Upaya besar Departemen Keuangan untuk melindungi bank dari ancaman dunia maya

Tahun ini, Departemen Keuangan telah meluncurkan kemitraan publik-swasta terbesar yang pernah dibentuk: Proyek Benteng, sebuah upaya untuk meningkatkan keamanan dan ketahanan sektor jasa keuangan.

Proyek ini mencakup empat komponen utama: Dua alat keamanan siber gratis untuk bank, ruang fisik untuk kolaborasi antara bank dan pejabat siber Departemen Keuangan di pusat kota DC, dan upaya ofensif oleh penegak hukum federal terhadap penyerang siber. Semua itu merupakan penawaran baru dan lama, semuanya dikonsolidasikan pada bulan Mei di bawah bendera kolektif Project Fortress.

Hingga saat ini, lebih dari 900 lembaga telah mendaftar, menurut Wally Adeyemo, wakil sekretaris Departemen Keuangan.

“Setiap bank — baik bank terkecil di negara ini maupun bank terbesar di negara ini — kita semua memiliki tanggung jawab sebagai bagian dari sistem keuangan untuk memastikan bahwa kita menyediakan perangkat keuangan yang diperlukan untuk menjalankan ekonomi kita,” kata Adeyemo dalam sebuah wawancara. “Dan cara terbaik untuk melakukannya adalah dengan bekerja sama.”

Adeyemo mengatakan ini adalah pertama kalinya Departemen Keuangan bekerja sama dengan lembaga keuangan untuk menyediakan layanan tersebut, dan departemen tersebut melibatkan lembaga keuangan dari semua ukuran. Apakah lembaga tersebut memiliki aset yang dikelola beberapa ratus juta dolar, atau miliaran atau triliunan, “Anda memiliki tanggung jawab yang sama terhadap pelanggan Anda,” katanya.

“Kami ingin bekerja sama dengan Anda untuk memastikan bahwa kami membangun kekuatan keamanan siber yang akan membantu Anda melindungi lembaga Anda dan melindungi sistem keuangan secara keseluruhan,” kata Adeyemo.

Salah satu bank yang dilaporkan berpartisipasi dalam proyek benteng ini adalah BNY Mellon, yang CEO-nya Robin Vince mengatakan kepada CNN bahwa berinvestasi dalam pertahanan siber yang kuat adalah hal yang baik untuk bisnis, dan bahwa memelihara sistem keuangan yang sangat kuat adalah tanggung jawab “bersama” antara sektor swasta dan publik.

“Selalu ada penipuan dan kejahatan. Dulu, mungkin perampokan kereta pos. Ini adalah kasus yang sama di zaman modern,” kata Vince.

Penawaran Departemen Keuangan kepada bank mencakup dua alat pertahanan bernilai tinggi yang biasanya menimbulkan biaya signifikan bagi bank.

Yang pertama memindai sistem komputer bank untuk mencari kerentanan siber yang diketahui, dan paling populer di kalangan lembaga yang lebih kecil. Yang kedua menggabungkan sinyal ancaman dari lembaga keuangan yang berpartisipasi, beberapa lembaga pemerintah AS, dan umpan sumber terbuka untuk menyediakan umpan intelijen ancaman yang mungkin paling komprehensif yang tersedia bagi bank saat ini.

Layanan kebersihan siber

Sejak tahun lalu, Departemen Keuangan telah mendaftarkan lebih dari 500 perusahaan sektor keuangan kecil ke dalam Layanan Kebersihan Siber program yang ditawarkan oleh Cybersecurity and Infrastructure Security Agency (CISA), badan keamanan siber terkemuka di negara ini. Layanan gratis ini secara otomatis memindai perusahaan yang berpartisipasi untuk menemukan kerentanan siber yang signifikan dan memberikan pembaruan berkala kepada perusahaan yang menemukan celah apa pun.

Penawaran pemindaian kerentanan mencakup pemantauan berkelanjutan terhadap semua aset jaringan yang dapat diakses melalui internet di bank. Selain laporan mingguan, organisasi yang berpartisipasi menerima peringatan ad-hoc tentang temuan yang mendesak, seperti layanan yang berpotensi berisiko dan kerentanan yang diketahui telah dieksploitasi.

