SolarWinds、検知の遅れがサプライチェーンの説明責任の欠けた部分に

要約

• 確定された引き金は、悪意のあるコードがすでに SolarWinds の信頼された Orion アップデートチャネルを通過した後、2020年12月に SUNBURST が公開されたことである。より深い説明責任の問題は、ビルドの侵害、顧客への露出、外部による発見、一般への開示、緊急の政府行動、そしてリリース経路が密かに妨害されにくくなったという後の証拠との間の遅延である。
• 公開記録は、ビルド環境の侵害と影響を受けた Orion リリースの署名配布を支持しているが、影響を受けたパッケージを受け取ったすべての顧客が追跡調査の悪用を受けたという結論には至っていない。18,000未満の潜在的なインストール、影響を受けた9つの米国連邦機関、および100未満の非政府組織が追跡調査の悪用を受けたという数字は、異なる分母を示している。
• SolarWinds は、製造および署名パス、リリースの出所、ビルドの監視、および最初の顧客通知を管理した。顧客は、セグメンテーション、Orion の特権、ロギング、独立した監視、およびクラウドアイデンティティの回復を管理した。CISA およびその他の機関は、緊急調整、強制的な連邦行動、およびインシデント後の学習を管理した。投資家や開示システムは、完全な技術的確実性ではなく、境界のあるタイムリーな声明に依存していた。
• 防御可能な修復記録は、インシデント後にインストールされたツールのリストではない。それは、ビルドワーカー、署名パイプライン、またはリリースアーティファクトを変更する攻撃者が、独立した比較、耐久性のあるログ、分離された資格情報、顧客から見える勧告、および次回の検出経路を短縮する連邦調達圧力に直面するという証拠である。

検知遅延はコントロールサーフェスである

SolarWinds のインシデントは、しばしば「毒されたアップデート」という一言に圧縮される。その言葉は配送メカニズムを特定するには正確だが、最も重要な時間の問題を隠している。敵対的なコードは、ビルドプロセスが最初に安全でなくなったときに発見されたわけではない。攻撃者がビルド操作をテストしたときに発見されたわけでもない。影響を受けたリリースが出荷されたときに発見されたわけでもない。それは、FireEye が自社の侵入を調査し、2020年12月にSUNBURST に関する技術レポートを公開した後にのみ、公に露出した。したがって、説明責任の限界は、サプライヤーの製造プロセス、顧客環境、連邦検知システムが信頼されたアップデートを明白に信頼できないものにすることに失敗した期間である。

それは、SolarWinds だけが遅延のすべての時間を引き起こしたという意味ではない。ロシアの SVR（後に米国当局がCISA、NSA、FBI の共同勧告で評価したように）は、静かに行動するように巧妙に設計されたスパイ活動を行った。SUNBURST は実行を遅らせ、分析条件を回避し、Orion の動作に溶け込み、追跡アクセスのために一部の犠牲者のみを選択した。忍耐強い諜報機関は欺瞞に責任がある。しかし、欺瞞はソフトウェア製造者、特権的なネットワーク管理製品をインストールした顧客、または政府の継続性のために商用コードに依存した公的機関が保持する管理義務を消し去るものではない。

説明責任のある質問は実用的である：誰がその期間を短くできたのか？SolarWinds は、ビルドアーティファクトを承認されたソース状態と比較し、署名をビルドワーカーから分離し、一時的なファイル置換を監視し、高価値のログを保持し、問題が判明した後に顧客に正確な露出カテゴリを提供することができた。顧客は、Orion のアウトバウンドアクセスを制限し、DNS とアイデンティティのログを管理プレーン外に保持し、Orion を通常の監視ユーティリティではなく高い影響を持つ依存関係として扱うことができた。連邦機関と CISA は、迅速な隔離を要求し、指標を共有し、個々の発見を全体的な行動に変換することができる。投資家と開示システムは、確認された事実と推定および未解決の質問を区別する声明を要求できる。

遅延はまた、修復の測定方法を変える。SUNBURST を除去するパッチは、1つの既知のアーティファクトを閉じる。それは、ソフトウェア工場が次のビルド時の置換を検出することを証明しない。プレスリリースは安心感を与える。それは、リリースの出所が独立してチェックされることを証明しない。却下された執行訴訟は、1つの法的紛争を終わらせる。それは、ビルドパイプラインの技術的な強度を証明しない。サプライチェーン説明責任の欠けた部分は、検出の証明である。次の侵害が、それを見るのに最も適した立場にある者によってより早く見られるという証拠である。

