五角大樓監(jiān)管機構的新報告將這些服務在網(wǎng)絡安全方面缺乏努力和在增材制造方面取得的巨大進步結合在一起。
賈斯汀卡茨
2021 年 7 月 7 日
一名海軍陸戰(zhàn)隊員在北卡羅來納州勒瓊營訓練期間調(diào)整 3D 打印機。資料來源:海軍陸戰(zhàn)隊。
華盛頓消息:五角大樓的監(jiān)管機構在發(fā)現(xiàn)幾個機構的官員未能管理安全操作該技術所需的關鍵網(wǎng)絡安全控制措施后,對軍方對 3D 打印的長期探索發(fā)出警告。
因此,根據(jù)美國國防部監(jiān)察長發(fā)布的一份新報告,使用該技術(正式稱為增材制造)的美國國防部“不知道現(xiàn)有的 AM 系統(tǒng)漏洞,這些漏洞使國防部信息網(wǎng)絡面臨不必要的網(wǎng)絡安全風險”。
“AM 設計數(shù)據(jù)的妥協(xié)可能會讓對手重新創(chuàng)造和使用國防部的技術,讓對手在戰(zhàn)場上獲得優(yōu)勢。此外,如果惡意行為者更改了 AM 設計數(shù)據(jù),這些更改可能會影響 3D 打印產(chǎn)品的最終強度和實用性,”GAO的報告繼續(xù)說道。
審計員最初選擇了九個服務機構,將其納入其報告;然而,在冠狀病毒大流行開始時發(fā)布的停止行動令迫使監(jiān)察長辦公室將他們的樣本量減少到五個。在報告評估的機構包括海軍陸戰(zhàn)隊第一遠征部隊,海軍西南艦隊戰(zhàn)備中心,海軍信息戰(zhàn)中心,空軍60日維護組和沃爾特里德國家軍事醫(yī)療中心。
美國軍方網(wǎng)絡安全實踐與增材制造的碰撞是一場醞釀已久的沖突。
多年來,第三方監(jiān)管機構一直督促五角大樓,因為五角大樓未能在采購過程中預先優(yōu)先考慮網(wǎng)絡安全。在 SolarWinds、微軟以及最近的軟件公司 Kaseya 等公司遭到攻擊后,整個聯(lián)邦政府的網(wǎng)絡安全工作(或缺乏網(wǎng)絡安全工作)現(xiàn)在都受到嚴密審查,這些公司已經(jīng)開辟了進入聯(lián)邦網(wǎng)絡的途徑。
與此同時,美國軍方一直渴望宣傳他們在增材制造方面的進步。海軍陸戰(zhàn)隊官員經(jīng)常表揚加利福尼亞的一名士兵,他在設計 3D 打印坦克葉輪后節(jié)省了無數(shù)美元和時間。正如媒體去年報道的那樣,美國陸軍對可以通過增材制造生產(chǎn)黑鷹直升機的哪些部件很感興趣。Breaking Defense 還報道稱,前空軍采購執(zhí)行官威爾·羅珀 (Will Roper) 承諾,在 10 月份舉辦的先進制造競賽中,他的服務將“即將面臨天基挑戰(zhàn)”。
例子不勝枚舉,但國防部審計長(IG)在其報告中明確指出,軍事人員將增材制造設備視為供應零件的“工具”,而不是易受攻擊的信息技術。
“此外,國防部組件錯誤地將 AM 系統(tǒng)歸類為獨立系統(tǒng),并錯誤地認為這些系統(tǒng)不需要授權即可運行,”根據(jù) IG 的說法。
審計包括 73 臺打印機和 46 臺計算機,并以美國國家標準與技術研究所的特別出版物 800-53 為基礎——聯(lián)邦政府的網(wǎng)絡安全控制指南。
該報告列出了 NIST 推薦的七項基本控制措施,但刪去了某些安裝未能執(zhí)行的具體措施。監(jiān)管機構普遍認為官員在審計師訪問后做出了更改,但也發(fā)現(xiàn)安裝存在類似且嚴重的錯誤,例如未能更新計算機操作系統(tǒng)。
“更新操作系統(tǒng)的需求對于保護 AM 計算機和連接到它們的打印機至關重要。例如,在 2019 年,微軟發(fā)布了超過 197 個操作系統(tǒng)更新來修復安全漏洞,其中一個修復了一個漏洞,該漏洞允許攻擊者未經(jīng)授權訪問一臺計算機,然后使用該訪問權限登錄其他計算機?!?IG 報告指出。
IG 的建議主要集中在澄清圍繞增材制造的政策,以明確它必須被視為任何 IT 部分。這些裝置在很大程度上同意了看門狗的建議。
唯一的分歧來自國防部首席信息官,他認為美國軍方關于網(wǎng)絡安全的政策包括 3D 打印技術。IG 承認了這些分歧,但仍認為建議已解決,因為美國國防部 CIO 確實承諾做出“符合建議意圖”的更改。