับระบบของ CISA และ Department of Homeland Security (DHS) อย่างไรก็ตาม ภายหลังเจ้าหน้าที่ระบุว่า ยังไม่พบหลักฐานว่าข้อมูลเหล่านี้ถูกนำไปใช้โจมตีหรือเกิดการเจาะระบบจริง
จุดเริ่มต้นของการรั่วไหล
ปัญหาเกิดจากรีโพซิทอรีบน GitHub ที่ผู้รับเหมาของ CISA ดูแล ซึ่งถูกตั้งชื่อว่า
คนยังถาม คำตอบสั้น ๆ สำหรับ "เหตุการณ์ GitHub ของ CISA: ผู้รับเหมาทำคีย์คลาวด์รัฐบาลและรหัสผ่านหลุดสู่สาธารณะ" คืออะไร ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13]
ประเด็นสำคัญที่ต้องตรวจสอบก่อนคืออะไร? ผู้รับเหมาที่ทำงานให้หน่วยงาน CISA เปิดรีโพซิทอรี GitHub แบบสาธารณะโดยไม่ได้ตั้งใจ ทำให้ข้อมูลรับรองระบบจำนวนมาก เช่น รหัสผ่าน plaintext และคีย์ AWS GovCloud ถูกเปิดเผย [1][13] รีโพซิทอรีชื่อ “Private‑CISA” มีไฟล์ภายในหลายร้อยเมกะไบต์ รวมถึงเอกสารการทำงาน ระบบ deployment และข้อมูลการเข้าถึงที่เกี่ยวข้องกับ CISA และกระทรวงความมั่นคงแห่งมาตุภูมิ (DHS) [2][8]
ฉันควรทำอย่างไรต่อไปในทางปฏิบัติ? แม้จะมีความเสี่ยงสูงต่อการเข้าถึงระบบคลาวด์ของรัฐบาล แต่ CISA ระบุว่ายังไม่พบหลักฐานว่ามีการโจมตีหรือการละเมิดข้อมูลเกิดขึ้นจริง [2][13]
“Private‑CISA”
นักวิจัยรายงานว่ารีโพซิทอรีนี้มีไฟล์ภายในของหน่วยงานหลายร้อยเมกะไบต์ รวมทั้งข้อมูลที่อธิบายขั้นตอนการ สร้าง ทดสอบ และ deploy ซอฟต์แวร์ภายในของ CISA
รีโพซิทอรีดังกล่าวถูกเปิดสาธารณะอยู่เป็นเวลาหลายเดือน ก่อนจะถูกลบออกหลังจากมีการแจ้งเตือนไปยังผู้เกี่ยวข้อง
เนื่องจากเป็น repository แบบ public ใครก็ตามที่พบลิงก์สามารถดาวน์โหลดไฟล์และตรวจสอบข้อมูลรับรองที่อยู่ภายในได้
ข้อมูลอะไรที่หลุดออกมา รายงานระบุว่าภายใน repository มีข้อมูลสำคัญหลากหลายประเภทที่เกี่ยวข้องกับระบบของ CISA และ DHS เช่น
ชื่อผู้ใช้และรหัสผ่านแบบ plaintext
คีย์เข้าถึง AWS GovCloud
โทเคนและคีย์ยืนยันตัวตนของระบบคลาวด์
ไฟล์คอนฟิก Kubernetes
ไฟล์ deployment ของ ArgoCD
ใบรับรอง Entra ID SAML
บันทึกระบบ (logs) และไฟล์ปฏิบัติการภายใน
ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่าบางข้อมูลเกี่ยวข้องกับ บัญชี AWS GovCloud ที่มีสิทธิ์สูง ซึ่งใช้สำหรับโครงสร้างพื้นฐานของรัฐบาลสหรัฐ
ข้อมูลประเภทคีย์คลาวด์หรือ access token หากยังใช้งานได้ อาจเปิดทางให้เข้าถึงระบบหรือบริการโครงสร้างพื้นฐานได้โดยตรง
นักวิจัยค้นพบได้อย่างไร ผู้ที่ค้นพบการรั่วไหลคือ Guillaume Valadon นักวิจัยจากบริษัทความปลอดภัยไซเบอร์ GitGuardian