公開タイムラインは公の知識よりも前に始まる

最も有用なタイムラインは、敵対的プロセスが能力を持つようになったときから始まり、一般が初めて SUNBURST という名前を聞いたときからではない。SolarWinds の2021年1月の調査更新によると、攻撃者は2019年10月にテスト変更を実行し、SUNBURST の注入は2020年2月に始まり、悪意のあるコードは2020年6月にビルド環境から削除された。SolarWinds の後の2021年5月の調査更新では、正確な初期アクセス方法を特定できなかったが、運用バックドアに先立つアクセスと偵察の証拠を発見したと述べている。

そのシーケンスは、リリースプロセスに少なくとも3つの見逃された可視性ポイントがあったことを意味する。最初は、開発または企業システムへの不正アクセス。2番目は、2019年10月のビルド操作テスト。3番目は、2020年2月から6月の期間で、悪意のあるコードが Orion ビルドに導入され、その後 SolarWinds 署名ソフトウェアとして配布された。各ポイントには異なる制御ファミリーが関与していた。アイデンティティとエンドポイントの制御は、初期侵入を検出できた可能性がある。ビルド整合性制御は、一時的なソース置換を検出できた。リリースと顧客テレメトリは、配布後の異常なアーティファクト動作を検出できた。公開記録は、これらの制御のいずれもが顧客露出前に作動を停止させたことを示していない。

CrowdStrike のSUNSPOT 技術分析は、2番目のポイントを特に重要にしている。SUNSPOT はビルドプロセスを監視し、Orion ソリューションを認識し、コンパイル中にソースファイルを一時的に置き換え、ビルド後に元のファイルを復元した。これは、レビューで捕まるのを待っている通常のソースコードコミットではなかった。それは、承認されたコードベースと生成されたアーティファクトの間のギャップに対する攻撃であった。リリースシステムがアーティファクトが承認されたソースから来たことを独立して証明しなければ、攻撃者はコードレビューを成功させつつ、コンパイルされた出力を変更できる。

2020年12月の開示間隔も同様に重要である。SolarWinds の2020年12月14日のフォーム8-Kは、18,000未満の顧客が影響を受けるリリースをインストールした可能性があると推定し、会社の顧客通知と是正措置を説明した。CISA は、問題が公になってすぐに、最初のアクティブエクスプロイテーションアラートと連邦緊急指示を発行した。発見後の迅速な対応は現実であった。それは、FireEye の発見が問題を公の視野に押し出す前に、何ヶ月もの検出されない露出とは別に分析されなければならない。

後の法的記録は、別の時間層を追加する。SEC は2023年に申し立てを行い、その訴訟リリースに要約され、ニューヨーク南部地区連邦地方裁判所は2024年の意見と命令でそれらの申し立てを絞り込んだ。2025年11月、SEC は残りの訴訟を棄却し、訴訟リリース第26423号に記録されている。この法的進行は、ビルドセキュリティ監査ではない。それは、開示責任、証券訴訟、運用上の説明責任が異なる証明基準を持つことを示している。

根本原因、引き金、寄与条件は別物である

公的な行動の引き金は、2020年12月の開示であった。根本的な説明責任の問題はそれ以前にあった。信頼されたビルドおよびリリースプロセスが、配布前に変更が検出されずに変更される可能性があった。寄与条件には、特権的な製品、洗練されたアクター、長期間のアクセス、署名付きアップデートに対する顧客の信頼、ビルドの出所への不十分な可視性、および製造者のプライベート工場を観察する顧客の限られた能力が含まれる。これらのカテゴリを分離しておくことは、誇張と回避の両方を防ぐ。

敵対的アクターの責任は直接的である。その作戦は悪意があり、欺瞞的で、スパイ活動を目的としていた。米国政府による SVR への帰属は、地政学的な文脈を提供する。それは、サプライヤーのビルド制御が、Orion の連邦および企業ネットワークにおける役割の結果に比例していたかどうかには答えない。特権的な管理ソフトウェアの製造者は、国家アクターを予見不可能なカテゴリとして扱うことはできない。すべての作戦を打ち負かすことはできなくても、1つの侵害されたワークステーションやビルドワーカーが静かに署名済みリリースにならないように製造経路を設計することはできる。