Bagian kedua adalah pemindaian aplikasi web, yang menyediakan penelusuran mendalam ke aplikasi web bank yang dapat diakses publik untuk mengungkap kerentanan dan kesalahan konfigurasi yang dapat dieksploitasi oleh penyerang. Layanan ini menyediakan laporan bulanan dan sesuai permintaan yang terperinci yang mengevaluasi pertahanan perusahaan terhadap kerentanan termasuk Sepuluh Teratas OWASP.

Kedua alat yang ditawarkan sebagai bagian dari Layanan Kebersihan Siber secara ketat memindai sistem yang terhubung ke internet dan tidak memberikan CISA akses internal apa pun ke sistem. Secara metaforis, layanan tersebut merupakan CISA yang memeriksa jendela dan pintu bank yang terdaftar untuk memastikan keamanannya, alih-alih memeriksa brankas dan lemari di dalamnya. Hal ini juga memastikan bahwa para pendaftar mendapatkan wawasan tentang apa yang dapat diperoleh pelaku kejahatan tentang sistem mereka dari luar lembaga.

Layanan Kebersihan Siber ini menyediakan banyak penawaran yang sama dengan layanan pemindaian lainnya. Misalnya, BukaVAS adalah alat sumber terbuka yang dapat disiapkan dan digunakan oleh bank atau perusahaan mana pun untuk menjalankan pemindaian kerentanan mereka sendiri, seperti yang disediakan oleh Layanan Kebersihan Siber CISA. Perusahaan seperti AT&T dan Qualys juga menawarkan layanan pemindaian kerentanan yang dikelola sepenuhnya.

Bagi organisasi yang tidak memiliki kemampuan atau sumber daya yang tersedia untuk menerapkan layanan pemindaian kerentanan internal atau pihak ketiga, Layanan Kebersihan Siber CISA dapat menggantikan perangkat sumber terbuka dan komersial ini, menurut juru bicara Departemen Keuangan. Hal ini sangat membantu bagi organisasi kecil yang mungkin tidak memiliki keahlian teknis untuk mengelola pemindaian kerentanan mereka sendiri yang dibangun dari perangkat sumber terbuka.

Bahkan untuk bank yang lebih besar, Layanan Kebersihan Siber CISA dapat melengkapi dan menguatkan temuan dari layanan pemindaian internal atau pihak ketiga.

Umpan intelijen ancaman otomatis

Penawaran pertahanan utama lainnya sebagai bagian dari Proyek Benteng adalah Umpan Informasi Ancaman Otomatis (ATIF) milik Departemen Keuangan, sebuah program berbagi informasi yang memberi lembaga keuangan akses ke umpan ancaman dunia maya yang disesuaikan.

Umpan tersebut, yang saat ini dalam tahap uji coba, akan menggabungkan indikator dari Departemen Keuangan, entitas pemerintah AS, mitra internasional, lembaga keuangan yang berpartisipasi, dan lebih dari 40 umpan intelijen ancaman sumber terbuka.

Laboratorium Nasional Pasifik Barat Laut (PNNL), laboratorium nasional dengan pengeluaran tahunan sebesar $1,5 miliar yang menjadikan keamanan siber dan analisis ancaman sebagai dua fokus utamanya, adalah organisasi pendukung utama di balik ATIF, dan lembaga ini juga akan menyediakan data untuk umpan tersebut.

Meskipun Departemen Keuangan tidak dapat membagikan secara publik contoh data yang disertakan dalam ATIF, umpan intelijen ancaman biasanya memberikan alamat IP, nama domain, tanda tangan berkas, dan sinyal lain yang dapat digunakan perangkat lunak keamanan siber — khususnya teknologi deteksi dan respons titik akhir (EDR) — untuk mendeteksi ancaman baru segera setelah diungkapkan.

Departemen Keuangan sudah memberikan data intelijen yang diturunkan ke bank tentang ancaman dunia maya, tetapi umpan otomatis akan memastikan bahwa bank menerima intelijen ini dalam format yang tepat waktu dan dapat ditindaklanjuti, bukan proses email multi-langkah yang mengharuskan bank menerjemahkan intelijen secara manual ke dalam file atau data yang dapat dicerna dan digunakan oleh perangkat lunak keamanan dunia maya mereka.