บริษัทของเขาใช้ระบบอัตโนมัติสแกน repository สาธารณะบน GitHub เพื่อค้นหา secret หรือ credential ที่หลุดออกมา และเครื่องมือดังกล่าวได้แจ้งเตือนว่า repository นี้มีข้อมูลสำคัญฝังอยู่ในไฟล์
GitGuardian พยายามติดต่อบัญชี GitHub ที่เกี่ยวข้องเพื่อแจ้งเตือน แต่ไม่ได้รับการตอบกลับ
หลังจากนั้น Valadon จึงติดต่อ Brian Krebs นักข่าวด้านความปลอดภัยไซเบอร์ชื่อดัง เมื่อวันที่ 15 พฤษภาคม เพื่อช่วยรายงานและเร่งให้หน่วยงานที่เกี่ยวข้องรับทราบ
ไม่นานหลังจากเรื่องถูกส่งต่อ รีโพซิทอรีดังกล่าวก็ถูกนำออกจาก GitHub
ความเสี่ยงที่อาจเกิดขึ้น แม้จะมีการลบ repository ค่อนข้างเร็วหลังการเปิดเผย แต่เหตุการณ์นี้สร้างความเสี่ยงหลายด้าน
หาก credential ใด ๆ ยังใช้งานอยู่ ผู้ที่พบข้อมูลอาจสามารถเข้าถึง
โครงสร้างพื้นฐานคลาวด์ของรัฐบาลใน AWS GovCloud
ระบบพัฒนาและ deploy ภายในของ CISA
ระบบยืนยันตัวตนและ identity services
DevOps pipeline หรือระบบจัดการคอนฟิก
นักวิจัยระบุว่าบาง credential ดูเหมือน ยังคงใช้งานได้ในช่วงที่ค้นพบ
อย่างไรก็ตาม รายงานสาธารณะยังไม่พบหลักฐานว่ามีผู้ไม่หวังดีเข้าถึงหรือใช้ข้อมูลเหล่านี้ก่อนที่ repository จะถูกลบ
CISA ชี้แจงอย่างไร CISA ยืนยันว่ากำลังตรวจสอบเหตุการณ์ดังกล่าว
ตามรายงานจากหลายสื่อ หน่วยงานระบุว่า ยังไม่พบหลักฐานว่ามีข้อมูลสำคัญถูกละเมิดหรือเกิดการเจาะระบบจริง
เจ้าหน้าที่ยังระบุว่าจะมีการทบทวนขั้นตอนและมาตรการเพื่อป้องกันไม่ให้เหตุการณ์ลักษณะนี้เกิดขึ้นอีก
ขณะเดียวกัน สมาชิกสภาคองเกรสบางส่วนได้ขอให้ CISA ชี้แจงรายละเอียดเพิ่มเติมเกี่ยวกับเหตุการณ์นี้ รวมถึงความเสี่ยงที่อาจกระทบต่อระบบของรัฐบาล
ทำไมเหตุการณ์นี้จึงน่าอับอายสำหรับหน่วยงาน สิ่งที่ทำให้เหตุการณ์นี้ได้รับความสนใจอย่างมากคือ CISA เองเป็นหน่วยงานที่ให้คำแนะนำด้านความปลอดภัยไซเบอร์แก่หน่วยงานรัฐบาลและภาคเอกชน
CISA มักเผยแพร่แนวทางเกี่ยวกับ
การจัดการ credential
การเก็บ secret อย่างปลอดภัย
DevOps ที่ปลอดภัย
การป้องกันการเปิดเผยข้อมูลใน repository สาธารณะ
ดังนั้นการที่ข้อมูลรับรองของหน่วยงานเองถูกทิ้งไว้ใน GitHub แบบสาธารณะ จึงสะท้อนถึงความผิดพลาดด้าน operational security ที่หน่วยงานนี้มักเตือนผู้อื่นไม่ให้ทำ
บทเรียนสำหรับอุตสาหกรรมซอฟต์แวร์ เหตุการณ์แบบนี้ไม่ได้เกิดขึ้นเฉพาะกับรัฐบาลเท่านั้น ในอุตสาหกรรมซอฟต์แวร์ทั่วไป นักพัฒนามักเผลอ commit รหัสผ่านหรือคีย์เข้าถึงระบบลงใน repository อยู่บ่อยครั้ง
ปัจจุบันมีเครื่องมือด้านความปลอดภัยที่คอยสแกน repository สาธารณะเพื่อค้นหา secret ที่หลุดออกมา ซึ่งช่วยให้ปัญหาถูกค้นพบก่อนจะเกิดการโจมตีจริง