SolarWinds の責任は、意図的な害を主張するものではなく、後の訴訟におけるすべての主張が真実であるというものでもない。確認された運用上の事実はより狭く、依然として深刻である。影響を受けた Orion リリースは、正当なチャネルを通じて製造され署名された。SolarWinds の2020年フォーム10-Kは、影響を受けるリリース、潜在的な顧客数、コスト、および進行中の調査を説明した。同社はまた、有用な技術情報と修復の主張を公開した。これらの行動は対応記録にカウントされる。不利な制御の事実は、顧客が配布後、そして事前ではなく、侵害されたアップデートを知ったことである。

顧客の責任は、Orion がネットワークに入ったところから始まる。Orion は装飾的なアプリケーションではなかった。それはインフラを監視し、有用な資格情報を保持することが多く、ルーター、サーバー、アイデンティティシステム、クラウド管理パスに近接して配置される可能性があった。顧客は、Orion サーバーをセグメント化し、アウトバウンド通信を制限し、サービスアカウントの最小特権を enforced し、監視対象外のシステムにログを保持し、異常な DNS や HTTP の動作を監視することができた。これらの対策は、SolarWinds のビルドがクリーンであることを証明できなかったが、署名されたインプラントが広範なアイデンティティ侵害になる可能性を減らすことができた。

連邦の責任はまた異なる。CISA はインシデント前に SolarWinds のビルドワーカーを検査できなかった。しかし、侵害が可視化されると、連邦機関は不完全な技術的信号を強制的な行動に変換しなければならなかった。CISA の緊急措置と後の退去ガイダンスは、DLL を置き換えるだけでは不十分であり、フォローアップアクセスが Active Directory や Microsoft 365に関与する可能性があることを認識していた。連邦の役割は、隔離を強制し、証拠を調整し、通常のパッチ思考が不十分であることを機関に伝えることで、公共部門の継続性を維持することであった。

署名付きアップデートは、起源を認証したが、無害を認証しなかった

攻撃が部分的に成功したのは、有効な署名がその技術的範囲を超えた社会的意味を持つからである。署名は、アーティファクトが署名権限の保持者によって署名され、署名後に変更されていないことを示す。それ自体では、アーティファクトがレビューされたソースから生成されたこと、ビルドワーカーがクリーンであったこと、依存関係が承認されていたこと、署名が適用される前に悪意のある置換が発生しなかったことを証明しない。SolarWinds では、署名は侵害されたアーティファクトへの信頼を提供するのに役立った。なぜなら侵害は署名の上流で発生したからである。

その区別は、顧客と調達チームにとって重要である。正しい教訓は、署名が無価値であるということではない。署名なしのアップデートは、顧客が偽のダウンロードや転送中の改ざんに直面するため、さらに悪い。教訓は、署名が出所によって支えられなければならないということである。リリースシステムは、どのソースリビジョン、依存関係セット、ビルダー、テスト結果、ポリシー承認、署名決定がアーティファクトを生成したかを識別できなければならない。ビルド出力が独立して繰り返されたビルドや承認されたソース状態と異なる場合、差が説明されるまで署名は停止されるべきである。

インシデント後に公開された NIST のセキュアソフトウェア開発フレームワーク、SP 800-218は、責任を遡及的に証明するものではなく、制御の語彙として有用である。それは、セキュアな開発環境、ソースとビルドの整合性、出所、脆弱性対応を強調している。NIST のサイバーサプライチェーンリスクマネジメントガイダンス、SP 800-161 Rev. 1も、サプライチェーンリスクをライフサイクルガバナンスの問題として捉えている。SolarWinds からの公開教訓は、これらの概念に適合する。リリースアーティファクトは、署名される単なるパッケージではなく、検証されるべき証拠として扱われなければならない。

