Zusammenfassung

  • Der bestätigte Auslöser war die öffentliche Offenlegung von SUNBURST im Dezember 2020, nachdem bösartiger Code bereits über den vertrauenswürdigen Orion-Update-Kanal von SolarWinds gelangt war. Das tiefere Problem der Rechenschaftspflicht ist die Verzögerung zwischen der Kompromittierung des Builds, der Gefährdung der Kunden, der externen Entdeckung, der öffentlichen Offenlegung, den Notmaßnahmen der Regierung und späteren Beweisen, dass der Veröffentlichungspfad schwerer stillschweigend zu unterwandern war.
  • Die öffentliche Dokumentation belegt eine Kompromittierung der Build-Umgebung und die signierte Verteilung betroffener Orion-Versionen, jedoch nicht die Feststellung, dass jeder Kunde, der ein betroffenes Paket erhielt, einer Folgeausbeutung ausgesetzt war. Zahlen wie weniger als 18.000 potenzielle Installationen, neun betroffene US-Bundesbehörden und weniger als 100 Nichtregierungsorganisationen mit Folgeausbeutung beschreiben unterschiedliche Nenner.
  • SolarWinds kontrollierte den Produktions- und Signierungspfad, die Herkunft der Veröffentlichungen, die Build-Überwachung und die erste Benachrichtigung der Kunden. Kunden kontrollierten die Segmentierung, Orion-Berechtigungen, Protokollierung, unabhängige Überwachung und die Wiederherstellung der Cloud-Identität. CISA und andere Behörden kontrollierten die Notfallkoordination, verbindliche Maßnahmen des Bundes und das Lernen nach dem Vorfall. Investoren und Offenlegungssysteme waren auf begrenzte, zeitnahe Aussagen angewiesen, nicht auf perfekte technische Gewissheit.
  • Ein verteidigungsfähiger Reparaturnachweis ist keine Liste von Tools, die nach dem Vorfall installiert wurden. Es ist der Beleg, dass ein Angreifer, der einen Build-Worker, die Signierungspipeline oder ein Release-Artefakt modifiziert, nun auf unabhängige Vergleiche, dauerhafte Protokolle, getrennte Anmeldeinformationen, kundensichtbare Warnhinweise und bundesstaatlichen Beschaffungsdruck stoßen würde, die den nächsten Erkennungspfad verkürzen.

Erkennungsverzögerung ist die Kontrolloberfläche

Der SolarWinds-Vorfall wird oft auf einen Satz komprimiert: ein vergiftetes Update. Dieser Satz ist genau genug, um den Liefermechanismus zu identifizieren, aber er verbirgt die wichtigste Zeitfrage. Der feindliche Code wurde nicht entdeckt, als der Build-Prozess zum ersten Mal unsicher wurde. Er wurde nicht entdeckt, als die Angreifer die Build-Manipulation testeten. Er wurde nicht entdeckt, als betroffene Versionen ausgeliefert wurden. Er wurde erst öffentlich bekannt gegeben, nachdem FireEye seinen eigenen Einbruch untersuchte und im Dezember 2020 seinen technischen Bericht über SUNBURST veröffentlichte.

Der Rand der Rechenschaftspflicht ist daher das Intervall, in dem der Produktionsprozess des Lieferanten, die Umgebungen der Kunden und die bundesstaatlichen Erkennungssysteme es versäumten, das vertrauenswürdige Update sichtbar unzuverlässig zu machen.

Das bedeutet nicht, dass SolarWinds allein für jede Stunde Verzögerung verantwortlich war. Der russische SVR, wie später von US-Behörden in der gemeinsamen CISA-, NSA- und FBI-Warnung bewertet, entwarf absichtlich eine Spionageoperation, um still zu bleiben. SUNBURST verzögerte die Ausführung, vermied Analysebedingungen, verschmolz mit dem Orion-Verhalten und wählte nur einige Opfer für Folgezugriff aus. Ein geduldiger Nachrichtendienst ist für Täuschung verantwortlich.

Aber Täuschung löscht nicht die Kontrollpflichten des Softwareherstellers, der Kunden, die ein privilegiertes Netzwerkverwaltungsprodukt installierten, oder der öffentlichen Stellen, die auf kommerziellen Code für die Kontinuität der Regierung angewiesen waren.

Die verantwortungsbezogene Frage ist praktisch: Wer hätte das Intervall verkürzen können? SolarWinds hätte Build-Artefakte mit genehmigten Quellzuständen vergleichen, die Signierung von Build-Workern isolieren, temporäre Dateisubstitutionen überwachen, wertvolle Protokolle aufbewahren und Kunden nach Bekanntwerden des Problems präzise Gefährdungskategorien geben können. Kunden hätten den ausgehenden Zugriff von Orion einschränken, DNS- und Identitätsprotokolle außerhalb der Verwaltungsebene halten und Orion als Abhängigkeit mit hohen Konsequenzen behandeln können, statt als gewöhnliches Überwachungstool.

Bundesbehörden und CISA könnten schnelle Isolierung fordern, Indikatoren teilen und einzelne Entdeckungen in systemweite Maßnahmen umwandeln. Investoren und Offenlegungssysteme könnten Aussagen verlangen, die bestätigte Fakten von Schätzungen und ungelösten Fragen unterscheiden.

Die Verzögerung ändert auch, wie Reparatur gemessen werden sollte. Ein Patch, der SUNBURST entfernt, schließt ein bekanntes Artefakt. Er beweist nicht, dass die Softwarefabrik die nächste Build-Zeitsubstitution erkennen würde. Eine Pressemitteilung gibt Beruhigung. Sie beweist nicht, dass die Herkunft der Veröffentlichung unabhängig geprüft wird. Ein eingestellter Durchsetzungsfall beendet einen Rechtsstreit. Er zertifiziert nicht die technische Stärke der Build-Pipeline.

Die fehlende Kante der Lieferketten-Rechenschaftspflicht ist der Erkennungsnachweis: der Beleg, dass die nächste Kompromittierung von der am besten positionierten Partei früher gesehen würde.

...