据外媒Motherboard报道，美国国防部五角大楼在网络安全方面做得非常糟糕，以上结论来自国防部总监察长办公室（IG）的最新评估报告，后者深入调查了美国军方维护其部门网络安全的能力。

“结果不是很好。截至2018年9月30日，有266项与网络安全有关的开放建议，这些建议可追溯到2008年。“国防部总监察长在一份新报告中说。

网络安全问题影响到军方的所有下属部门分支，范围从严重到平常。在连接到美国弹道导弹防御系统的服务器站点，监察员“发现一个未上锁的服务器机架，而这台机架上就贴有标志，要求服务器机架门必须始终保持锁定状态。”新报告概述了IG在过去一年中对五角大楼的网络安全进行的调查结果。它调查了20份机密和4份机密报告，详细说明了在给出建议后国防部的网络安全问题，以及后续解决情况。此前，总监查办公室曾建议军方采取159个不同的步骤来提高网络安全性，调查后发现国防部只采纳了19个步骤。

根据当时IT安全官员的说法，“网络运营人员曾经帮助那台被发现未上锁的机架中的服务器排除故障，但是当他们完成服务器维护后，并未通知习惯的助力安全经理，导致他并未及时锁上它。”

在同一地点，官员们也没有在通过USB记忆棒和可移动硬盘驱动器从计算机传输数据时使用推荐的加密步骤。 “根据安全经理...... [省略]存储在可移动媒体上的非机密信息被加密的不到百分之一。”

这些糟糕的安全措施正发生在运行美国导弹防御系统的设施上。当外国发生核打击的情况下，这些人负责守望天空并且负责保护美国城市，但他们从不花费心思在数据加密或为他们的服务器机架上锁这些事情上。

如果正式的军事人员安全意识底下，那么国防承包商的状况就会更糟。调查人员深入研究了为美国导弹防御局工作的七名承包商的网络安全做法，发现了多个漏洞。 “在我们分析的七个承包商中，我们发现[其中5个]不会经常或者一直使用多因素认证来访问非机密网络，尽管这些网络可能包含[弹道导弹防御系统]技术信息”监察员写道。

承包商也未能实施自主的风险评估，不使用加密数据的USB驱动器或硬盘驱动器，也不使用强密码。 “五个承包商的系统管理员没有将包含[弹道导弹防御系统]技术信息的网络和系统配置成‘在15分钟不活动后锁定用户会话’”调查人员发现。这意味着任何人登录过一台装满了机密导弹防御数据的计算机后都可能使其处于无人看管状态，计算机永远不会自行登出。

糟糕的密码

美国的武器系统也很容易被基本简单的工具破解。政府问责办公室10月份的一份报告指出，五角大楼的武器系统存在缺陷，使他们特别容易遭受网络攻击。 监察长办公室的后续调查发现，尤其是空军官员仍然没有“确保在设计过程中将网络安全纳入武器系统。相反，武器系统的网络安全是通过一系列不完整的整合装配和产品来解决的，武器网络安全系统总是会产生不吻合或者重复情况。“空军仍然不打算在多个武器系统上更改其默认密码，而在设计和发射新的武器系统时，空军也没有遵循自己的网络安全协议。

五角大楼的网络安全问题足以影响导弹防御和新型武器，它们也损害了普通士兵的利益。 监察长办公室指出，陆军医疗设施是网络安全的噩梦，安全程序松懈，可以轻松获取患者病历。

根据陆军规定，密码长度必须为15个字符，包含大写和小写字母，数字和符号。在多个医疗机构，调查人员发现管理员更改了规则以允许更简单的密码。 “在每种情况下，系统管理员都表示他们没有正确配置密码，因为他们认为现有的网络身份验证保护足以控制对单个系统的访问，”检查员说。

像武器系统和弹道导弹防御承包商一样，陆军的医疗健康记录非常容易破解，密码保护不佳，并且计算机终端没有程序为用户自动注销。

各个部门之间的问题非常相似，调查人员在新报告中指出了这一点。根据五角大楼的监督机构，网络安全失败主要来自领导层问题，高层的网络安全意识松懈也让其他人无需担负责任。

“在今年的总结中发现的最大数量的安全弱项完全与治理有关，”调查人员解释说：“如果没有合适的治理，五角大楼就无法确保它有效地识别和管理网络安全风险，因为它持续面临来自对手的越来越多的网络威胁，例如用于破坏，降级或破坏目标信息系统的攻击性网络空间控制。”