导语：美国网络安全和基础设施安全局（CISA）遭遇严重数据泄露事件。一名CISA承包商在GitHub上公开维护了名为"Private-CISA"的公共代码仓库，意外暴露了多个高权限AWS GovCloud账户凭证和大量内部CISA系统机密。 安全公司GitGuardian的研究员Guillaume Valadon发现这一泄露后联系了KrebsOnSecurity。他指出，暴露的CISA凭证是安全卫生极差的典型例子。提交日志显示，这位CISA管理员禁用了GitHub的默认设置——即阻止用户在公共代码仓库中发布SSH密钥或其他秘密。 暴露的文件包括一个名为"importantAWStokens"的文件，其中包含三个Amazon AWS GovCloud服务器的管理凭证。另一个暴露的文件"AWS-Workspace-Firefox-Passwords.csv"列出了数十个内部CISA系统的明文用户名和密码。 安全专家Philippe Caturegli验证称，暴露的凭证可以身份验证到三个AWS GovCloud账户，且权限级别很高。他指出，暴露的档案还包括CISA内部"artifactory"的明文凭证——本质上是他们用来构建软件的所有代码包的存储库。 这意味着攻击者可以在CISA系统中维持持久立足点。Caturegli表示："那将是进行横向移动的绝佳场所。在某些软件包中植入后门，每次他们构建新东西时，后门就会左右部署。" CISA发言人在回应质询时表示，目前没有迹象表明任何敏感数据因此事件而被泄露。但安全专家指出，这一泄露事件代表了近年来最严重的政府数据泄露之一。 对于政府机构而言，这一事件是一次严重的警示。即使是负责保护国家网络安全的机构，也可能因个人操作失误而导致严重的安全漏洞。这需要更强的安全文化、更严格的访问控制，以及自动化的秘密检测机制。 总结：CISA数据泄露事件凸显了即使是最安全的机构也难免人为错误。加强安全文化建设、实施严格的访问控制、部署自动化秘密检测工具，是防止此类事件再次发生的必要措施。政府机构更应以身作则，展现最高标准的安全实践。