O ataque à cadeia de suprimentos da SolarWinds, divulgado em dezembro de 2020, continua sendo o evento de segurança da cadeia de suprimentos de maiores consequências da era recente. Atacantes associados ao SVR russo obtiveram acesso à infraestrutura de build da SolarWinds e inseriram código malicioso no processo de build da plataforma de monitoramento de TI Orion. O código malicioso foi compilado em atualizações legítimas do software Orion, assinado com a chave autêntica de assinatura de código da SolarWinds e distribuído pelo mecanismo legítimo de atualização de software da SolarWinds a aproximadamente 18,000 clientes, incluindo agências federais dos EUA, fornecedores do setor de defesa e grandes empresas. O ataque permaneceu na infraestrutura de build por aproximadamente catorze meses antes de ser descoberto. Nesses catorze meses, os atacantes tiveram acesso total às redes de milhares de organizações pelo canal confiável de atualização de software.
As lições que a SolarWinds deveria ter ensinado são específicas e diretamente aplicáveis a TPRM: a segurança do pipeline de build importa tanto quanto a segurança do ambiente de produção; a assinatura de código oferece garantia limitada se a infraestrutura de assinatura estiver comprometida; os mecanismos de atualização de software são alvos de ataque de alto valor; e o tempo de permanência de catorze meses foi possível porque nenhum monitoramento estava voltado para a infraestrutura de build. Essas lições foram amplamente publicadas e discutidas e, em grande parte, não foram incorporadas às listas de verificação padrão de avaliação de TPRM, que continuam focadas na segurança do ambiente de produção, nos controles SOC 2 e na postura de segurança operacional, deixando fora do escopo da avaliação a segurança do pipeline de build, a proteção das chaves de assinatura, a governança do mecanismo de atualização e o monitoramento da cadeia de suprimentos.
A falha sistêmica é a defasagem das estruturas de avaliação. As estruturas de avaliação de segurança são atualizadas ao longo do tempo para tratar novas categorias de ameaças, mas o ciclo de atualização é lento e incremental. Os questionários e as estruturas de avaliação padrão concebidos antes da SolarWinds refletem um modelo de ameaças que exclui o vetor de ataque demonstrado pela SolarWinds. Os profissionais que usam estruturas padrão sem complementá-las com os requisitos de segurança da cadeia de suprimentos pós-SolarWinds estão avaliando com base em um modelo de ameaças anterior à SolarWinds: confirmam que os fornecedores estão protegidos contra os ataques de 2019, enquanto os ataques de 2020 em diante ficam sem tratamento.
Por que isso importa
As lições não aprendidas da SolarWinds são importantes para TPRM porque representam uma lacuna sistemática entre as capacidades atuais de ataque à cadeia de suprimentos e as perguntas de avaliação que a maioria dos programas de TPRM faz. Um fornecedor de software que passa em todas as avaliações de segurança padrão, mas tem um pipeline de build sem monitoramento, uma chave de assinatura armazenada em um arquivo em um servidor e um mecanismo de atualização sem detecção de anomalias, é um fornecedor vulnerável a um ataque no estilo SolarWinds, independentemente do seu status SOC 2.
- Segurança do pipeline de build ausente da avaliação: o ponto de entrada da SolarWinds não é tratado
- Proteção das chaves de assinatura não avaliada: armazenamento em arquivo versus HSM não questionado
- Segurança do mecanismo de atualização não avaliada: o vetor de distribuição da SolarWinds não é tratado
- Monitoramento da cadeia de suprimentos não avaliado: sem ele, uma permanência de catorze meses é possível
- Estrutura de avaliação não atualizada após a SolarWinds para o risco na camada de build
Como é uma boa prática
As estruturas de avaliação pós-SolarWinds incluem no escopo padrão de avaliação a segurança do pipeline de build, a proteção das chaves de assinatura, a governança do mecanismo de atualização e o monitoramento da cadeia de suprimentos, tratando especificamente das quatro lacunas de controle que a SolarWinds demonstrou serem insuficientes.
