ملخص
- نجحت حملة Orion لأن المهاجمين تمكنوا من اختراق عملية إنتاج البرمجيات، وإدراج SUNBURST أثناء عمليات البناء الآلي، والسماح لآلية التوزيع والتوقيع العادية لشركة SolarWinds بتسليم المكون المعدل. كان التوقيع الصالح بمثابة توثيق لعملية الإصدار المخترقة؛ لم يثبت بشكل مستقل أن الكود الناتج يطابق حالة مصدر معتمدة.
- ربما حصل أقل من 18,000 عميل على إصدارات متأثرة، لكن هذا الرقم ليس عدد المؤسسات التي تم اختراقها في عمليات لاحقة. قدرت التقديرات العامة اللاحقة عدد الاختراقات المؤكدة أو المقدرة في عمليات لاحقة بتسع وكالات فيدرالية أمريكية وأقل من 100 منظمة غير حكومية، بينما قدرت SolarWinds بشكل منفصل أن أقل من 100 عميل تم اختراقهم عبر SUNBURST.
- يتحمل جهاز الاستخبارات الخارجية الروسي مسؤولية عملية التجسس. ومع ذلك، سيطرت SolarWinds على بيئة البناء، وسلسلة إصدار البرمجيات، ومسار التوقيع، وهندسة المنتج التي حولت اختراقًا داخليًا واحدًا إلى كود موثوق في مواقع العملاء. يتحكم العملاء والمشترون الحكوميون في التقسيم، والتسجيل، وتصلب الهوية، والمشتريات، والتعافي. تقع المساءلة على كل طرف فيما يتعلق بالضمانات التي يمكنه تشغيلها فعليًا.
- السجل القانوني أضيق من السجل التشغيلي. رفعت هيئة الأوراق المالية والبورصات الأمريكية دعوى قضائية ضد SolarWinds وكبير مسؤولي أمن المعلومات لديها في عام 2023، وأسقطت محكمة فيدرالية معظم الدعاوى في عام 2024، وأسقطت هيئة الأوراق المالية والبورصات الدعوى المتبقية مع التحيز في نوفمبر 2025. هذا التاريخ لا يثبت المزاعم الأصلية لهيئة الأوراق المالية والبورصات ولا يثبت أن كل قرار أمني في البناء كان كافيًا؛ إنه يوضح سبب ضرورة تحليل إمكانية المنع الفني وقانون الإفصاح والمسؤولية القانونية النهائية بشكل منفصل.
التحديث فعل بالضبط ما أخبرته به البنية التحتية للثقة
غالبًا ما يتم وصف حادثة SolarWinds على أنها تحديث برمجي مسموم. تعبر هذه العبارة عن طريقة التسليم، لكنها قد تجعل الفشل يبدو وكأنه برمجية خبيثة عادية مخبأة داخل مثبت. الحقيقة الأكثر أهمية هي أن التحديث المتأثر تم إنتاجه وتسليمه من خلال آلية الإصدار الشرعية للبائع. لم يضطر المسؤولون إلى تعطيل التحقق من التوقيع، أو زيارة موقع تنزيل مزيف، أو قبول ملف تنفيذي غير موقع. تم تضمين المكون المعادي في حزمة SolarWinds Orion وتم توقيعه رقميًا.
يغير هذا الاختلاف تحليل المساءلة. يُفهم توقيع البرمجيات عادةً على أنه تحكم في الأصل والنزاهة أثناء النقل. إذا تغيرت الحزمة بعد التوقيع، يجب أن يفشل التحقق من التوقيع. لكن التوقيع لا يثبت، بمفرده، أن المصدر المحدد للترجمة كان مصرحًا به، أو أن المترجم عمل في بيئة نظيفة، أو أنه لم يتم تعديل عامل بناء، أو أن القطعة الأثرية تتوافق مع ما وافق عليه مراجعو الكود. عندما يعمل المهاجم قبل تطبيق التوقيع، يمكن للتوقيع أن يشهد بأمانة على مخرجات مخترقة بالفعل.
وثق الإفصاح التقني الأصلي لشركة Mandiant عن SUNBURST مكونًا إضافيًا لـ Orion موقعًا من SolarWinds يحتوي على باب خلفي. يمكن للمكون الانتظار لمدة تصل إلى أسبوعين تقريبًا، وفحص بيئته، والتواصل من خلال أنماط DNS وHTTP تجعله يبدو وكأنه حركة مرور Orion شرعية، واسترداد الأوامر فقط بعد أن يختار المهاجم الضحية. صُممت الغرسة الأولية لتكون هادئة وانتقائية ومتوافقة مع المنتج المضيف. لم يكن الغرض منها اختراق كل تثبيت مرة واحدة. كان الغرض منها وضع خيار موثوق داخل العديد من الشبكات وتشغيل مجموعة فرعية صغيرة فقط.
لهذا السبب ينتمي الحدث إلى سجل الاعتماد على السحابة والاستمرارية العامة على الرغم من أن Orion كان يُثبت بشكل عام في مقر العملاء. راقب Orion وأدار البنية التحتية عبر البيئات المحلية والسحابية والهجينة. يمكن أن تصل الأنشطة اللاحقة إلى الهوية الموحدة وموارد Microsoft 365. عملت علاقة الثقة مثل تبعية الخدمة: اعتمد العملاء على منتج بائع يتم صيانته باستمرار، وقبلوا التحديثات التي ينتجها البائع، ووضعوا البرنامج حيث يمكنه مراقبة أو إدارة الأنظمة الهامة. لم يلغي موقع الملف التنفيذي الاعتماد على مصنع البرمجيات البعيد الذي أنتجه.
كما أن الضرر العام الرئيسي لم يكن انقطاعًا تقليديًا. لم تتوقف جميع أنظمة البريد الإلكتروني والتشغيل الفيدرالية عن العمل في يوم واحد واضح. بدلاً من ذلك، أضر الاختراق بالسرية، وضمان الهوية، والثقة في الأدلة، والقدرة على معرفة أي الاتصالات أو القرارات تمت مراقبتها. تشمل استمرارية القطاع العام القدرة على إجراء أعمال حكومية عبر أنظمة يمكن الدفاع عن ثقتها. يمكن أن تظل الشبكة متاحة بينما تصبح الوظيفة العامة التي تدعمها مكشوفة استراتيجيًا.
ما يثبته السجل العام
تأتي أقوى الروايات من مصادر ذات حوافز مؤسسية مختلفة: إفصاحات SolarWinds عن الحوادث والإيداعات الأمنية؛ التحليلات الفنية لشركتي CrowdStrike وMandiant؛ سجلات CISA وNSA وFBI والوكالات المتضررة؛ مراجعة GAO للاستجابة الفيدرالية؛ الشهادات في الكونغرس؛ والسجل القضائي اللاحق. لا تجيب على كل سؤال، لكنها تثبت عدة حقائق أساسية.
أولاً، حافظ جهة فاعلة متقدمة على الوصول إلى بيئة SolarWinds لفترة كافية لدراسة عملية إنتاج Orion. قال التحديث الاستقصائي لشركة SolarWinds في مايو 2021 إن الشركة لم تستطع تحديد متى أو كيف حدث الدخول الأولي بالضبط. أبلغت عن أدلة على تسوية بيانات الاعتماد والوصول المستمر إلى بيئة تطوير البرمجيات والأنظمة الداخلية، بما في ذلك Microsoft 365، لمدة تسعة أشهر على الأقل قبل تشغيل اختباري في أكتوبر 2019. ضيقت الشركة المسارات الأولية المحتملة إلى ثغرة يوم صفر لطرف ثالث، أو هجوم تخمين كلمات المرور مثل رش كلمات المرور، أو الهندسة الاجتماعية، لكنها لم تدّع إثبات أي منها.