กรณีนี้ก็เช่นกัน การตรวจพบโดยนักวิจัยทำให้ repository ถูกลบออกก่อนที่จะมีหลักฐานการนำ credential ไปใช้โจมตี
อย่างไรก็ตาม เหตุการณ์นี้เป็นตัวอย่างชัดเจนว่า repository ที่ตั้งค่าผิดเพียงครั้งเดียว อาจเปิดทางเข้าถึงโครงสร้างพื้นฐานสำคัญได้ หากการจัดการ credential ไม่รัดกุม
krebsonsecurity.com
Feed - Krebs on Security
“Private‑CISA”
นักวิจัยรายงานว่ารีโพซิทอรีนี้มีไฟล์ภายในของหน่วยงานหลายร้อยเมกะไบต์ รวมทั้งข้อมูลที่อธิบายขั้นตอนการ สร้าง ทดสอบ และ deploy ซอฟต์แวร์ภายในของ CISA
รีโพซิทอรีดังกล่าวถูกเปิดสาธารณะอยู่เป็นเวลาหลายเดือน ก่อนจะถูกลบออกหลังจากมีการแจ้งเตือนไปยังผู้เกี่ยวข้อง
เนื่องจากเป็น repository แบบ public ใครก็ตามที่พบลิงก์สามารถดาวน์โหลดไฟล์และตรวจสอบข้อมูลรับรองที่อยู่ภายในได้
ข้อมูลอะไรที่หลุดออกมา รายงานระบุว่าภายใน repository มีข้อมูลสำคัญหลากหลายประเภทที่เกี่ยวข้องกับระบบของ CISA และ DHS เช่น
ชื่อผู้ใช้และรหัสผ่านแบบ plaintext
คีย์เข้าถึง AWS GovCloud
โทเคนและคีย์ยืนยันตัวตนของระบบคลาวด์
ไฟล์คอนฟิก Kubernetes
ไฟล์ deployment ของ ArgoCD
ใบรับรอง Entra ID SAML
บันทึกระบบ (logs) และไฟล์ปฏิบัติการภายใน
ผู้เชี่ยวชาญด้านความปลอดภัยระบุว่าบางข้อมูลเกี่ยวข้องกับ บัญชี AWS GovCloud ที่มีสิทธิ์สูง ซึ่งใช้สำหรับโครงสร้างพื้นฐานของรัฐบาลสหรัฐ
ข้อมูลประเภทคีย์คลาวด์หรือ access token หากยังใช้งานได้ อาจเปิดทางให้เข้าถึงระบบหรือบริการโครงสร้างพื้นฐานได้โดยตรง
นักวิจัยค้นพบได้อย่างไร ผู้ที่ค้นพบการรั่วไหลคือ Guillaume Valadon นักวิจัยจากบริษัทความปลอดภัยไซเบอร์ GitGuardian
บริษัทของเขาใช้ระบบอัตโนมัติสแกน repository สาธารณะบน GitHub เพื่อค้นหา secret หรือ credential ที่หลุดออกมา และเครื่องมือดังกล่าวได้แจ้งเตือนว่า repository นี้มีข้อมูลสำคัญฝังอยู่ในไฟล์
GitGuardian พยายามติดต่อบัญชี GitHub ที่เกี่ยวข้องเพื่อแจ้งเตือน แต่ไม่ได้รับการตอบกลับ
หลังจากนั้น Valadon จึงติดต่อ Brian Krebs นักข่าวด้านความปลอดภัยไซเบอร์ชื่อดัง เมื่อวันที่ 15 พฤษภาคม เพื่อช่วยรายงานและเร่งให้หน่วยงานที่เกี่ยวข้องรับทราบ
ไม่นานหลังจากเรื่องถูกส่งต่อ รีโพซิทอรีดังกล่าวก็ถูกนำออกจาก GitHub
ความเสี่ยงที่อาจเกิดขึ้น แม้จะมีการลบ repository ค่อนข้างเร็วหลังการเปิดเผย แต่เหตุการณ์นี้สร้างความเสี่ยงหลายด้าน
หาก credential ใด ๆ ยังใช้งานอยู่ ผู้ที่พบข้อมูลอาจสามารถเข้าถึง
โครงสร้างพื้นฐานคลาวด์ของรัฐบาลใน AWS GovCloud