2019年10月のテスト変更は、リリースエンジニアリングを悩ませる警告である。検出されずにテストのために変更できる製造プロセスは、後で運用ペイロードのために変更される可能性がある。成熟したシステムでは、テストは不一致、アラート、失敗した再現性比較、予期しないビルドワーカーファイルイベント、または署名保留を生成するはずであった。代わりに、攻撃者に対して経路が実行可能であることを実証したように見える。それが工場内での検知遅延の実用的な定義である。

顧客もまた、尋ねることを調整する必要がある。ソフトウェアが署名されているかどうかを尋ねるセキュリティアンケートは、決定的な問題を見逃す可能性がある。より良い質問は、ビルドが分離されているか、アーティファクトが独立してチェックされているか、署名権限がビルダーから分離されているか、ログが侵害に耐えられるか、リリースシステムが悪意のあるビルドシナリオでテストされているか、製造者が後にリリースが影響を受けたことを知った場合に顧客が露出カテゴリを受け取るかどうかを尋ねる。調達はすべてを見ることはできないが、買い手が運用できない制御の証拠を要求することはできる。

分母問題が開示を形成した

「18,000」という数字は、その意味が維持された場合にのみ有用である。SolarWinds は、18,000未満の顧客が影響を受けるリリースをインストールした可能性があると推定した。これは、フォローアップ活動のために選択された顧客の数、クラウドアイデンティティが悪用された顧客の数、または確認されたデータ露出を被った顧客の数と同じではない。FBI の2021年3月の上院証言（司法省を通じてこの公聴記録で利用可能）は、異なるカテゴリを使用した。16,000以上の影響を受けた公共および民間顧客、フォローアップ侵害を受けた9つの連邦機関、およびそのフォローアップカテゴリに該当する100未満の非政府エンティティ。

その区別は、イベントを最小化しようとする試みではない。何千もの組織に配信された潜在的な管理用足場は、攻撃者が選択的に行使する場合でも、システム全体の露出である。それは、より正確になる理由である。影響を受けるインストーラをダウンロードした顧客、それをインストールした顧客、サーバーがビーコンを発信した顧客、アイデンティティがフォローアップアクセスに使用された顧客は、異なる回復義務に直面する。ある者は更新してログをレビューする必要がある。別の者は Orion サーバーを再構築する必要がある。さらに別の者は完全なアイデンティティ回復、トークン無効化、クラウドフォレンジックを必要とする。

開示の品質はこれらのカテゴリに依存する。単一の公開数字は、あまりにも広く警報を発するか、あまりにも狭く安心させる可能性がある。SolarWinds は不確実性の下で、すべてのオンプレミスインストールに直接アクセスすることなく発言しなければならなかった。顧客はローカルの DNS、エンドポイント、アイデンティティ、クラウドログを保持していた。クラウドプロバイダはいくつかのクロスカスタマーの行動証拠を保持していた。政府機関は機密または機微な対応詳細を保持していた。最初の公開日に完全な分母を持っていた当事者はいなかった。したがって、控えめな開示は、何が知られているか、何が推定されているか、顧客がどの証拠をチェックすべきか、次の更新がいつ到着するかを述べるべきである。

司法省の2021年1月の声明は、境界のある機関コミュニケーションの有用な例である。DOJ は、悪意のある活動が同省の Microsoft 365メール環境に到達し、約3%のメールボックスが潜在的アクセスされた可能性があり、機密システムが影響を受けた兆候はないと述べた。声明は、すべての機関が同じ影響を及ぼしたことを示唆せず、機密システム証拠の欠如を無害の主張に変換しなかった。信頼が損なわれたが事実が不均一なままである場合、そのような境界は不可欠である。

投資家にとって、同じ分母問題は証券開示リスクになる。攻撃下の企業は、確実性を過大評価するか、重大性を隠すことによって誤る可能性がある。裁判所記録は後に公的声明と主張のカテゴリを区別し、SEC の棄却は執行措置を終了させたが、すべての技術的質問を法的な発見に変えることはなかった。運用上の説明責任は、最終的な証券法の回答を待つべきではない。リリースと通知プロセスは、次回にどのように露出をより速く分類するかを示す必要がある。

検出は分散されていたが、平等ではなかった

もっとも魅力的だが誤った結論の一つは、すべての当事者がある程度の可視性を持っていたため、すべての当事者が同等の責任を共有したというものである。SolarWinds、顧客、クラウドプロバイダ、インシデント対応者、政府機関はすべて象の異なる部分を見ていた。それらの制御位置は平等ではなかった。説明責任は、各当事者がイベント前に実際に運用できた制御に従う。