ثانيًا، تم إجراء التغيير المعادي في بيئة البناء الآلي، ولم يتم إيداعه كتعديل دائم في مستودع مصدر Orion. هذه ليست تفصيلًا فنيًا مخففًا. إنها تحدد حدود الثقة التي فشلت. يمكن للمراجع مقارنة المستودع قبل البناء وبعده ورؤية مصدر نظيف بينما يستبدل عامل البناء مؤقتًا ملفًا ضارًا أثناء الترجمة. لذلك فإن الضوابط التي تركز فقط على مراجعة المصدر ستفشل في رؤية انحراف القطعة الأثرية المنتجة.
ثالثًا، اختبر المهاجمون قدرتهم على تعديل عمليات البناء قبل نشر الباب الخلفي التشغيلي. وضعت النتائج الأولية لنظام البناء لشركة SolarWinds في يناير 2021 أول نشاط داخلي مشبوه معروف آنذاك في سبتمبر 2019، وتعديلًا اختباريًا في إصدار Orion في أكتوبر 2019، وبدء حقن SUNBURST في 20 فبراير 2020، وإزالة الكود الخبيث من البيئة في يونيو 2020. أدى الإبلاغ اللاحق للشركة إلى دفع أدلة الوصول إلى الوراء مع الحفاظ على نافذة التوزيع من مارس إلى يونيو.
رابعًا، تم توزيع إصدارات Orion المتأثرة عبر القنوات العادية. قال نموذج 8-K لشركة SolarWinds في 14 ديسمبر 2020 إن المنتجات التي تم تنزيلها أو تنفيذها أو تحديثها خلال الفترة ذات الصلة تحتوي على الثغرة، وقدرت أن أقل من 18000 عميل ربما قاموا بتثبيت الإصدارات المتأثرة. وصفت نموذج 10-K لعام 2020 لاحقًا SUNBURST على أنه تم حقنه في إصدارات تم إصدارها من مارس إلى يونيو 2020، وقالت إن البرنامج المتأثر تم تثبيته في مقر العملاء، وأكدت أن العدد الذي تم استغلاله أصغر بكثير من العدد الذي كان يمكن أن يقوم بتثبيت إصدار متأثر.
خامسًا، اكتشفت FireEye الحملة الأوسع في ديسمبر 2020 أثناء التحقيق في اختراقها الخاص. لا يُظهر السجل العام أن ضمان إصدار SolarWinds أو برنامج حماية الحدود الفيدرالي اكتشف البناء المخترق قبل استلام العملاء له. فجوة الكشف هذه مهمة بغض النظر عن مدى جودة استجابة SolarWinds بعد الإخطار. يمكن للتحكم أن يعمل بشكل جيد أثناء الاستجابة للأزمات بينما يفشل في كشف الحالة الخطرة أثناء الإنتاج.
سادسًا، نسبت الحكومة الأمريكية لاحقًا الحملة رسميًا إلى SVR الروسي. يسجل إشعار CISA المشترك في أبريل 2021 النسبة الأمريكية والتوجيه المشترك من NSA-CISA-FBI؛ كما نسبت المملكة المتحدة علنًا SVR إلى العملية. تحدد النسبة مسؤولية الجهة المعادية وسياقها الجيوسياسي. لا تجيب على ما إذا كانت ضمانات البائع أو العميل متناسبة مع فئة متوقعة من هجوم سلسلة التوريد.
ثلاث مسائل مهمة تظل محدودة. لم يتم إثبات المسار الأولي إلى SolarWinds في التحديث النهائي للشركة المذكور. لا يكشف السجل العام عن كل منظمة تم اختيارها للوصول اللاحق أو كل عنصر تم أخذه من تلك الشبكات. والتحديث المتأثر لا يثبت أن المنظمة عانت من استغلال تفاعلي. تتطلب هذه الفجوات لغة دقيقة، وليس شللًا تحليليًا.
من الاستطلاع إلى باب خلفي موقع
كانت الحملة صبورة لأن هدفها لم يكن مجرد خادم. كان عملية صناعية قابلة للتكرار.
احتاجت الجهة الفاعلة أولاً إلى الوصول والفهم. تحتوي بيئات البناء على مترجمات، ومخازن تبعيات، وبيانات اعتماد، وأدوات تنسيق، وواجهات توقيع، ونصوص إصدار، والعديد من الملفات الوسيطة. يخلق تعقيدها فرصًا، لكن العبث العشوائي يخلق ضوضاء. يمكن أن ينبه الترجمة الفاشلة، أو عدم تطابق قابلية إعادة الإنتاج، أو فرق مصدر غير متوقع، أو حزمة مشوهة المهندسين. لذلك كان على المهاجم أن يتعلم متى تعمل عمليات بناء Orion، وأي ملف مصدر يمكن أن يحمل الغرسة، وكيف يصل ذلك الملف إلى المكون الإضافي النهائي، وكيفية تجنب زعزعة استقرار المنتج.
كان الاختبار في أكتوبر 2019 تحذيرًا حاسمًا بعد فوات الأوان. أظهر أن الجهة الفاعلة كانت تتحقق من مسار الحقن قبل تنفيذ الحمولة التشغيلية. في تصميم إنتاج آمن، لا يزال يجب اكتشاف التعديل الاختباري الموجود فقط أثناء البناء من خلال مقارنة القطع الأثرية، أو مراقبة البناء المعزولة، أو فحوصات سلسلة التوريد، أو ضوابط الإصدار الحتمية. حقيقة أن الاختبار مر إلى إصدار دون كشف المتطفل أظهرت أن مخرجات البناء يمكن أن تنحرف عن المصدر المتوقع ولا تزال تستمر.
أصبح الكود الخبيث الناتج SUNBURST داخل SolarWinds.Orion.Core.BusinessLayer.dll. ولأن الاستبدال حدث أثناء البناء، تمكنت الحزمة النهائية من المرور عبر خطوات التغليف والتوقيع اللاحقة كمخرجات منتج عادية. كان التوقيع حقيقيًا. كان ادعاء سلسلة التوريد وراءه غير مكتمل.
بمجرد تثبيته، أخر SUNBURST التنفيذ وتحقق من الظروف البيئية التي قد تشير إلى التحليل. أنشأ استعلامات DNS خاصة بالضحية وسمح للمشغل بتحديد أي المنارات ستنتقل إلى أوامر وتحكم أكثر نشاطًا. وصف التحليل الفني الإضافي لـ Mandiant فحوصات مكافحة التحليل، وسلوك توليد النطاق، وأوضاع الأوامر، وجهود مزج الحالة في تكوين Orion الشرعي. قللت الانتقائية من فرصة أن تنتج 18000 تثبيت محتمل 18000 حادث مرئي.
بالنسبة للضحايا المختارين، يمكن أن يصبح الباب الخلفي نقطة دخول لحمولات منفصلة، وسرقة بيانات الاعتماد، والحركة الجانبية، والوصول إلى السحابة. هذا التمييز بين الغرسة الموزعة والمنظمة المخترقة أمر ضروري. المنظمة التي قامت بتنزيل حزمة متأثرة، وتلك التي قامت بتثبيتها على خادم معزول، وتلك التي أرسل خادمها منارة، وتلك التي استخدمت هوياتها للوصول اللاحق، تشغل فئات تأثير مختلفة. دمجهم في رقم واحد ينتج رقمًا دراماتيكيًا لكنه نموذج حادث ضعيف.
