Budget DHS, IoT, les cyberentreprises occupent les législateurs cette semaine – Resoudre les problemes d’un serveur MineCraft

Avec l'aide d'Eric Geller, Jordyn Hermani et Martin Matishak

Note de l'éditeur: Ce numéro de Morning Cybersecurity est publié en semaine à 10 heures. Les abonnés de POLITICO Pro Cybersecurity bénéficient d'un accès exclusif en début de journée au bulletin d'information chaque matin à 6 heures du matin. Pour en savoir plus sur la couverture, les outils et les services stratégiques de POLITICO Pro, cliquez ici.

Histoire continue ci-dessous

– La demande budgétaire de l’administration pour le DHS occupe le devant de la scène cette semaine à Capitol Hill. Également à l'ordre du jour: le financement des agences d'espionnage, l'ingérence russe dans les élections, la législation sur la cybersécurité des petites entreprises et l'Internet des objets.

– Credential et le vol d'identité; vol et manipulation de données; logiciels malveillants destructeurs et perturbateurs; les technologies émergentes; et désinformation Selon un rapport publié aujourd'hui, le secteur financier constitue l'une des menaces les plus graves pour le secteur financier.

– Il y a de nouvelles informations sur ce que les pirates informatiques russes ont réussi à faire dans le système électoral en Floride. Le FBI, qui déplace les agents pour faire face aux menaces à la sécurité des élections, pourrait bientôt fournir des informations supplémentaires.

JOYEUX LUNDI et bienvenue dans la cybersécurité du matin! Votre animateur MC a vraiment apprécié «Avengers: Endgame». Certes, il était idiot et absurde par endroits, mais dans l'ensemble, c'était émotionnellement satisfaisant et totalement épique. Envoyez vos réflexions, commentaires et surtout des conseils à tstarks@politico.com, et assurez-vous de les suivre. @POLITICOPro et @MorningCybersec. Information complète de l'équipe ci-dessous.

Petites abeilles occupées – Deux panels différents se pencheront sur la demande de budget de l'EDS pour l'exercice 2020 cette semaine. Tout d’abord, le sous-panel cyber de la House Homeland Security tient une audience mardi au sujet du financement de la Cybersecurity and Infrastructure Security Agency et de la branche recherche et développement du département. Presque tous les membres du comité plénier ont accepté de donner plus d'argent à l'ASIC que ne le demande le président Donald Trump. Mercredi ensuite, le sous-comité des crédits à la Chambre qui décide du financement de l'EDS examinera la demande de budget du département dans son ensemble.

Mais ce n’est pas tout pour la semaine. La commission du renseignement de la Chambre examinera mercredi le budget de certaines agences d'espionnage. Le nouveau sous-comité du Sénat sur la sécurité du commerce examinera mardi comment améliorer la cybersécurité pour les dispositifs de l'internet des objets. Le comité des petites entreprises de la Maison a programmé mercredi une majoration qui comprend trois projets de loi sur la cybersécurité. Et le comité judiciaire de la Chambre envisage de faire témoigner jeudi le procureur général William Barr au sujet du rapport de l'avocat spécial Robert Mueller sur l'ingérence de la Russie (il est cependant dans les cordes du métier.)

TOP CINQ – Attendez-vous beaucoup plus à cela dans un avenir proche: usurpation d'identité, manipulation de données, programmes malveillants destructeurs, technologies émergentes et désinformation. Selon une étude publiée aujourd'hui par Accenture, ces risques deviennent une menace encore plus grande pour le secteur des services financiers. Par exemple, en ce qui concerne la manipulation de données, la société prévoit que les cyber-adversaires deviendront de plus en plus sophistiqués pour déformer les informations pour leur propre bénéfice. C’est particulièrement inquiétant pour les banques qui comptent sur une prise de décision autonome. Et les attaques de désinformation évolueront pour inclure des sites Web usurpés et des informations d'entreprise fictives ciblant directement des employés ou des investisseurs. Dans l’ensemble, ces cinq principales menaces sont «susceptibles de se chevaucher et de se chevaucher», suggère le rapport, travaillant ensemble pour créer une nouvelle classe de cyberattaques qui se font face. Attention à l'attaque combo.

PROFESSEUR PLUM DANS LA BIBLIOTHÈQUE AVEC LE CANDLESTICK – Le sénateur Marco Rubio a dévoilé à la fin de la semaine dernière ce que les pirates informatiques russes avaient réussi à faire en Floride lors de la course à la présidence de 2016. Rubio, un membre du Comité du renseignement, a déclaré au New York Times que les pirates avaient réussi à violer un système de vote et étaient «en mesure» de modifier les données de la liste électorale. Rubio a déclaré que la ou les cibles n'ont jamais reçu de notification de l'opération de renseignement et que, pour protéger leurs méthodes, les responsables de la sécurité nationale ont plutôt opté pour un avertissement général.

Des responsables de l'État de Floride ont déclaré que le FBI organisait une réunion avec eux pour discuter de l'incident. Le New York Times a également annoncé à la fin de la semaine dernière que le FBI avait transféré près de 40 agents et analystes au service de contre-espionnage afin de renforcer la lutte contre les menaces de la Russie et d’autres adversaires.