SolarWinds は、配布前のビルド環境に対して最も強い視点を持っていた。コンパイル中にどのプロセスがソースファイルに触れたか、ビルドワーカーが予期せず状態を変更したか、アーティファクトが承認された入力と一致したか、署名キーが独立したチェック後にのみ使用されたか、製造ログが攻撃者が痕跡を隠す可能性のある期間を超えて持続したかを監視できた。顧客はそれらの制御を運用できなかった。彼らは結果のリリースを信頼するかどうかを決定することしかできず、ほとんどはプライベートなビルドパイプラインを再作成する実用的な方法を持っていなかった。

顧客は、インストール後のローカル動作に対して最も強い視点を持っていた。Orion が異常なドメインに連絡したか、サービスアカウントが予期しない方法で使用されたか、管理ホストがクラウドアイデンティティアクションを開始したか、ログが横方向の移動を示したかを確認できた。NSA の2020年12月の認証メカニズムの悪用に関する勧告は、オンプレミスの特権アクセスがクラウドリソースにとってなぜ重要かを説明した。SolarWinds はすべての顧客のアイデンティティテナントを直接検査できず、政府機関はすべての企業のログを保存できなかった。

CISA と連邦調整機関は、侵害が公開された後、システム全体の緊急権限を最も強く持っていた。CISA は、対象機関に影響を受ける Orion 製品を切断するよう要求し、技術ガイダンスを公開できた。政府監査院(GAO)の2022年の連邦対応のレビューは、実質的な調整を認めたが、情報へのアクセス、対応ポリシー、サプライチェーンリスクに関する教訓も見出した。GAO の別の機関のサプライチェーン慣行に関する証言は、多くの民生機関が依然として基本的な実践を完全に実装していないことを示した。これらの発見は、機関が SUNBURST の原因であることを意味するものではないが、公共部門の準備態勢が外部発見から調整された緩和までの時間に影響することを示している。

インシデント対応者は、独特の橋渡しの役割を果たした。FireEye は、自社の侵害を調査し、技術的証拠を共有したため、このキャンペーンを公に見えるようにした。Mandiant のフォローアップ分析は、ある組織の発見をグローバルな検出ロジックに変えた。これはエコシステムの強みであるが、不快な事実でもある。決定的な公開シグナルは、影響を受けた顧客と対応者から来たのであり、元のソフトウェア工場や連邦境界プログラムからではない。次の説明責任記録は、サプライヤーと政府の検出が、一社の顧客が幸運で、熟練し、透明でなければならない前に、そのような侵害をどのように捕捉できるかを問うべきである。

公共部門の継続性には、稼働時間だけでなく信頼も含まれていた

SolarWinds は国家規模の停電を引き起こさなかった。機関と企業は引き続き運営された。これにより、公共部門の影響は、公共機能の性質が述べられるまで、停電よりも深刻でないように見える可能性がある。政府の継続性には、機密性、アイデンティティ、証拠の整合性が信頼できるシステムを通じて業務を行う能力が含まれる。システムは利用可能でありながら、その使用が戦略的に危険にさらされる可能性がある。

この侵害は、少なくとも5つの方法で連邦の継続性に影響を与えた。第一に、機関は運用の可視性を失うことなく管理システムを隔離または再構築しなければならなかった。第二に、非機密のメール、ポリシー、調達、法務、運用資料が観察されたかどうかを判断しなければならなかった。第三に、フェデレーション認証が悪用された可能性がある場合、アイデンティティの信頼を再確立しなければならなかった。第四に、露出が影響を受けるバイナリを超えて移動したかどうかを知るために保存されたログが必要であった。第五に、機密の対応詳細を開示することなく、従業員、監督者、一般に限定された事実を説明しなければならなかった。

CISA の緊急行動、CISA の後のガイダンス、DOJ の限定された声明、GAO のレビューは、機密の侵害が継続性イベントになる方法を示している。一般は、イベントが重要であることを知るためにすべての調査詳細を見る必要はなかった。また、政府は、影響を受ける製品を削除するよう機関に命じる前に、すべてのフォローアップ行動の証明を必要としなかった。特権的な管理プレーンが疑わしい場合、遅延は一時的な運用不便よりも危険である可能性がある。