أزال المهاجمون SUNBURST من بيئة بناء SolarWinds في يونيو 2020، قبل أشهر من الاكتشاف. حد هذا الإجراء من التوزيع المستقبلي وأزال الأدلة الحية الواضحة من نظام الإنتاج. احتفظ العملاء الذين قاموا بالفعل بتثبيت الإصدارات المتأثرة بالغرسة. لذلك عاشت العملية بعد وجود الجهة الفاعلة في مصنع البرمجيات: تحول اختراق الإنتاج إلى آلاف القطع الأثرية المنشورة بشكل مستقل، كل منها يتبع جدول الصيانة والاحتفاظ الخاص بالعميل.
لماذا لم تكن مراجعة المصدر وتوقيع الكود كافيين
كشفت حادثة Orion عن فجوة بين ضوابط سلامة البرمجيات التي غالبًا ما يتم التعامل معها على أنها قابلة للتبادل.
تسأل مراجعة المصدر عما إذا كان الكود المودع للإصدار مقبولًا. تسأل سلامة البناء عما إذا كانت القطعة الأثرية المترجمة قد تم إنتاجها بالفعل من ذلك المصدر المعتمد، والتبعيات المعتمدة، والأدوات المعتمدة، والتعليمات المعتمدة في بيئة غير مخترقة. يسأل التوقيع عما إذا كان مفتاح معين قد أذن بالقطعة الأثرية. تسأل سلامة التوزيع عما إذا كان العملاء قد تلقوا القطعة الأثرية التي تم توقيعها. تسأل ضوابط وقت التشغيل عما يُسمح للقطعة الأثرية بفعله بعد التثبيت. يمكن لكل عنصر تحكم أن ينجح بينما يفشل آخر.
في Orion، تشير الأدلة العامة إلى أن مستودع المصدر المستمر لم يحمل تعديل SUNBURST. لذلك لم تستطع مراجعة الكود إثبات أن القطعة الأثرية نظيفة. قام نظام البناء بدمج المصدر غير المصرح به بشكل عابر. ثم أرفق التوقيع سلطة تنظيمية بالمخرجات. وزع التوزيع تلك المخرجات دون تعديل من طرف ثالث. قامت تلك الضوابط النهائية بمهامها الضيقة، لكن قرار الإصدار استند إلى حقيقة مصدر مكسورة.
هذه هي نسخة سلسلة التوريد من بيان صحيح مبني على فرضية خاطئة. تم توقيع الحزمة بصدق بواسطة SolarWinds. ما استنتجه العملاء كان أوسع: أن الحزمة تمثل المنتج الذي كانت SolarWinds تنوي إصداره. كسرت الحادثة ذلك الاستنتاج.
الإجابة ليست التخلي عن التوقيعات. بدونها، سيكون العملاء أيضًا عرضة لاختراق المرايا، واعتراض الشبكة، والحزم المزيفة. الإجابة هي تعزيز الأدلة المرتبطة بالتوقيع. يجب أن تكون عملية الإصدار عالية الضمان قادرة على إظهار مراجعة المصدر، ومجموعة التبعيات، وسلسلة الأدوات، وهوية البناء، سياسة البناء، والاختبارات، والموافقات التي أنتجت القطعة الأثرية. يجب أن تكتشف عندما يستبدل عامل ملفًا غير موجود في حالة المصدر المعتمدة. يجب أن تمنع نفس الهوية من تغيير المصدر، وسياسة البناء، والقطعة الأثرية، وقرار التوقيع دون فحوصات مستقلة.
يمكن أن تساعد عمليات البناء القابلة لإعادة الإنتاج أو المكررة بشكل مستقل، لكنها ليست سحرية. إذا شارك البناة المستقلون المفترضون بيانات الاعتماد، أو التنسيق، أو التبعيات، أو مستوى تحكم مخترق، فقد يعيدون إنتاج نفس المخرجات الخبيثة. المقارنة مهمة فقط عندما تكون مسارات الثقة منفصلة حقًا. وبالمثل، يمكن لقائمة مكونات البرمجيات تحديد المكونات بينما تفشل في إظهار أن عامل البناء أدخل كودًا إضافيًا من الطرف الأول. المخزون مفيد؛ إنه ليس مكافئًا لسلسلة التوريد.
أقر اقتراح المعالجة اللاحق لـ SolarWinds بهذه المشكلة. وصف تحديث مايو 2021 ثلاث بيئات بناء منفصلة، وتغيير أنظمة البناء، وبيانات اعتماد منفصلة، ومقارنة النزاهة عبر المخرجات. في الشهادة أمام الكونغرس، قدم الرئيس التنفيذي Sudhakar Ramakrishna هذا التصميم كوسيلة لإجبار المهاجم على اختراق بيئات متعددة غير متجانسة. الشهادة المكتوبة للشركة أمام مجلس الشيوخ هي دليل على الاستجابة والهندسة المعمارية المزعومة في ذلك الوقت. إنها ليست، بحد ذاتها، شهادة مستقلة على أن كل إصدار قد استوفى هذا التصميم منذ ذلك الحين.
مشكلة المقام: 18000 كان تعرضًا، وليس استغلالًا مؤكدًا
قلة من الأرقام من الحادثة تكررت بقدر 18000. إنه مفيد فقط إذا ذكر مقامه.
أبلغت SolarWinds في البداية حوالي 33000 عميل Orion نشط على الصيانة أثناء الفترة المتأثرة وبعدها. قدرت أن أقل من 18000 ربما كان لديهم تثبيت متأثر. بعضهم قام بالتنزيل لكن لم يقم بالتثبيت. بعضهم قام بالتثبيت على أنظمة لا يمكنها الوصول إلى بنية التحكم والأوامر. بعضهم قام بتشغيل الغرسة لكن لم يتم اختيارهم للنشاط اللاحق. مجموعة أصغر بكثير تواصلت مع البنية التحتية اللاحقة، ومجموعة أصغر لا تزال تعرضت للاختراق النشط بعد الباب الخلفي الأولي.
في مايو 2021، قدرت SolarWinds أن أقل من 100 عميل تم اختراقهم عبر SUNBURST. في مارس 2021، وصف مكتب التحقيقات الفيدرالي أكثر من 16000 عميل عام وخاص متأثرين، وتسع وكالات فيدرالية مع اختراقات لاحقة، وأقل من 100 كيان غير حكومي في هذه الفئة. الأرقام متوافقة إذا ظلت "متأثر"، "مثبت"، "منير"، "مستهدف"، و"مخترق" متميزة.
التمييز لا يجعل الحادثة صغيرة. وجود موطئ قدم إداري كامن تم تسليمه لآلاف المنظمات هو حدث نظامي شديد حتى عندما تمارسه جهة دولة بشكل انتقائي. حصل المهاجم على قائمة بالوصول المحتمل ويمكنه اختيار الأهداف بناءً على القيمة الاستخباراتية. يكمن الخطر في كل من الضرر المحقق وحجم الفرصة الموثوقة.
يهم أيضًا لإخطار العملاء. لا ينبغي للبائع إرسال نفس الرسالة إلى كل فئة تعرض. يحتاج العملاء إلى معرفة ما إذا كانوا قد قاموا فقط بتنزيل قطعة أثرية، أو تثبيتها، أو تشغيلها، أو توليد منارة معروفة، أو تلقي استجابة تحكم وأوامر، أو إظهار دليل على إساءة استخدام الهوية لاحقًا. كل حالة تغير قرارات الحفظ، وإعادة تعيين بيانات الاعتماد، وإعادة البناء، والإخطار، والاستمرارية. عندما لا تستطيع القياسات عن بعد الخاصة بالبائع تحديد الحالة، يجب توصيل عدم اليقين نفسه.