C’EST UN GAZ, DU GAZ, DU GAZ – Alors que DHS devrait déployer son ensemble de «fonctions critiques nationales» cette semaine, une organisation du secteur, l’American Gas Association, s’inquiète de ce qu’elle fait pour la sauvegarde des données. "Vu le niveau de sensibilité de cette question, AGA encourage vivement le DHS à finaliser les détails relatifs à la protection des informations", a déclaré Karen Harbert, directrice générale de l'association, dans un communiqué publié à la fin de la semaine dernière.

PLUS DE TRAVAIL À FAIRE À DHS, EPA – Un organisme de surveillance gouvernemental a conclu que le DHS contenait encore cinq recommandations hautement prioritaires en matière de cybersécurité qu'il n'a pas encore pleinement mises en œuvre. Parmi ceux-ci, selon une lettre du GAO publiée la semaine dernière, le DHS doit encore collecter des données précises sur les postes de cybersécurité, qu'ils soient pourvus ou non, et doit démontrer ses efforts en matière de coordination avec neuf secteurs d'infrastructures critiques pour encourager l'adoption du système. Cadre informatique NIST. Toujours la semaine dernière, le GAO a déclaré que l’EPA devait encore appliquer intégralement les recommandations relatives aux infrastructures de traitement des eaux usées et de l’eau potable.

IoT PITA – Un protocole de communication IoT largement utilisé ne contient pas de cryptage, laissant les données voyageant vers et depuis de nombreux périphériques IoT vulnérables à l'interception, selon une étude partagée avec le journaliste de sécurité Brian Krebs. La technologie iLnkP2P, développée par une entreprise chinoise et répandue dans tous les domaines, des webcams aux moniteurs pour bébé, ne contient «aucune authentification ni aucun cryptage et peut être facilement énumérée, permettant ainsi à des attaquants potentiels d’établir une connexion directe avec ces dispositifs tout en contournant les restrictions du pare-feu». écrit, citant les conclusions du chercheur Paul Marrapese. Les appareils qui utilisent iLnkP2P envoient un message «Heartbeat» au serveur de leur fabricant. Marrapese a découvert qu’il pouvait voler les mots de passe de ces appareils en envoyant des données frauduleuses en réponse.

Près de 40% des appareils affectés se trouvent en Chine, avec un autre 19 pour cent en Europe, selon les données de Marrapese. Une entreprise IoT chinoise fabrique près de la moitié des appareils vulnérables dans le monde. Krebs a constaté que le site Web d’iLnk est hors ligne et qu’il a été piraté pour être redirigé vers un autre site Web. Selon Marrapese, «la nature de ces vulnérabilités les rend extrêmement difficiles à corriger."

RÉCEMMENT SUR LA CYBERSECURITE PRO – Les dirigeants du Comité des affaires étrangères de la Chambre ont demandé une étude du GAO sur l’approche de Foggy Bottom en matière de cybersécurité. … Nick Vinocur, journaliste de POLITICO EU, a répondu aux questions posées sur Reddit au sujet de son article sur le fait que le régulateur irlandais de la confidentialité des données n’intervenait pas contre les entreprises de technologie. … Certains espèrent déterminer ce qui se cache derrière les expurgations dans le rapport Mueller. … Un juge a rejeté l’action en justice contre le programme de surveillance sans mandat de George W. Bush, affirmant que l’affaire risquait de compromettre les secrets de sécurité nationale.

TWEET DU JOUR – Prions le colère en ligne n'a pas réduit le bonheur de l'anniversaire.

– Près d’un an après l’entrée en vigueur du règlement général sur la protection des données, la sécurité et la confidentialité des données ne s’améliorent pas, selon un rapport de la société de cybersécurité Varonis. La société a analysé 54 milliards de fichiers et a constaté que 53% avaient plus de 1 000 fichiers confidentiels accessibles à chaque employé, contre 41% l’an dernier. En outre, 38% des utilisateurs avaient des mots de passe qui n'expiraient jamais, contre 10% en 2018. Les organisations de vente au détail avaient le plus petit nombre de fichiers sensibles et exposés, tandis que les entreprises de services financiers en avaient le plus, selon l'analyse.

– Le Washington Post examine comment le sous-procureur général Rod Rosenstein a tenté de faire en sorte que Trump l’apprécie en dépit de la gestion de son rapport Mueller.

– Slack a déclaré aux investisseurs que les États-nations le considéraient comme une cible du piratage. Carte mère

– L'agent russe Maria Butina a été condamné à 18 mois de prison. NBC News

– "Google donne des clés de sécurité gratuites aux activistes, mais pas si vous êtes en Iran ou en Syrie."

– La Chine a demandé au Royaume-Uni d'ignorer les pressions exercées contre Huawei. Gardien

– Les pirates sont entrés dans un outil de programmation. Carte mère

– "La solution d'échange de Sim que les États-Unis n'utilisent pas." Filaire

Pas d'événements.

C'est tout pour aujourd'hui.

Restez en contact avec toute l’équipe: Mike Farrell (mfarrell@politico.com, @mikebfarrell) Eric Geller (egeller@politico.com, @ericgeller) Martin Matishak (mmatishak@politico.com, @martinmatishak) et Tim Starks (tstarks@politico.com, @ Timstarks).