- Segurança do pipeline de build no escopo da avaliação: integrações de terceiros, credenciais, isolamento
- Proteção das chaves de assinatura na avaliação: HSM versus armazenamento em arquivo, política de rotação
- Segurança do mecanismo de atualização na avaliação: autenticidade, integridade, controle corporativo
- Monitoramento da cadeia de suprimentos na avaliação: logs do pipeline de build, monitoramento do registro de artefatos
- Estrutura de avaliação atualizada para refletir o modelo de ameaças à cadeia de suprimentos pós-SolarWinds
Ferramentas
Referência sobre as lições da SolarWinds: orientações da CISA sobre a SolarWinds; controles específicos de cadeia de suprimentos da NIST SP 800-161 Rev. 1, atualizados após a SolarWinds
A CISA publicou orientações específicas após a divulgação do caso SolarWinds, tratando dos controles técnicos relevantes para o comprometimento do pipeline de build e a detecção de ataques à cadeia de suprimentos. A NIST SP 800-161 Rev. 1 foi atualizada para tratar especificamente da segurança da cadeia de suprimentos de software em resposta ao ataque à SolarWinds e às ordens executivas. Esses documentos trazem as atualizações pós-SolarWinds das estruturas de avaliação que os questionários padrão ainda não incorporaram.
Desafios de governança
O desafio de governança das lições não aprendidas da SolarWinds é a inércia das estruturas de avaliação. Os questionários padrão são atualizados por comitês em ciclos de vários anos. Os profissionais que esperam que as estruturas padrão incorporem perguntas de segurança da cadeia de suprimentos pós-SolarWinds continuarão avaliando com base em um modelo de ameaças anterior à SolarWinds. A solução de governança é complementar as estruturas padrão com perguntas específicas sobre a cadeia de suprimentos que tratem explicitamente do vetor de ataque da SolarWinds.
- Complemente as estruturas de avaliação padrão com perguntas sobre a segurança do pipeline de build
- Inclua a proteção das chaves de assinatura no escopo padrão de avaliação
- Inclua a segurança do mecanismo de atualização no escopo padrão de avaliação
- Inclua o monitoramento da cadeia de suprimentos no escopo padrão de avaliação
- Faça referência explícita ao modelo de ataque da SolarWinds nos requisitos de segurança da cadeia de suprimentos
Se você faz parte de uma equipe pequena
Inclua na sua próxima avaliação de fornecedor de software quatro perguntas que não estão no seu questionário atual: (1) Como seu pipeline de build está isolado do seu ambiente de produção? (2) Como suas chaves privadas de assinatura de código estão protegidas contra extração? (3) Como vocês detectam acessos anômalos ao pipeline de build e ao registro de artefatos? (4) Como vocês governam o mecanismo de atualização de software para garantir que apenas atualizações legítimas sejam distribuídas? Essas quatro perguntas tratam diretamente das quatro lacunas de controle da SolarWinds e levam cinco minutos para serem incluídas em qualquer estrutura de avaliação.
- Inclua na avaliação uma pergunta sobre o isolamento do pipeline de build
- Inclua na avaliação uma pergunta sobre a proteção das chaves de assinatura
- Inclua na avaliação uma pergunta sobre o monitoramento da cadeia de suprimentos
- Inclua na avaliação uma pergunta sobre a segurança do mecanismo de atualização
O que exigir
Pergunte diretamente:
“Considerando o modelo de ataque da SolarWinds (comprometimento do pipeline de build, acesso à chave de assinatura e distribuição por canais legítimos de atualização), que controles específicos vocês têm para cada um desses três vetores de ataque e como monitoram atividades anômalas na sua infraestrutura de build e distribuição?”
O que esperar como evidência
- Controles de isolamento e monitoramento do pipeline de build
- Proteção das chaves de assinatura: HSM ou equivalente
- Segurança do mecanismo de atualização e governança corporativa
- Escopo de monitoramento da cadeia de suprimentos e capacidade de detecção
Um fornecedor que passa em uma avaliação de segurança padrão deve receber as quatro perguntas pós-SolarWinds. As avaliações padrão avaliam com base no modelo de ameaças de 2019. As perguntas pós-SolarWinds avaliam com base no modelo de ameaças de 2020, que as estruturas padrão ainda não incorporaram.
Como comprovar
- Complementação da avaliação pós-SolarWinds
- Registros de avaliação da segurança do pipeline de build
- Avaliação da proteção das chaves de assinatura
- Verificação do escopo de monitoramento da cadeia de suprimentos
Principal conclusão
SolarWinds: 2020. Build pipeline compromised. Signing key accessed. 18,000 organisations reached through legitimate update channel. Fourteen months undetected. Assessment checklists four years later: same questions as 2019. The four control gaps SolarWinds demonstrated , build pipeline isolation, signing key protection, update mechanism security, supply chain monitoring , are absent from most standard assessment frameworks. Adding four specific questions to the next software vendor assessment takes five minutes and directly addresses the attack vector that the standard questionnaire predates and has never been updated to cover.