継続性の教訓は、非政府の顧客にも適用される。企業は可視性と管理のために Orion に依存していた。それを切断すると、一部の監視が失われた。そのままにしておくと、敵対的な足場を維持するリスクがあった。このトレードオフは、信頼の失敗によって生成された継続性問題である。それは、火災警報システムが侵害された疑いがあるときに、安全を維持しながら通常安全をサポートするツールを交換しなければならないというジレンマに似ている。

したがって、公共部門の調達は、高い影響を持つソフトウェアのサプライヤーに対して2種類の証拠を要求すべきである。第一は予防的証拠：セキュアなビルド制御、出所、脆弱性受付、独立テスト、リリース整合性の慣行。第二は緊急証拠：サプライヤーが影響を受けるバージョンを特定し、露出状態で顧客を分類し、指標を公開し、隔離を支援し、法的および技術的に正確な更新を提供できる速さ。完全な予防は利用できないため、第二のセットが重要である。危機時のサプライヤーの価値は、部分的にその証拠の速さと明確さである。

開示法と運用上の義務は統合されるべきではない

SolarWinds の執行記録は、サイバーセキュリティガバナンスに関する代理議論になっている。それは理解できるが、カテゴリをぼやけさせる可能性がある。証券法の開示義務は、投資家への声明が法的基準の下で実質的に誤解を招くものであったかどうかを尋ねる。運用上の説明責任は、どの制御が失敗したか、誰がそれらを改善する能力を持っていたか、どの証拠が耐久性のある修復を示すかを尋ねる。これらの質問は重なるが、同じ証明の敷居や救済策を共有しない。

SEC の2023年の訴訟は、誤解を招く声明と内部統制の失敗を主張した。2024年の裁判所命令は、ほとんどの申し立てを却下し、より狭い部分がその段階で進行することを許可した。2025年の棄却は訴訟を終了させた。責任ある記事は、SEC の訴状を確立された事実として扱うことも、棄却を技術的な認定として扱うべきでもない。法的記録は説明責任環境の一部である。なぜならそれは公開企業の開示インセンティブを形成したからであるが、エンジニアリングの問い、すなわちビルド整合性制御が2019年と2020年に十分に強力であったかどうかを決定するものではない。

したがって、運用上の報告は2つのエラーを避けるべきである。第一のエラーは執行最大化主義：すべての悪いインシデントを詐欺または過失の証明として扱う。そのアプローチは有用な開示を discourage し、洗練された敵対者の現実を無視する。第二のエラーは法的ミニマリズム：最終的な責任の欠如を、管理義務が欠けていたという証明として扱う。そのアプローチは最も難しい教訓を法廷の残渣に変え、顧客に次のリリースパスがより安全であるという証拠を残さない。

正しい中間地は制御固有である。企業がビルドシステムを管理する場合、そのシステムが許可されていないビルド時の変更をどのように検出するかを説明できなければならない。署名権限を管理する場合、署名が独立した証拠にどのように依存するかを説明すべきである。顧客通知を管理する場合、既知の露出カテゴリと残留不確実性を述べるべきである。後に修復を主張する場合、顧客、監査人、調達チームが検出経路が短縮されたかどうかを判断するのに十分な情報を提供すべきである。

連邦調達政策は、SolarWinds 後にその方向に動いた。OMB のセキュアソフトウェア開発慣行に関する M-22-18 覚書は、連邦サプライヤーの表明を NIST の慣行に結びつけた。表明はそれ自体では証明ではない。それは、セキュア開発の証拠を反復可能なプロセスに移行するための調達メカニズムである。その価値は、機関が主張をテストし、アーティファクトを要求し、サプライヤーがそれらをサポートできない場合に行動できるかどうかに依存する。

修復は、真実への時間の短縮として測定されなければならない

SolarWinds の2021年5月の更新は、複数のビルド環境、分離された資格情報、整合性比較への移行を説明した。同社の CEO はまた、上院の書面による証言で関連アーキテクチャを提示した。これらのコミットメントは、攻撃者が複数のビルドパスを侵害し、出力間の不一致を露出させることを強制することを目的としていたため、メカニズムに応答していた。説明責任の問いは、設計が妥当に聞こえるかどうかではない。それは、後のリリース運用が、設計がテスト下で機能したという証拠を生成したかどうかである。

