CISA、GitHubからの情報漏洩に関する教訓を発表
Lessons Learned from CISA’s Recent GitHub Leak
米国サイバーセキュリティ・インフラストラクチャセキュリティ庁(CISA)は、契約社員がAWS Govcloudキーを含む数十件の内部認証情報を約6ヶ月間GitHubの公開リポジトリに公開していたデータ漏洩に関する事後分析を発表した。この漏洩は、KrebsOnSecurityの指摘により発覚した。GitGuardianの研究者によると、CISAはこの漏洩に関する9件の自動アラートを無視していた。CISAは、AWSキーの無効化に48時間以上を要し、その理由としてシステムの複雑さと連邦・産業パートナーとの連携を挙げた。CISAは、外部からのセキュリティインシデント通知に対する対応チャネルの明確化と、インシデント報告を容易にするための複数の情報公開場所の設置を改善点として挙げている。また、公開リポジトリの継続的なスキャンと、開発者シークレットの管理能力向上、監視体制の強化を今後の対策として示している。漏洩した認証情報はCISAの環境外で使用されておらず、顧客データやミッションデータへの影響はなかったと報告されている。
- CISAが、AWS GovCloudキーを含む内部認証情報を約6ヶ月間GitHub公開リポジトリに漏洩していた事後分析を発表
- CISAはGitGuardianによる9件の自動アラートを無視していた
- AWSキーの無効化に48時間以上を要した
- 漏洩した認証情報はCISA環境外で使用されず、顧客・ミッションデータへの影響なし
CISAという米国政府の最重要サイバーセキュリティ機関自身が、認証情報管理の基本的な失敗(公開リポジトリへの認証情報漏洩、自動アラートの無視、キー無効化に48時間以上)を犯していた点は、組織全体のセキュリティ態勢の脆弱性を象徴している。サイバーセキュリティ関連企業にとっては、政府機関向けのシークレット管理・セキュリティスキャン・インシデント対応自動化ソリューションの需要が改めて顕在化したことを示す。特にGitGuardianのようなシークレット検出・スキャン企業や、DevSecOps分野のスタートアップにとって追い風となる事例であり、政府調達案件の増加期待につながる。