,
12 tweets,
4 min read
Read on Twitter
El informe que hace el Office of Inspector General de la NASA, de su propio JET (Jet Propulsion Laboratory) es demoledor. Tras denunciar su seguridad en marzo, se publica el informe que habla de intrusiones durante un año y unas prácticas pésimas de seguridad. Hilo👇
El JPL ha sufrido 6 incidentes de seguridad en los últimos 10 años. Quizás el más grave se mantuvo de abril del 18 hasta hace poco. Se llegó a la red por una Raspberry Pi ahí conectada a una red sin monitorización, plana y compartida. Hay ataques en 2009, 2011, 2014, 2016 y 2017. 
Y eso que según ellos mismos, la seguridad de las unidades de red e la NASA está lejos de ser una tontería. Desde la seguridad nacional hasta infraestructuras críticas, pasando por robo de conocimiento crítico y tecnología punta.
Un inventario incompleto e impreciso de activos, llevados a través de una web conocida como la Information
Technology Security Database (ITSDB). Decían que el sistema de actualización no funcionaba y a veces se olvidaban de hacerlo a mano, con lo que mantenían excels separados.
Technology Security Database (ITSDB). Decían que el sistema de actualización no funcionaba y a veces se olvidaban de hacerlo a mano, con lo que mantenían excels separados.
Redes no segmentadas y compartidas con terceros. Garantía de problemas. Se proporcionaba acceso a terceros sin el registro y medidas de seguridad necesarias.
Tras un ticket abierto sobre una potencial vulnerabilidad, tenían 30 días para solucionarla. En la auditoría tenían 5406 tickets abiertos. 666 con una criticidad máxima de 10.
Incidentes sin correcciones comprobadas, abiertos durante 11 años, hasta 153 de este tipo que no se sabía si habían sido solucionadas, porque muchas por ejemplo estaban asignadas a trabajadores que ni trabajan ahí ya.
9 de 11 administradores afirmaban que una vez enviados los logs a Splunk, ya no hacía falta hacer mucho más... O sea, que se analizaban poco y mal los logs.
De los 4 niveles que establece el SANS sobre la madurez de la capacidad de Threat Hunting, la mayoría del personal del JPK caía en el 1 y 2. Teniendo en cuenta las veces que habían sido atacados... De hecho, no estaban bien entrenados en general.
El plan de respuesta a incidentes, no contenía estos elementos esenciales:
Con estos mimbres, por supuesto que la respuesta a los APT era más que pobre...
El informe completo de la auditoría está aquí. Un museo de los horrores de la seguridad. oig.nasa.gov/docs/IG-19-022…