真実への時間の短縮は測定できる。会社は、ビルドワーカーが予期しないプロセス外でソースファイルに触れた場合、どのくらい早く検出できるか？独立したビルドはどのくらい早く乖離するか？ログはどのくらい保持され、ビルドオペレーターが使用するアイデンティティから保護されているか？悪意のあるビルド演習はどのくらいの頻度で実行されるか？サプライヤーは、特定のアーティファクトをダウンロード、インストール、または実行したすべての顧客をどのくらい早く特定できるか？確認された事実と未解決のポイントを明確にマークした最初の顧客勧告を公開するのにどのくらい時間がかかるか？

同じ測定が顧客にも適用される。顧客は、すべての監視を失うことなく、Orion または同等の高い特権製品をどのくらい早く隔離できるか？DNS、エンドポイント、アイデンティティ、クラウドログはどのくらい保持されるか？インシデント対応者は、影響を受けるバージョン、ビーコン、コマンドアンドコントロール応答、フォローアップ資格情報の悪用を区別できるか？緊急時のアイデンティティ回復計画はあるか？組織は、どのサプライヤーが自社環境に特権的なアップデートチャネルを持っているかを知っているか？

政府にとって、真実への時間の短縮には、調達と緊急調整が含まれる。機関は、影響を受けるソフトウェアがどこに展開されているかを迅速に特定できるか？契約は、サプライヤーにバージョン、アーティファクト、顧客影響データを提供するよう要求しているか？CISA は、不確実性が残る中で行動を強制しつつ、必要な公共機能を凍結しないことができるか？連邦対応グループは、クラウドプロバイダ、サプライヤー、機関のインシデント司令官への直接チャネルを持っているか？GAO のレビューは、インシデント中に調整が改善されたことを示しているが、完全な情報へのアクセスが依然として政策問題である理由も示している。

これが説明責任の最も実用的な意味である。責任の追及は何年も議論されうる。検知遅延は次のインシデント前に短縮できる。生産システムを管理する当事者は、そのシステム内に隠れることをより困難にすべきである。特権的な製品に依存する当事者は、その製品がアイデンティティ侵害への単一パスになることをより困難にすべきである。公共部門の対応を調整する当事者は、1つの発見が1つの組織のプライベートな問題のままであることをより困難にすべきである。

修復記録には、顧客向けの訓練も含まれるべきである。サプライヤーは内部のレッドチーム演習を実行し、最初の公開勧告があいまいな重大度ラベルとして届く場合、顧客は準備ができていないままになる可能性がある。成熟した演習は、模擬の影響を受けるバージョン通知、模擬の指標セット、模擬の露出カテゴリリスト、およびローカルログが不完全な顧客のためのサポート計画を生成する。それは、サプライヤーがダウンロードとインストールをどのくらい速く区別できるか、顧客にどの製品とバージョンが関与しているかをどのくらい速く伝えられるか、可能性のあるクラウドアイデンティティの結果を適切なプロバイダと政府チャネルにどのくらい速くエスカレートできるかをテストする。結果は時間と証拠の質で測定されるべきであり、インシデント計画の存在のみではない。

そのポイントは重要である。なぜならサプライチェーン危機における最初のメッセージは、下流の行動を変えるからである。通知が単に製品が脆弱である可能性があるとだけ述べた場合、顧客はパッチを当てて次に進むかもしれない。信頼された管理製品がアイデンティティ悪用のエントリポイントとして機能した可能性があると説明した場合、顧客はログを保存し、サーバーを隔離し、資格情報をローテーションし、クラウドテナントをレビューする。既知の接触なし、ビーコン、選択されたコマンドアンドコントロール、フォローアップ活動を区別した場合、顧客は限られたフォレンジック努力を優先できる。サプライヤーは初日にすべての答えを知っているわけではないかもしれないが、顧客が必要とする決定木を公開することはできる。