يُظهر السجل العام أيضًا سبب عدم إمكانية استنتاج التأثير فقط من القياس عن بعد للبائع. كان Orion يعمل داخل شبكات العملاء، لذلك لم تستطع SolarWinds فحص كل تثبيت بشكل مباشر. احتفظ العملاء ومزودو الخدمات السحابية بأجزاء من الأدلة. بعض الأنشطة اللاحقة تخلت عن SUNBURST واستخدمت بيانات اعتماد شرعية أو تأكيدات مصادقة مزيفة، مما يجعل خادم Orion النظيف دليلاً غير كافٍ على أن البيئة الأوسع نظيفة. كان على محاسبة الحوادث الجمع بين سجلات التنزيل الخاصة بالبائع، وملاحظات DNS، وأدلة الطب الشرعي للمضيف، وسجلات الهوية، وتحقيقات المنظمة المتضررة.
الاكتشاف وتكلفة الرؤية المتأخرة
غالبًا ما يُحتفى باكتشاف FireEye كنجاح في الكشف، وكان كذلك. إنه أيضًا دليل على أن نظام الأمان المبكر فشل.
لأشهر، تحركت الإصدارات المتأثرة عبر قناة صيانة موثوقة. صمم المهاجم الغرسة لتنام، وتتجنب بيئات التحليل، وتستخدم سياق عملية مألوفة، وتحاكي سلوك الشبكة الشرعي. كانت برامج مكافحة الفيروسات التقليدية وقواعد الحدود في وضع سيئ للتعرف على مكون موقع من البائع يقوم بنشاط يشبه القياس عن بعد الخاص بالمنتج. منتج إدارة الشبكة له أيضًا نطاق سلوكي واسع بشكل طبيعي. يقوم بجرد الأنظمة، ويتواصل عبر القطاعات، ويحمل بيانات اعتماد مفيدة، وقد يتصل بشكل شرعي بالبنية التحتية للبائع. يمكن للسلوك الخبيث أن يختبئ داخل الامتيازات التي يتطلبها المنتج.
عكس أول رد عام من CISA خطورة هذا الغموض. حدد تنبيهها في 13 ديسمبر الإصدارات المتأثرة، وأمر التوجيه الطارئ 21-01 الوكالات المدنية الفيدرالية بفصل منتجات Orion المغطاة. لم يكن الأمر ببساطة "تثبيت التصحيح". خادم إدارة مخترق بالفعل يمكن أن يحتوي على أدلة، أو بيانات اعتماد، أو استمرارية تتجاوز DLL الأصلي. معاملته كثغرة عادية سوف يخاطر بالحفاظ على المهاجم بعد استبدال الملف الأولي.
ميزت إرشادات NCSC في المملكة المتحدة بالمثل بين الملفات الثنائية المتأثرة والتأثير اللاحق الخطير. نصحت بالعزل، وفحوصات التجزئة وDNS، وإعادة تعيين بيانات الاعتماد، والتحقيق في الحسابات المرتبطة بخادم Orion، والنظر في إعادة البناء الكاملة. يظهر الاتساق العالمي لهذه النصيحة أن فشل الثقة لم يقتصر على بيئة المشتريات لحكومة واحدة.
تم توزيع مسؤولية الكشف. كانت SolarWinds في أفضل وضع لمراقبة عمال البناء، ومقارنة القطع الأثرية بالمصدر المعتمد، والإشراف على التوقيع، وتحديد سلسلة التوريد غير المتوقعة للإصدار. كان العملاء في أفضل وضع لتقييد امتيازات Orion، وتقسيم مضيفه، والحفاظ على سجلات DNS والهوية، وملاحظة السلوك الذي ينحرف عن بيئتهم الخاصة. يمكن لمزودي الهوية السحابية اكتشاف استخدام الرموز والحسابات الشاذ عبر المستأجرين. يمكن لهيئات التنسيق الحكومية تجميع التقارير وإصدار إجراءات إلزامية. لم يكن لدى أي مراقب واحد الصورة الكاملة، مما جعل مشاركة المعلومات في الوقت المناسب عنصر تحكم وظيفيًا وليس مجرد مجاملة.
تظهر الاستجابة أيضًا حقيقة قاسية حول المؤشرات. التجزئات والنطاقات ذات قيمة أثناء الفرز، لكن الجهة الفاعلة الصبورة يمكنها تدوير البنية التحتية والانتقال إلى حسابات صالحة. غياب مؤشر معروف ليس دليلاً على عدم وجود اختراق بمجرد عبور التطفل إلى أنظمة الهوية. الاستجابة الدائمة كان عليها إعادة بناء مسار الهجوم وإعادة تأسيس الثقة من حالات معروفة النظافة.
استمرارية القطاع العام دون انقطاع مرئي
وصف GAO الحملة بأنها واحدة من أكثر عمليات القرصنة انتشارًا وتعقيدًا التي نُفذت ضد الحكومة الفيدرالية والقطاع الخاص. وجدت مراجعة الاستجابة الفيدرالية لعام 2022 أن الوكالات شكلت مجموعة تنسيق سيبرانية موحدة، وطورت إرشادات وأدوات تقنية، وشاركت المعلومات، وحددت الدروس المستفادة حول التنسيق، والوصول إلى المعلومات، والاستجابة للحوادث. كانت الاستجابة كبيرة لأن الاختراق لمس الآلية التي تفهم الحكومة من خلالها أنظمتها وتديرها.
تم تحديد تسع وكالات فيدرالية علنًا على أنها عانت من اختراق لاحق. قالت وزارة العدل إن النشاط الخبيث وصل إلى بيئة البريد الإلكتروني Microsoft 365 الخاصة بها وأن حوالي ثلاثة بالمائة من صناديق البريد ربما تم الوصول إليها، بينما لم يكن لديها أي مؤشر على تأثر الأنظمة المصنفة. بيان وزارة العدل في يناير 2021 حدد التأثير المعروف بشكل مناسب. لم تعامل التعرض للبريد الإلكتروني غير المصنف على أنه غير ضار، ولم تدّع تعرض الأنظمة التي تفتقر إلى أدلة عليها.
الاستمرارية لها عدة طبقات في هذا السياق.
الأولى هي التوفر التشغيلي. يجب على الوكالات الاستمرار في تقديم الوظائف العامة أثناء عزل خوادم الإدارة، وإعادة بناء المضيفين، وتدوير بيانات الاعتماد، والتحقيق في الحسابات السحابية. يمكن أن يكون التوجيه الطارئ ضروريًا من الناحية الفنية ومعطلًا تشغيليًا في نفس الوقت.
الثانية هي استمرارية السرية. يحتاج المسؤولون إلى معرفة ما إذا كانت مسودات السياسات، أو معلومات المشتريات، أو الاستراتيجية القانونية، أو الجداول الزمنية، أو شبكات الاتصال قد تمت مراقبتها. يمكن لحملة تجسس استخلاص ميزة دائمة دون تغيير أو تدمير ملف.
الثالثة هي النزاهة الإدارية. دور Orion في مراقبة وإدارة الشبكات يعني أنه كان على العملاء التشكيك في المعلومات المقدمة من أداة تهدف إلى دعم الثقة. يمكن لمستوى التحكم المخترق إخفاء النشاط، أو كشف بيانات الاعتماد، أو جعل المشغلين غير متأكدين من الأنظمة التي يستخدمونها للتحقيق.
