前equifax首席执行官将漏洞归咎于一个人未能部署修补程序
今年夏天，信用局Equifax的一个漏洞泄露了超过1.45亿人的社会安全号码和其他敏感数据。从那以后，专家们一直在为公司是如何允许这种情况发生而困惑。攻击者似乎是通过利用Apache Struts软件中的一个公共漏洞闯入系统的，但在出现漏洞时，该漏洞的修补程序已经存在数月了。那为什么Equifax不部署补丁呢？
前Equifax首席执行官理查德·史密斯（Richard Smith）在众议院能源和商务委员会（House Energy and Commerce Committee）上对这个问题给出了迄今为止我们听到的最详细的回答。据他说，当CERT于3月8日首次宣布Struts漏洞时，团队内部讨论了它。
该协议是在内部部署一个补丁，然后扫描系统中的任何遗留漏洞。从理论上讲，这是一个由两部分组成的过程，应该确保系统中不允许存在任何公开的漏洞——但根据史密斯的说法，这两部分过程都不起作用。
史密斯对国会说：“人工部署的补丁和扫描部署都不起作用。”遵守了协议。”
他在书面证词中更详细地说，CERT通知在发布的第二天就在内部分发，但it部门似乎没有人认识到它的重要性。”我们现在知道，Equifax中易受攻击的ApacheStruts版本没有在3月9日的内部通知中被识别或修补。
史密斯把最初的失败归咎于一个特定的人，他拒绝透露他的姓名史密斯在听证会上说：“人为的错误是，负责在组织内进行沟通以应用修补程序的个人没有这样做。”。
“那么，这是否意味着该个人知道软件在那里，”众议员格雷格沃尔登回答说，“它需要修补，并没有传达给团队进行修补？”
“这是我的理解，先生，”史密斯说。
该公司仍在调查为何随后的扫描没有检测到该漏洞，但书面证词显示，这一漏洞发生在随后的一周，即3月15日。
史密斯上周辞去了Equifax的首席执行官一职，该公司的首席信息官和首席安全官也已辞职。美国联邦贸易委员会（Federal Trade Commission）目前正在调查这一违规行为是否违反了公平商业惯例，司法部（Department of Justice）已开始调查Equifax高管是否在违规行为公开前通过**公司股票进行内幕交易。
尽管如此，听证会还是显示出国会议员对公司缺乏财务后果的严重不满。”根据现行法律，你需要提醒那些帐户被黑客攻击的人，但基本上没有处罚，”众议员乔·巴顿（R-TX）告诉史密斯如果我们不采取措施改变这一制度，我们将从现在起每年举行听证会。”
- 发表于 2021-05-30 07:44
- 阅读 ( 114 )
- 分类：互联网
你可能感兴趣的文章
如何保护windows免受崩溃和幽灵般的安全威胁
...年意味着新的开始。2017年给我们带来了WannaCry勒索软件和Equifax黑客等安全漏洞，但2018年初情况并没有好转。 ...
肮脏的奶牛脆弱性：你需要知道的一切，以保持安全
...末被发现，是一个影响所有基于Linux的系统的计算机安全漏洞。令人惊讶的是，这个内核级缺陷自2007年以来就存在于Linux内核中，但直到2016年才被发现和利用。 ...
熔毁和幽灵使每个cpu都容易受到攻击
...受到了类似的惩罚，他们的股价下跌了3.5%。英特尔首席执行官布莱恩·克扎尼奇（briankrzanich）或许也从埃奎法克斯的书中吸取了另一个教训。据报道，他在2017年11月得知这一事件后，**了价值2500万美元的英特尔股票。 ...
2020年重大网络安全事件及其对您的影响
... 集合，集合，下一个巨大的缺口就在这里。惊人的Equifax数据泄露引起了几乎每一个美国公民的注意。为什么？因为信用报告机构遭遇重大违约，没有披露信息，让董事会成员在宣布违约前抛售股票，并将几乎每一个美国...
equihax：有史以来最灾难性的破坏之一
2017年9月初的一个安静的下午，Equifax披露了一个非同寻常的安全漏洞，据估计，该漏洞已影响到全球近2亿人。鉴于该公司在7月份首次发现了这一漏洞，这本应为所有受影响的个人准备应对和解决方案提供充足的时间。相反，Equi...
幽灵和熔毁仍然是一种威胁吗？你需要的补丁
... TrustedSec的首席执行官大卫•肯尼迪（davidkennedy）说：“我们从来没有见过像这样一个扩展性的错误，它会影响到每一个主要的处理器。”TrustedSec为企业提供渗透测试和安全咨询服务。 ...
每日新闻综述：ipad迷你评论、at&t首席执行官获得robocall等等
...新。不过，这一小部分最好的东西是什么？AT&T的首席执行官在一次演讲中得到了一个机器人电话。活到什么时候了。还有，这是我最近24小时最喜欢的新闻。 很快你就可以玩丘比特了，这是Xbox/Windows的独家游戏。它也将有Xbo...
研究人员在android中发现了一个新的短信漏洞
...Zimperium移动安全公司的研究人员宣布了Android中的一个新漏洞，目标是多媒体信息系统。据研究人员估计，这个被称为“Stagefright”的漏洞影响了全球约9.5亿台Android设备，不过最易受攻击的设备是那些运行pre-Jelly-Bean版本Android的...
stagefright漏洞如何改变android安全性
...·德雷克（Joshua Drake）披露了一个名为Stagefright的Android新漏洞已经10天了，Android才刚刚开始恢复。该漏洞允许攻击者通过虚假的多媒体文本消息远程执行代码，在许多情况下，用户甚至看不到消息本身。谷歌已经有几个月的时间...
为什么苹果不能花时间摆脱安全漏洞呢？
...代价不仅仅是为漏洞或漏洞付出代价，”Luta Security首席执行官Katie Moussouris说，她是业界臭虫悬赏的主要倡导者之一他们正在为针对目标使用该漏洞的排他性和长期性付出代价。” 苹果的任务要艰巨得多。本周的漏洞一经公...
0 篇文章