ระบบพัฒนาและ deploy ภายในของ CISA
ระบบยืนยันตัวตนและ identity services
DevOps pipeline หรือระบบจัดการคอนฟิก
นักวิจัยระบุว่าบาง credential ดูเหมือน ยังคงใช้งานได้ในช่วงที่ค้นพบ
อย่างไรก็ตาม รายงานสาธารณะยังไม่พบหลักฐานว่ามีผู้ไม่หวังดีเข้าถึงหรือใช้ข้อมูลเหล่านี้ก่อนที่ repository จะถูกลบ
CISA ชี้แจงอย่างไร CISA ยืนยันว่ากำลังตรวจสอบเหตุการณ์ดังกล่าว
ตามรายงานจากหลายสื่อ หน่วยงานระบุว่า ยังไม่พบหลักฐานว่ามีข้อมูลสำคัญถูกละเมิดหรือเกิดการเจาะระบบจริง
เจ้าหน้าที่ยังระบุว่าจะมีการทบทวนขั้นตอนและมาตรการเพื่อป้องกันไม่ให้เหตุการณ์ลักษณะนี้เกิดขึ้นอีก
ขณะเดียวกัน สมาชิกสภาคองเกรสบางส่วนได้ขอให้ CISA ชี้แจงรายละเอียดเพิ่มเติมเกี่ยวกับเหตุการณ์นี้ รวมถึงความเสี่ยงที่อาจกระทบต่อระบบของรัฐบาล
ทำไมเหตุการณ์นี้จึงน่าอับอายสำหรับหน่วยงาน สิ่งที่ทำให้เหตุการณ์นี้ได้รับความสนใจอย่างมากคือ CISA เองเป็นหน่วยงานที่ให้คำแนะนำด้านความปลอดภัยไซเบอร์แก่หน่วยงานรัฐบาลและภาคเอกชน
CISA มักเผยแพร่แนวทางเกี่ยวกับ
การจัดการ credential
การเก็บ secret อย่างปลอดภัย
DevOps ที่ปลอดภัย
การป้องกันการเปิดเผยข้อมูลใน repository สาธารณะ
ดังนั้นการที่ข้อมูลรับรองของหน่วยงานเองถูกทิ้งไว้ใน GitHub แบบสาธารณะ จึงสะท้อนถึงความผิดพลาดด้าน operational security ที่หน่วยงานนี้มักเตือนผู้อื่นไม่ให้ทำ
บทเรียนสำหรับอุตสาหกรรมซอฟต์แวร์ เหตุการณ์แบบนี้ไม่ได้เกิดขึ้นเฉพาะกับรัฐบาลเท่านั้น ในอุตสาหกรรมซอฟต์แวร์ทั่วไป นักพัฒนามักเผลอ commit รหัสผ่านหรือคีย์เข้าถึงระบบลงใน repository อยู่บ่อยครั้ง
ปัจจุบันมีเครื่องมือด้านความปลอดภัยที่คอยสแกน repository สาธารณะเพื่อค้นหา secret ที่หลุดออกมา ซึ่งช่วยให้ปัญหาถูกค้นพบก่อนจะเกิดการโจมตีจริง
กรณีนี้ก็เช่นกัน การตรวจพบโดยนักวิจัยทำให้ repository ถูกลบออกก่อนที่จะมีหลักฐานการนำ credential ไปใช้โจมตี
อย่างไรก็ตาม เหตุการณ์นี้เป็นตัวอย่างชัดเจนว่า repository ที่ตั้งค่าผิดเพียงครั้งเดียว อาจเปิดทางเข้าถึงโครงสร้างพื้นฐานสำคัญได้ หากการจัดการ credential ไม่รัดกุม
krebsonsecurity.com
Feed - Krebs on Security
krebsonsecurity.comCISA Admin Leaked AWS GovCloud Keys on Github
ibtimes.com.auCISA Contractor Exposes AWS GovCloud Keys in Public GitHub Repo for Months
ground.newsCISA Contractor Apparently Leaked 'Highly Sensitive' Government ...
techcrunch.comUS cyber agency CISA exposed reams of passwords and cloud keys ...