الرابعة هي استمرارية الهوية. شرح توجيه NSA في ديسمبر 2020 بشأن آليات المصادقة كيف يمكن أن يؤدي الوصول المحلي المميز إلى مصادقة موحدة مزيفة ووصول سحابي. بمجرد التلاعب بثقة الهوية المحلية، فإن مجرد تنظيف مضيف Orion الأولي لا يستعيد صحة كل جلسة أو رمز مشتق منه.
الخامسة هي استمرارية الأدلة. تحتاج الوكالات إلى سجلات DNS ونقطة النهاية والهوية والسحابة والإدارية المحتجزة لتقرير ما إذا كان التحديث الذي تم تنزيله أصبح منارة أو اختراقًا كاملاً. إذا كانت هذه السجلات قد تجاوزت فترة الاحتفاظ، يجب على القادة العمل في ظل عدم يقين أوسع وقد يحتاجون إلى معالجة أوسع.
السادسة هي الثقة المؤسسية. يطلب المشترون الحكوميون من الموظفين استخدام التكنولوجيا التجارية المشتركة للعمل العام الحساس. يعتمد هذا النموذج على قيام البائعين بتمثيل الممارسات الأمنية بدقة، والإفصاح عن الحوادث بالدقة المناسبة، وتوفير أدلة كافية لدعم الاستجابة. التحديث الموقع الذي يحمل بابًا خلفيًا يضعف الافتراضات الاجتماعية والإدارية التي تعتمد عليها برامج التصحيح.
لم تظهر الحملة أن التحديث التلقائي غير آمن بطبيعته. تأخير التصحيحات الأمنية الحقيقية يمكن أن يكون أكثر خطورة بكثير. أظهرت أن ضمان التحديث يجب أن يشمل بيئة التطوير والبناء الخاصة بالمنتج. إخبار العملاء بالتصحيح بسرعة مع معاملة مصنع البرمجيات كشبكة مؤسسية عادية يخلق تناقضًا: كلما أصبح العملاء أكثر أمانًا في قبول التحديثات، زادت النفوذ الذي يكتسبه المنتج المخترق.
مسؤولية SolarWinds: السيطرة على المصنع
كانت SolarWinds ضحية لعملية دولة متعمدة. كما أنها احتلت موقع السيطرة الذي جعل آلية التوزيع ممكنة.
سيطرت الشركة على الوصول إلى أنظمة تطوير البرمجيات الخاصة بها، وعمال البناء، وتنسيق الإصدار، والتحقق من القطع الأثرية، ومسار التوقيع، وقناة تحديث العملاء. لم يتمكن العملاء من نشر مراقبة نقطة النهاية داخل بناة SolarWinds. لم يتمكنوا من مقارنة القطع الأثرية قبل التوقيع بالمصدر المعتمد للشركة، أو طلب بناء داخلي ثانٍ، أو منع مفتاح توقيع البائع من التصريح بمخرجات مخترقة. كانت تلك ضوابط المنتج.
تتبع المساءلة التشغيلية تلك السيطرة. السؤال ذو الصلة ليس ما إذا كانت أي شركة معقولة يمكن أن تضمن الحصانة من SVR. لا يمكن لأي منتج أن يعد بذلك. السؤال هو ما إذا كانت عملية الإصدار تحتوي على ضوابط مستقلة قادرة على منع بيئة واحدة مخترقة من تغيير منتج موقع بصمت، أو كشف التغيير قبل التوزيع الواسع.
يُظهر الاختبار في أكتوبر 2019 وعملية SUNSPOT اللاحقة أن المهاجم وجد مساحة لتعديل بناء دون خلق تباين يوقف الإصدار. الفترة الطويلة من الوصول الداخلي والفشل في كشف التلاعب بالإنتاج هي وقائع سلبية في تقييم التحكم. تطور الجهة الفاعلة ذو صلة بمستوى المقاومة المطلوب، لكنه ليس إعفاءً. يجب على البائع الذي يحتله منتجه مواقع مميزة في الحكومات والمؤسسات الكبرى أن يتوقع أن يستهدفه جهات فاعلة قادرة وأن يصمم المصنع وفقًا لذلك.
تتضمن المسؤولية أيضًا الاتصال بشأن الحادث. أبلغت SolarWinds العملاء، وعملت مع المحققين، ونشرت معلومات تقنية حول SUNSPOT، وقدمت علاجات، ومولت بعض دعم العملاء. هذه الإجراءات قللت من الضرر وقدمت أدلة صناعية مفيدة بشكل غير عادي. يجب أن تحسب في السجل. المساءلة ليست بحثًا عن علامة واحدة تستحق اللوم بشكل دائم؛ إنها تشمل كلاً من الضوابط التي فشلت وجودة الاستجابة.
كانت إفصاحات الشركة حذرة في عدة نقاط مهمة. لم تنسب SolarWinds الجهة الفاعلة بشكل مستقل قبل النسبة الحكومية. ميزت بين التثبيتات المحتملة والاستغلال اللاحق المؤكد. أقرت بأن الوصول الأولي ظل دون حل. اعترفت إيداعاتها بمخاطر التقاضي والتحقيق والتكلفة والعملاء والسمعة. هذه نقاط قوة مهمة، على الرغم من أن التقاضي التنفيذي اللاحق نازع في جوانب من تمثيلات الشركة الأمنية العامة السابقة.
واجب المنتج لا ينتهي بشحن ثنائي مصحح. احتاجت SolarWinds إلى إثبات أن مسار البناء نفسه قد تغير، وأن سلطة التوقيع لا يمكنها التصديق على قطعة أثرية غير مفسرة، وأن بيانات الاعتماد والوصول الخارجي كانت مقيدة، وأن الأدلة ستبقى لفترة كافية للتحقيق في تطفل صبور. كانت هندسة البناء الثلاثية المزعومة مستجيبة للآلية. يتطلب الضمان الدائم اختبارًا مستقلاً لما إذا كان الفصل يبقى تحت الضغط التشغيلي الحقيقي.
مسؤولية العميل: تقييد المنتج الموثوق
لم يتحكم العملاء في نظام بناء SolarWinds، لكنهم سيطروا على البيئة التي تم تثبيت Orion فيها. تبدأ مسؤوليتهم حيث يدخل المنتج تلك البيئة.
لا ينبغي أن تحصل برمجيات إدارة الشبكة على ثقة غير محدودة لمجرد أن الوصول الواسع مناسب. يمكن للعملاء عزل خوادم الإدارة، وتقييد الوصول إلى الإنترنت الصادر، وفصل حسابات الخدمة، وتقليل الامتيازات الدائمة، وحماية بيانات اعتماد الإدارة، ومراقبة سلوك الشبكة للمنتج، والاحتفاظ بالسجلات خارج النظام الذي تتم مراقبته. لاحظت NCSC أن الخادم المتأثر غير القادر على حل أو الوصول إلى البنية التحتية الخارجية يمكن أن يمنع الباب الخلفي الأولي من التقدم. هذا مثال ملموس على دفاع جانب العميل يحد من فشل منشأ من المزود.
سيطر العملاء أيضًا على ما إذا كانت ثقة الهوية السحابية والمحلية تسمح لمضيف إدارة واحد مخترق بأن يصبح سلطة بيانات اعتماد أوسع. محطات عمل إدارية منفصلة، هوية متدرجة، مصادقة متعددة العوامل مقاومة للتصيد، اتحاد مقيد، مراقبة الرموز، خطط التعافي يمكن أن تقلل من الوصول اللاحق. هذه الضوابط لا يمكن أن تجعل DLL المسلمة غير ضارة، لكنها يمكن أن تغير عواقب تشغيلها.