投資家と規制当局も、構造化された不確実性に対する同様のニーズを持っている。初期の提出書類に完全なフォレンジックレポートを含めることはできないが、確実性が存在しないところで確実性を暗示する言語を避けることはできる。影響を受けるバージョン、顧客数、顧客通知、業務中断、法的リスク、調査の限界について知られていることを述べることができる。開示の価値は完璧さではなく、既知と未知の真実の地図を提供し、市場、顧客、公的機関が沈黙から重大性を推測することを強いられないようにすることである。

したがって、SolarWinds の記録は、修復を公的な証拠問題に変える。プライベートな制御は現実でありながら、それに賭けなければならない顧客を安心させることができないかもしれない。サプライヤーは秘密を露呈したり、攻撃者に図を渡す必要はないが、独立したチェックのクラス、敵対的ビルドテストの頻度、リリース証拠の保持、顧客通知プロセスを示すことができなければならない。それがなければ、修復された工場は、信頼を求められる人々に部分的に不可視のままである。

未知の点と論争中の点は可視のままにされなければならない

フォレンジック記事は、すべてのギャップを埋める誘惑に抵抗すべきである。SolarWinds への正確な初期侵入経路は、公開企業の説明では未解決のままである。影響を受けるリリースをインストールし、ビーコンを発信し、選択され、またはフォローアップ侵害を被った組織の完全なリストは、公には不完全のままである。影響を受ける政府および民間環境全体でのコンテンツレベルの完全な影響は利用できない。後のビルド制御のリリースごとの独立した検証は公開されていない。契約固有の義務と損失は顧客によって異なる。

これらの未知の点は、主要な説明責任の教訓を推測的にするものではない。ビルド時の置換、署名配布、遅れた公開発見、緊急連邦行動、アイデンティティ中心の回復の必要性は、十分に支持されている。未知の点は言語を形作るべきである。すべての影響を受けるインストールが完全に侵害された、1つのパスワードが全体のイベントを引き起こした、SolarWinds のインシデント後の声明がすべて法的に欠陥があった、または SEC の棄却がすべての技術的制御を免責したという主張を防ぐべきである。製造プロセスが顧客がそれを受け取る前に危険な変更を表面化できなかったという明確な声明を妨げるべきではない。

確認された事実と支持された推論の違いは特に重要である。影響を受けるリリースが署名され配布されたことは確認されている。より強力なアーティファクト比較とビルド分離が早期発見の可能性を高めた可能性があることは支持された推論である。特定の内部制御所有者が SUNBURST を止める特定のアラートを無視したことは公に証明されていない。実用的な制御による説明責任は、そのような支持されない飛躍を避ける。それは、どの組織が関連する制御を所有していたかを尋ね、外部からどの個人を非難できるかではない。

同じ抑制が修復に適用される。SolarWinds の報告されたアーキテクチャ変更は応答的で意味があるが、企業報告の設計は独立した保証ではない。CISA のガイダンスと NIST のフレームワークは制御の方向性を提供するが、各サプライヤーが現在安全に運用していることを証明しない。顧客のセグメンテーションとロギングは爆発半径を減らすことができるが、ビルド整合性の責任を顧客に移すものではない。成熟した記録は、複数の真実が共存することを可能にする。

その可視的な不確実性は、危機後の脚注ではなく、運用ファイルの一部になるべきである。管理プラットフォームを再接続するかどうかを決定する顧客は、サプライヤーの既知の事実、サプライヤーの未解決の事実、顧客自身のテレメトリギャップ、および公共調整者の推奨行動をすべて1つの決定フレームで必要とする。これらのカテゴリが早期に分離されれば、すべての露出質問がすでに回答されたふりをすることなく修復を進めることができる。

SolarWinds の教訓は、したがって、技術的であると同時に時間的である。害は、信頼されたアップデートチャネルが普通に見える時間によって増幅された。説明責任の次のテストは、その静かな間隔が短縮されたかどうかである：ビルドシステム内、顧客監視内、連邦調整内、公開開示内。サプライヤーは犠牲者でありながら、自社工場が今や真実をより早く伝える証拠を提供する義務を負うことができる。顧客は欺かれながら、1つの信頼された製品が資産全体を所有できないという証拠を提供する義務を負うことができる。政府は発見後に迅速に対応しながら、将来のサプライチェーン警告がより速く集約される証拠を提供する義務を負うことができる。尺度は完全な免疫ではない。それは、侵害から真実までの間のより少ない静かな時間である。