مايكروسوفت: الأمن المتراخي أدى إلى الغارة السيبرانية الصينية

تم إدراج مقال 'مايكروسوفت: الأمن المتراخي أدى إلى الغارة السيبرانية الصينية' من قبل BTW Media لأن الأدلة المنشورة تربطه بالبنية التحتية للإنترنت أو الحوكمة أو التبعيات التشغيلية أو رؤية السوق.

• كشفت مراجعة للهجوم على خدمة البريد الإلكتروني المستضاف Exchange Online من مايكروسوفت أن الحادث كان بالإمكان منعه لو لم تكن ثقافة أمن المعلومات المتساهلة لدى مايكروسوفت.
• تعرضت مايكروسوفت لانتقادات بسبب بطء جهودها في تصحيح السجل العام.
• لا يبدو أن مايكروسوفت أعطت أولوية كافية لإعادة بناء بنيتها التحتية القديمة لمواكبة مشهد التهديدات الحالي.

يمكن منع الغارات السيبرانية

كشفت مراجعة للهجوم الذي وقع في يونيو 2023 على خدمة البريد الإلكتروني المستضاف Exchange Online من مايكروسوفت أن الحادث كان بالإمكان منعه لولا ثقافة أمن المعلومات المتساهلة لدى مايكروسوفت وإجراءات الأمن السحابي دون المستوى.

ودعت المراجعة، التي أجراها مجلس مراجعة الأمن السيبراني (CSRB) التابع لوكالة الأمن السيبراني وأمن البنية التحتية (CISA) التابعة للحكومة الأمريكية، إلى "تغيير ثقافي سريع" في مايكروسوفت. وتشمل توصيات المجلس:

سيستفيد عملاء مايكروسوفت من تركيز رئيسها التنفيذي ومجلس إدارتها مباشرة على ثقافة الأمن، ووضع ومشاركة خطط علنية بجداول زمنية محددة لإجراء تغييرات جوهرية تتمحور حول الأمن في جميع أنحاء الشركة ومجموعة منتجاتها؛

يجب على الرئيس التنفيذي محاسبة كبار المسؤولين على تنفيذ البرنامج؛

يجب على قيادة مايكروسوفت أن تنظر في توجيه الفرق الداخلية لتقليل أولوية تطوير الميزات للبنية التحتية السحابية ومجموعات المنتجات حتى يتم إجراء تحسينات أمنية كبيرة للقضاء على المنافسة على الموارد؛

يجب تقييم مخاطر الأمن ومعالجتها بشكل كامل ومناسب قبل نشر القدرات الجديدة.

جاءت هذه اللغة القوية ردًا على الهجوم، الذي أرجعته إلى "سلسلة من الأخطاء التي كان يمكن تجنبها من جانب مايكروسوفت".

اقرأ أيضًا:مايكروسوفت وإيبيك تقلصان الاستثمارات في الألعاب المستقلة

جهة اللوم في الهجوم

ألقى تقرير CSRB [PDF] باللوم في الهجوم على ممارسات تدوير المفاتيح المستخدمة لحماية حسابات خدمة مايكروسوفت (MSA) – نظام إدارة الهوية الذي يشغل الخدمات السحابية للشركة العملاقة للمستهلكين.

تم تصميم MSA في أوائل العقد الأول من القرن الحادي والعشرين بدون عملية تدوير تلقائية لمفاتيح التوقيع أو إلغاء تنشيط. ونتيجة لذلك، قامت مايكروسوفت بإدارة المفاتيح يدويًا – لكنها توقفت عن ذلك في عام 2021 بعد أن أدت الممارسة إلى انقطاعات كبيرة في الخدمات السحابية.

لذا، عندما حصلت Storm-0558 على مفتاح تم إنشاؤه في عام 2016 (والذي كان يجب إلغاء تنشيطه)، اكتسبت القدرة على الوصول إلى إصدار Outlook Web Access المقدم للمستهلكين. وتصاعدت الأمور من هناك، حيث كان هناك خلل في نظام مايكروسوفت يعني أن مفتاح MSA لعام 2016 يمكنه إنشاء رموز تسمح بالوصول إلى حسابات البريد الإلكتروني للشركات، وليس فقط الخدمات الاستهلاكية التي تديرها MSA. ونتيجة لذلك، تستطيع Storm-0558 إنشاء رموز تمنحها الوصول إلى عملاء مايكروسوفت، مثل وزارة الخارجية الأمريكية. وفعلت العصابة ذلك تمامًا، وسرقت حوالي 60000 رسالة بريد إلكتروني من الوزارة، بالإضافة إلى قائمة عناوين البريد الإلكتروني لجميع الموظفين.

ويشير التقرير إلى أنه بينما يقدم موفرو الخدمات السحابية الآخرون أداءً أفضل في تدوير المفاتيح وتنفيذ ضوابط أمنية أخرى، فإن مايكروسوفت لا تفعل ذلك. ونتيجة لذلك، ينتقد التقرير مايكروسوفت لعدم قدرتها على اكتشاف تسرب مفاتيحها.

كما تعرضت مايكروسوفت لانتقادات بسبب بطء جهودها في تصحيح السجل العام. ادعت ريدموند أن الهجوم كان ممكنًا بسبب وجود مفتاح تشفير ذهبي في تفريغ خطأ دخل إلى بيئة تصحيح متصلة بالإنترنت. لكن مايكروسوفت لم تثبت هذه النظرية أبدًا.

إهمال إدارة مخاطر الأمن

موضوع آخر في التقرير هو أن مايكروسوفت "لا تضع إدارة مخاطر الأمن على مستوى يتناسب مع التهديد أو الأهمية الحاسمة لتقنية مايكروسوفت لأكثر من مليار عميل حول العالم."

نظر المحققون في أقران مايكروسوفت متعددي السحابة ووجدوا أنهم أكثر حذرًا من عملاقة ويندوز. ووجد المؤلفون أن "مايكروسوفت لم تعط أولوية كافية لإعادة بناء بنيتها التحتية القديمة لمواكبة مشهد التهديدات الحالي."