كان على فرق المشتريات والهندسة المعمارية واجب آخر: تصنيف Orion كتبعية عالية العواقب. أداة ترى طوبولوجيا الشبكة، أو تتعامل مع بيانات اعتماد إدارية، أو تراقب الأصول الهامة يجب تقييمها بشكل مختلف عن أداة مكتبية عادية. يجب على المشترين معرفة أي المنتجات يمكنها تحديث نفسها، وجذور التوقيع التي تثق بها، وأين تنشأ القطع الأثرية للإصدار، ومدى السرعة التي يمكنهم بها عزل المنتج أو استبداله دون فقدان الرؤية التشغيلية.
يجب أن تظل مسؤولية العميل محدودة بالجدوى. في عام 2020، لم يستطع العميل إعادة بناء سلسلة التوريد الخاصة لـ SolarWinds من مثبت موقع. معظم المشترين يفتقرون إلى الحقوق التعاقدية أو الوصول الفني لتدقيق خط الإنتاج. حتى التقسيم الممتاز لن يخبرهم ما إذا كان المكون الموقع يطابق حالة مصدر داخلية معتمدة. تصبح المسؤولية المشتركة مراوغة عندما تعين العميل عنصر تحكم لا يمكنه ممارسته.
الاستنتاج المناسب ليس أن العملاء كانوا عاجزين أو أنهم تسببوا في الاختراق بالثقة في التحديثات. تطبيق تحديثات البائع الموقعة هو سلوك أمني متوقع بشكل عام. العملاء مسؤولون عن تحديد نصف قطر الانفجار لمكون موثوق والحفاظ على الكشف المستقل. SolarWinds مسؤولة عن سلامة المنتج الذي أذنت به ووزعته. هذه المسؤوليات تتداخل في تقليل المخاطر دون أن تصبح قابلة للتبادل.
مسؤولية الحكومة: مشتر، ومنسق، ومالك استمرارية
الحكومة الفيدرالية لم تكن مجرد ضحية. كانت مشترية رئيسية، ومنظمة وواضعة معايير، وحاملة استخبارات، والمشغل المسؤول في النهاية عن المهام العامة.
قبل SolarWinds، كانت إدارة مخاطر سلسلة التوريد الفيدرالية غير مكتملة بالفعل. لاحظت شهادة GAO في مايو 2021 أن أياً من 23 وكالة مدنية تمت مراجعتها لم تطبق بالكامل مجموعة مختارة من الممارسات الأساسية لسلسلة توريد تكنولوجيا المعلومات والاتصالات. التوقيت مهم: لا يمكن للحكومة بشكل معقول وضع العبء بأكمله على البائع بينما تفشل في جرد وتقييم وإدارة البرمجيات الحيوية التي تعتمد عليها الوكالات بشكل مستمر.
سيطرت الوكالات على وضع المنتج، وامتيازات حسابات الخدمة، والخروج من الشبكة، وهندسة الهوية، والتسجيل، ومتطلبات المشتريات، وسعة التعافي. كان التوجيه الطارئ لـ CISA ضروريًا جزئيًا لأن الوكالات المتأثرة كان عليها التصرف بشكل متسق وسريع. يجب أن تعرف خطة الاستمرارية الناضجة بالفعل أين تم تثبيت Orion، وما يمكنه الوصول إليه، وما هي بيانات الاعتماد التي يستخدمها، وما الرؤية التشغيلية التي تختفي عند فصله، وكيفية استبدال تلك الوظيفة مؤقتًا.
كما احتفظت الحكومة بمزايا مجمعة غير متاحة لعميل واحد. يمكن لـ CISA ومكتب التحقيقات الفيدرالي وNSA وODNI وشركاء القطاع الجمع بين المعلومات المصنفة وغير المصنفة، وربط التقارير، ونشر المؤشرات، وتنسيق الإخلاء. وجدت GAO أن مجموعة التنسيق السيبراني الموحدة ساعدت في تنظيم الاستجابة، مع تحديد التحديات التي تنطوي على مشاركة المعلومات ووصول القطاع الخاص. زمن الاستجابة للتنسيق له تكلفة عامة عندما تحاول كل منظمة متأثرة بشكل منفصل تحديد ما إذا كان نفس الملف الموقع خطيرًا.
المشتريات هي إحدى أقوى أدوات الوقاية الحكومية. يمكن للمشترين طلب شهادات التطوير الآمن، وشروط الإخطار بالحوادث، وسلسلة توريد القطع الأثرية، والإفصاح عن الثغرات، والاحتفاظ بالأدلة، والتعاون أثناء الاستجابة، وحقوق الحصول على ضمان مستقل. يمكنهم أيضًا تجنب الامتثال القائم على مربعات الاختيار الذي يسأل عما إذا كان المورد لديه دورة حياة تطوير آمنة دون اختبار ما إذا كان البناء يمكن أن ينحرف عن المصدر الذي تمت مراجعته.
تحرك سجل السياسات بعد الحادث في هذا الاتجاه. يتضمن إطار تطوير البرمجيات الآمنة من NIST ممارسات لحماية بيئات التطوير، والحفاظ على سلسلة التوريد، والتحقق من الإصدارات، والاستجابة للثغرات، ومنع التكرار. تضع إرشادات سلسلة توريد الأمن السيبراني من NIST مخاطر المورد داخل حوكمة المؤسسة بدلاً من تركها لاستبيان المشتريات. تطلبت مذكرة OMB M-22-18 من الوكالات الفيدرالية الحصول على شهادات منتج برمجي مرتبطة بممارسات التطوير الآمن من NIST للبرمجيات المغطاة.
الشهادة مفيدة فقط إذا كانت صادقة ومحددة وقابلة للاختبار. لا يمكن للإعلان الموقع حل نفس المشكلة المعرفية كالثنائي الموقع إذا كانت أدلة الإنتاج الأساسية غير متاحة. يحتاج المشترون ذوو العواقب العالية إلى القدرة على طلب القطع الأثرية، والاستثناءات، والتقييمات المستقلة، والخطط التصحيحية. يمكن أن يزيد الضمان الزائف من المخاطر من خلال تشجيع الثقة السريعة دون توفير طريقة للتحقق من الادعاء.
السجل القانوني لا يقدم حكمًا بسيطًا
تباعدت المساءلة التشغيلية والمسؤولية القانونية بشكل حاد بعد الحادثة.
في أكتوبر 2023، وجهت هيئة الأوراق المالية والبورصات الأمريكية اتهامات لشركة SolarWinds وكبير مسؤولي أمن المعلومات تيموثي براون بالاحتيال وانتهاكات الرقابة. زعمت الدعوى القضائية لهيئة الأوراق المالية والبورصات أن البيانات العامة بالغت في الممارسات الأمنية وقللت من المخاطر المعروفة قبل SUNBURST. كانت تلك المزاعم مهمة، لكن الشكوى هي مرافعة محامٍ، وليست نتيجة واقعية.
