美国国土安全部部长亚历杭德罗·马约卡斯 (Alejandro Mayorkas) 今天宣布，网络安全审查委员会 (CSRB)将评估最近的 Microsoft Exchange Online 入侵，并对与基于云的身份和身份验证基础设施相关的问题进行更广泛的审查。
此次审查将重点关注针对云计算环境的恶意攻击，特别是政府、行业和云服务提供商 (CSP) 应采用的加强云中身份管理和身份验证的方法。
马约卡斯部长表示：“各类组织越来越依赖云计算为美国人民提供服务，这使得我们必须了解该技术的漏洞。” “云安全是我们一些最关键系统的支柱，从我们的电子商务平台到我们的通信工具再到我们的关键基础设施。”
“在对Log4j漏洞和与Lapsus$相关的活动进行审查时，CSRB 已经证明自己已准备好解决和检查此类关键且及时的问题。CSRB 提出的可行建议将帮助所有组织更好地保护其数据并进一步提高网络弹性，”他补充道。
微软于 7 月中旬宣布，已采取行动缓解来自中国的网络攻击，这些攻击暴露了美国政府机构和其他组织的电子邮件帐户信息，以及与这些机构和组织有关的人员的客户帐户。
网络安全和基础设施安全局 (CISA) 和联邦调查局 (FBI) 确认，至少一个联邦民事机构是攻击的目标。一名 CISA 官员强调，这次攻击似乎范围很窄，很快就被根除，而且机密信息没有暴露。
CSRB 的第三次审查将深入探讨 Microsoft 黑客攻击事件，并制定可行的建议，以推进云计算客户和 CSP 本身的网络安全实践。一旦完成，该报告将通过马约卡斯部长和 CISA 主任 Jen Easterly 转交给拜登总统。
CSRB 主席兼 DHS 政策副部长 Rob Silvers 表示：“作为一个国家，我们必须承认云基础设施在我们日常生活中的重要性日益增加，并确定保护该基础设施以及依赖它的众多企业和消费者的最佳方法。” “网络安全审查委员会旨在评估重大事件和生态系统漏洞，并根据吸取的经验教训提出建议。为了完成这项工作，我们汇集了行业和政府的最佳专业知识。董事会将进行彻底审查。”
CSRB 是一项史无前例的公私合作倡议，汇集了政府和行业领导者，加深对重大网络安全事件的了解，包括根本原因、缓解措施和响应措施，并根据这些事件后的事实调查提出建议事件。DHS 的 CISA 负责管理、支持和资助该委员会。
CSRB 的首次审查重点关注 2021 年底在广泛使用的 Log4j 开源软件库中发现的漏洞。昨天发布的第二次审查 审查了最近与全球勒索黑客组织 Lapsus$ 相关的攻击。
CSRB 发现 Lapsus$ 利用简单的技术来逃避行业标准安全工具，这些工具是许多企业网络安全计划的关键，并概述了 10 条可行的建议，帮助政府、公司和民间社会如何更好地防范 Lapsus$ 和类似团体。
“有效的共担责任模型需要持续关注云环境中潜在的系统性风险。世界各地的组织都信任安全的身份管理和身份验证基础设施，以提供基本功能并保护敏感数据。”CISA 总监 Easterly 说道。“董事会此次评估的结果和建议将推动跨云环境的网络安全实践，并确保我们能够共同维护对这些关键系统的信任。”
