CISA与USCG在关键基础设施威胁狩猎中发现网络安全改进领域CISA和美国海岸警卫队通过对美国关键基础设施组织进行主动

CISA与USCG在关键基础设施威胁狩猎中发现网络安全改进领域

发布日期：2025年7月31日
警报代码：AA25-212A

网络安全和基础设施安全局（CISA）与美国海岸警卫队（USCG）联合发布此网络安全咨询，介绍近期威胁狩猎活动的发现。本咨询旨在突出已识别的网络安全问题，帮助其他组织的安全防御人员了解潜在类似问题，并鼓励他们采取主动措施加强网络安全态势。

CISA在美国关键基础设施组织进行了主动威胁狩猎，期间未发现恶意网络活动证据，但识别出以下网络安全风险：

细节：CISA发现少数本地管理员账户使用非唯一密码，这些账户在多台主机间共享。每个账户的凭据以明文形式存储在批处理脚本中。

潜在影响：明文凭据存储增加了广泛未授权访问风险，非唯一密码使用促进了网络内横向移动。

细节：评估客户IT与OT环境互连性时，CISA发现OT环境配置不当。标准用户账户可直接从IT主机访问监控与数据采集（SCADA）虚拟局域网（VLAN）。

潜在影响：OT网络分段配置不足和非特权用户使用其凭据访问关键SCADA VLAN存在安全风险，可能影响人员安全、基础设施完整性和设备功能。

细节：CISA无法按计划狩猎所有MITRE ATT&CK程序，部分原因是组织的事件日志系统不足以支持此分析。

潜在影响：缺乏全面详细日志阻碍了基于行为和异常的检测，使网络面临未检测横向移动和未授权访问风险。

细节：CISA在生成IIS服务器上检查ApplicationHost.config文件，发现HTTPS绑定配置为sslFlags="0"，这使IIS保持传统的"每IP一个证书"模式。

细节：CISA审查生产服务器上的machine.config文件，发现为配置文件和角色提供程序配置了集中数据库连接字符串LocalSqlServer。

CISA和USCG建议关键基础设施组织实施以下缓解措施：

除应用缓解措施外，CISA和USCG建议组织针对本咨询中映射到MITRE ATT&CK企业框架的威胁行为，演练、测试和验证安全程序。

鼓励关键基础设施组织向以下机构报告与本咨询信息相关的可疑或犯罪活动：

咨询中包含9个表格，详细列出了所有引用的威胁行为者战术和技术，涵盖初始访问、执行、持久化、权限提升、防御规避、凭据访问、发现、横向移动和命令与控制等战术类别。