في يوليو 2024، أسقطت المحكمة الجزئية الأمريكية للمنطقة الجنوبية من نيويورك معظم دعاوى هيئة الأوراق المالية والبورصات. سمحت المحكمة لدعاوى الاحتيال في الأوراق المالية القائمة على بيان الأمن على موقع الشركة قبل SUNBURST بالمضي قدمًا، ووجدت أن الشكوى المعدلة قدمت بشكل كافٍ ادعاءات مضللة حول ضوابط الوصول وممارسات كلمات المرور. أسقطت الدعاوى القائمة على إفصاحات المخاطر، ونماذج 8-K لديسمبر 2020، والبيانات اللاحقة للحادثة، وضوابط المحاسبة الداخلية، وضوابط الإفصاح. طبق القرار معايير المرافعة وقانون الأوراق المالية. لم تجرِ محاكمة حول السبب الفني لـ SUNBURST أو تعلن أن عملية البناء آمنة.
في 20 نوفمبر 2025، اتفقت هيئة الأوراق المالية والبورصات والمدعى عليهم على الإسقاط مع التحيز. قالت نشرة الدعوى النهائية للهيئة إن القرار كان ممارسة للسلطة التقديرية ولا يعكس بالضرورة موقفها في قضية أخرى. الإسقاط مع التحيز أنهى ذلك الإجراء التنفيذي. يعني أن المزاعم الباقية لم تتحول إلى حكم مسؤولية نهائي.
يدعم هذا التسلسل أربعة استنتاجات منضبطة.
أولاً، لا ينبغي تكرار نظرية هيئة الأوراق المالية والبورصات الأصلية كحقيقة ثابتة. تم رفض العديد من الدعاوى، ولم ينتج أي منها حكم محاكمة.
ثانيًا، لا ينبغي تقديم إسقاط القضية التنفيذية كدليل فني على أن ضوابط بناء SolarWinds استوفت معيارًا كافيًا في 2019 و2020. تعلقت القضية ببيانات معينة، وعناصر، وقوانين، وقواعد مرافعة. يمكن للمحكمة رفض دعوى أوراق مالية بينما يظل فشل التحكم الهندسي موثقًا.
ثالثًا، يظهر ادعاء بيان الموقع الباقي قبل الإسقاط أن التمثيلات الأمنية الطوعية يمكن أن تخلق مخاطر مساءلة عندما تكون واسعة ويصعب التوفيق مع الظروف الداخلية. يجب على البائعين وصف النتائج والنطاق والاستثناءات وأدلة الضمان بدقة بدلاً من الوعد بوضع أمني عام.
رابعًا، عدم اليقين القانوني لا يمنع تحليل القدرة على التحكم. سيطرت SolarWinds على المصنع؛ سيطر العملاء على حدود النشر؛ سيطرت الحكومة على المشتريات العامة والتنسيق؛ سيطر SVR على الحملة المعادية. تحدد العقود والتعويضات والسببية والاختصاص والواجبات القانونية ما إذا كانت تلك الخريطة التشغيلية تصبح علاجًا قانونيًا. لا يدعم أي مصدر مستخدم هنا تخصيص نسبة مئوية من المسؤولية القانونية بين تلك الأطراف.
كشفت الحلقة أيضًا عن توتر في السياسة. قد يؤدي التنفيذ العدواني إلى تحسين الصراحة عندما تقلل الشركات من شأن الحوادث المعروفة. قد يثني أيضًا التوثيق الداخلي أو مشاركة التهديدات الطوعية إذا اعتقد موظفو الأمن أن كل مخاوف أولية سيتم تقديمها لاحقًا كاحتيال. نظام المساءلة الأفضل يكافئ الإفصاح الفوري الموسوم بالثقة بينما يعاقب الادعاءات الكاذبة ماديًا المثبتة وفقًا لمعايير مناسبة. لا ينبغي أن يتطلب الوقاية المثلى كثمن لمعاملته كضحية.
المعالجة يجب أن تغير الأدلة، وليس مخطط الهندسة فقط
أبلغت SolarWinds عن تغييرات واسعة بعد الاكتشاف: مصادقة متعددة العوامل أوسع، وأقل امتياز مشدد، ومراجعة أقوى لتطبيقات الطرف الثالث، ومراقبة معززة، وعمليات بناء معاد تصميمها، وبناة معزولون متعددون، وبيانات اعتماد منفصلة، ومقارنة المخرجات، وتحليل ثابت، وتحليل مفتوح المصدر، واختبار الاختراق، وتتبع الأصول. مشاركتها العامة لتفاصيل SUNSPOT أعطت منتجين آخرين نموذج تهديد ملموس. هذه استجابات ذات صلة ومحددة بالآلية.
أقوى ادعاء علاجي ليس "نبني الآن في ثلاثة أماكن". إنها مجموعة من الأدلة التي تظهر أن تغيير المصدر العابر غير المصرح به لا يمكن أن يصل إلى إصدار موقع دون خلق تباين قابل للكشف. يجب أن تبقى تلك الأدلة عبر تغييرات الموظفين، وضغط المواعيد النهائية، والتصحيحات الطارئة، واستبدال البناء.
حزمة ضمان موثوقة من شأنها الإجابة على الأقل على هذه الأسئلة:
- هل يمكن تتبع كل ثنائي تم إصداره إلى مراجعة مصدر غير قابلة للتغيير، ومجموعة تبعيات، ومترجم وسياسة بناء معتمدة؟
- هل عمال البناء مؤقتون أو مستعادون من حالة موثقة، وهل مستويات التحكم الخاصة بهم معزولة عن هوية الشركة العادية؟
- هل يمكن لبيانات اعتماد واحدة تغيير البناء، وقمع القياس عن بعد، وطلب توقيع إنتاج؟
- هل عمليات البناء المنفصلة مستقلة حقًا، أم أنها تشترك في تبعية خفية يمكن أن تنتج تسوية متطابقة؟
- هل تتحقق خدمة التوقيع من سلسلة التوريد والسياسة، أم أنها ستوقع أي قطعة أثرية يقدمها حساب مصرح به؟
- هل سجلات البناء والتوقيع مكتوبة إلى مخزن مقاوم للعبث ومسؤول بشكل منفصل ومحتفظ به لمدة بقاء متوقعة من جهة دولة؟
- هل يتم استخدام طيور الكناري الاختبارية أو حقن العيوب الخاضعة للتحكم لإثبات أن تغيير البناء غير المصرح به يوقف الإصدار؟
- هل يمكن للبائع إلغاء إصدار، وإخطار العملاء حسب فئة التعرض، وتوفير قطع أثرية نظيفة للتعافي دون تدمير أدلة الطب الشرعي؟
- هل يتلقى العملاء سلسلة توريد قابلة للتحقق أم فقط توقيعًا وتأكيدًا تسويقيًا؟
- هل الاستثناءات مرئية للإدارة والعملاء الذين تتغير مخاطرهم بسببها؟
هذه ليست مطالب بالكشف عن كود المصدر أو أسرار الإنتاج الحساسة لكل مشتر. يمكن للمدققين المستقلين، والمقيمين الحكوميين، وآليات الشفافية الخاضعة للرقابة التحقق من النتائج دون نشر خريطة هجوم. الهدف هو أدلة متناسبة مع امتياز المنتج ومداه النظامي.
يحتاج العملاء إلى دليل تكميلي. يجب أن يكونوا قادرين على إظهار أن Orion أو منصة إدارة مكافئة لا يمكنها الوصول بحرية إلى كل طبقة إدارية؛ وأن حسابات الخدمة محددة النطاق؛ وأن حركة المرور الصادرة مدرجة في القائمة البيضاء حيثما كان ذلك عمليًا؛ وأن سجلات الهوية وDNS تغادر البيئة المدارة؛ وأنه يمكن عزل خادم إدارة مخترق دون فقدان كل الوعي التشغيلي؛ وأن الاتحاد السحابي يمكن إعادة بنائه من سلطة معروفة النظافة.