ATIF gratis bagi pelanggan Cloudflare yang sudah ada karena Departemen Keuangan menanggung biaya pengembangan program tersebut pada tahun 2023. Meskipun demikian, Departemen Keuangan bekerja sama dengan Cloudflare dan PNNL untuk memastikan ATIF dapat diperluas ke pelanggan non-Cloudflare dengan biaya yang netral.

Tindakan ofensif yang sedang berlangsung

Proyek Benteng juga mencakup tindakan ofensif berkelanjutan oleh penegak hukum federal, termasuk Kantor Pengawasan Aset Asing (OFAC) yang mengeluarkan sanksi dari Departemen Keuangan, yang ditujukan pada pelaku ancaman dunia maya yang menargetkan industri jasa keuangan.

Yang terbaru, tindakan ini mencakup sanksi yang diumumkan pada bulan April terhadap empat orang yang diduga melakukan aktivitas siber jahat atas nama Komando Elektronik Siber Korps Garda Revolusi Islam Iran. Para pelaku menargetkan lebih dari selusin perusahaan dan badan pemerintah AS, termasuk Departemen Keuangan, melalui operasi siber, termasuk spear phishing dan serangan malware.

Tindakan ofensif baru-baru ini juga mencakup sanksi Februari terhadap dua orang yang diduga mendukung operasi ransomware atas nama aktor ancaman utama yang berbasis di Rusia, LockBit. Sanksi tersebut disertai gangguan infrastruktur teknis LockBit oleh penegak hukum Inggris dan FBI. Saat itu, Graeme Biggar, direktur Badan Kejahatan Nasional Inggris (NCA), menyebut LockBit sebagai “kelompok kejahatan dunia maya paling berbahaya di dunia.”

Ruang fisik untuk kolaborasi

Manfaat keempat yang ditawarkan Project Fortress kepada bank adalah peningkatan kolaborasi dengan Departemen Keuangan dalam hal pertahanan siber. Pada tanggal 20 April, Departemen Keuangan membuka Treasury Cyber ​​Collaboration Suite (T-Suite) di pusat kota DC, yang terletak hanya beberapa blok dari Gedung Putih.

Menurut juru bicara Departemen Keuangan, T-Suite memungkinkan perwakilan sektor keuangan untuk duduk berdampingan dengan analis intelijen siber pemerintah AS. Departemen Keuangan berharap, suite tersebut akan memajukan kolaborasi industri dengan pejabat intelijen dalam rangka mengidentifikasi dan mengurangi ancaman siber yang diidentifikasi oleh intelijen AS dan entitas sektor lainnya, termasuk bank-bank lain.

Dalam surel kepada para pemimpin industri perbankan yang ditinjau oleh American Banker, Adeyemo menguraikan empat pilar Proyek Benteng, seraya menambahkan bahwa Departemen Keuangan “menghabiskan sebagian besar anggaran tahunan kami untuk keamanan siber.”

Email Adeyemo ditujukan kepada pejabat di Konferensi Pengawas Bank Negara, Pusat Analisis dan Pembagian Informasi Layanan Keuangan, Pusat Analisis dan Ketahanan Risiko Sistemik, Dewan Koordinasi Sektor Layanan Keuangan, Institut Kebijakan Bank, dan Asosiasi Bankir Amerika.

Dalam email tersebut, Adeyemo mengakui bahwa Departemen Keuangan “secara historis berorientasi untuk mendukung lembaga infrastruktur penting yang lebih besar.” Namun, katanya, Project Fortress dirancang untuk mengubah hal tersebut.

“Jumlah informasi yang dapat kami bagikan satu sama lain juga bergantung pada seberapa banyak lembaga yang berpartisipasi,” kata Adeyemo dalam email tersebut. “Melalui Project Fortress, kami memastikan bahwa opsi kami mendukung setiap lembaga keuangan — besar atau kecil — termasuk bank komunitas dan koperasi kredit.”