يجب على المشترين الحكوميين اختبار الاستمرارية، وليس فقط تلقي الأوراق. يمكن لتمرين الطاولة أن يطلب من وكالة فصل منصة إدارة الشبكة في غضون ساعات، وتعداد بيانات الاعتماد المرتبطة، والحفاظ على الأدلة، واستعادة الرؤية بأداة بديلة، وتنسيق إعادة تعيين الهوية. الفشل في هذا التمرين يحدد الخطر العام قبل وصول توجيه حقيقي.
توزيع عملي للمساءلة
تصبح الحادثة أكثر وضوحًا عندما تُسند المسؤولية حسب قدرة التحكم بدلاً من القرب من العنوان الرئيسي.
وفقًا للنسبة الأمريكية والحلفاء، خطط ونفذ جهاز الاستخبارات الخارجية الروسي حملة التجسس. اختار اختراق مورد، وهندس SUNSPOT وSUNBURST، واختار أهدافًا نهائية، واستخدم الوصول المسروق. ذنبه أولي ومتعمد.
سيطرت SolarWinds على ما إذا كانت بنية الوصول الداخلية لديها قد حدت من الجهة الفاعلة، وما إذا كان مخرجات البناء يجب أن تتوافق مع المصدر المعتمد، وما إذا كانت عمليات البناء والتوقيع تحت إشراف مستقل، وما إذا كان سلوك الإصدار الشاذ ينتج تنبيهًا، وما إذا كان العملاء يتلقون أدلة دقيقة وفي الوقت المناسب. كما سيطرت الشركة على أجزاء مهمة من المعالجة والإفصاح. وضعها كضحية لا يزيل هذه المسؤوليات؛ شفافيتها اللاحقة لا تمحو الفشل الأصلي، لكنها يمكن أن تقلل الضرر المستقبلي.
سيطر العملاء على وضع المنتج، والامتياز، ومسارات الشبكة، والاحتفاظ بالسجلات، وتصعيد الحوادث، واستعادة الهوية. المنظمة التي أعطت Orion وصولاً إداريًا غير مقيد مع مراقبة خارجية ضعيفة تحملت عواقب أكثر من تلك التي عزلت المنصة. هذا الاختلاف يؤثر على إمكانية المنع والأضرار على الرغم من أن أيًا من العميلين لم يتسبب في الإصدار الخبيث.
سيطر مزودو الخدمات السحابية والهوية على القياس عن بعد عبر المستأجرين وآليات اكتشاف أو إبطال المصادقة المزيفة أو المسيئة. حول الوصول اللاحق إلى السحابة حادثة سلسلة توريد برمجيات إلى حادثة هوية أوسع. كان تعاون المزود وسجلاته جزءًا من استعادة الثقة.
سيطر قادة الوكالات الفيدرالية على استمرارية المهمة، والمخزونات، وشروط المشتريات، وتنفيذ ممارسات سلسلة التوريد على مستوى الحكومة. سيطرت CISA والوكالات الشريكة على التنبيهات المنسقة، والتوجيهات، والأدوات، والفهم المشترك للحادث. سيطر الكونغرس والجهات التنظيمية على الرقابة والحوافز، مع مراعاة حدود سلطتهم القانونية.
يتحكم المسؤولون التنفيذيون ومجالس الإدارة في منتجي البرمجيات في الموارد والحوافز التي تحدد ما إذا كان أمن البناء متطلبًا للمنتج أم مشروعًا داخليًا بأفضل جهد. خط أنابيب البناء للبرمجيات ذات الوصول الإداري هو جزء من حدود سلامة المنتج. يجب أن تحكم قرارات الاستثمار فيه مثل القرارات المتعلقة بالكود المشحون.
مسؤولية أي طرف لا تلغي مسؤولية الآخر. "كان يجب على العميل تقسيم Orion" لا يجيب على سبب توقيع قطعة أثرية غير مصرح بها. "كان يجب على SolarWinds حماية البناء" لا يجيب على سبب تمكن خادم إدارة من الوصول إلى أعلى هويات العميل قيمة. "كان SVR متطورًا" لا يجيب على ما إذا كان التحقق المستقل من البناء موجودًا. حساب ناضج يسمح بأن تكون جميع العبارات الثلاثة صحيحة ولا يزال يسأل ما يجب على كل طرف إثباته الآن.
الدرس الدائم: التوقيعات تحتاج إلى سلسلة من حقيقة الإنتاج
غيرت تسوية SolarWinds سياسة سلسلة توريد البرمجيات لأنها استغلت عادة كانت مرغوبة بخلاف ذلك: الحصول على التحديثات من البائع، والتحقق من التوقيع، وتطبيقها على الفور. لم يجعل الحدث تلك العادة غير عقلانية. أظهر أن ثقة العميل تجاوزت الأدلة التي كشفتها عملية الإنتاج.
النموذج التصحيحي هو سلسلة من حقيقة الإنتاج. يجب أن يؤدي المصدر المعتمد إلى طلب بناء محدد. يجب أن يعمل الطلب في بيئة مقواة وقابلة للمراقبة. يجب تثبيت التبعيات والأدوات وتسجيلها. يجب مقارنة القطعة الأثرية الناتجة بتوقع مستقل. يجب أن يحدث التوقيع فقط بعد فحوصات السياسة وسلسلة التوريد. يجب أن يحافظ التوزيع على القطعة الأثرية. يجب أن يكون العملاء قادرين على التحقق من أكثر من مجرد حيازة مفتاح التوقيع. يجب أن تجعل السجلات كل حلقة قابلة للتحقيق بعد فترة بقاء طويلة.
هذا النموذج يحسن أيضًا الاستمرارية العامة. عندما يتم التشكيك في إصدار، يمكن للوكالات تحديد القطعة الأثرية التي شغلت، وأي مصدر وباني أنتجها، وما الامتيازات التي كانت لديها، وما اتصلت به، وأي هويات يجب استعادتها. يضيق عدم اليقين. تصبح الاستجابة مستهدفة بدلاً من عشوائية. تقضي الخدمات الأساسية وقتًا أقل في إعادة بناء الأنظمة التي يمكن إثبات نظافتها ووقتًا أطول في تلك التي لا يمكن.
لا ينبغي تذكر SolarWinds فقط كشركة تم اختراقها أو كرمز يستخدم للمطالبة بمسؤولية غير محدودة للبائع. الدرس الأكثر فائدة هو مؤسسي. يمكن لمنتج برمجي أن يصبح بنية تحتية لعملائه حتى عندما يبيع منتجًا محليًا. يمكن لنظام البناء الخاص به أن يصبح حد ثقة عام حتى عندما لا يراه العملاء. ويمكن أن يكون التوقيع المشفر صحيحًا تمامًا بينما الادعاء التنظيمي الذي يعلقه الأشخاص عليه خاطئ.
يجب أن يتبع معيار المساءلة من هذه الحقيقة. المهاجم مسؤول عن التطفل. البائع مسؤول عن جعل مسار الإصدار مقاومًا، وقابلاً للمراقبة، وموصوفًا بأمانة. العميل مسؤول عن احتواء المنتج والحفاظ على أدلة مستقلة. الحكومة مسؤولة عن الشراء مع رؤية هذه التبعيات وعن الحفاظ على المهام العامة عندما تنهار الثقة. عبرت حملة Orion لعام 2020 جميع المجالات الأربعة. يجب أن تفعل المعالجة الدائمة الشيء نفسه.