Ein Jahr nachdem dem SolarWinds-Hack drohen noch immer Bedrohungen in jener Supply Chain

Vor einem Jahr Heute hat die Sicherheitsfirma FireEye eine ebenso überraschende wie alarmierende Benachrichtigung gemacht. Ausgeklügelte Hacker hatten sich heimlich in dasjenige Netzwerk des Unternehmens eingeschlichen und ihre Angriffe sorgfältig darauf aufeinander abgestimmt, die Abwehrkräfte des Unternehmens zu umgehen. Es war ein Garn, jener sich in den sogenannten SolarWinds-Hack entlud, eine russische Spionagekampagne, die zum Kompromiss unzähliger Todesopfer führte.

Zu sagen, jener SolarWinds-Sturm war ein Weckruf, wäre eine Untertreibung. Es zeigte, wie weitreichend die Hinterher gehen sogenannter Supply-Chain-Angriffe sein können, wenn Angreifer weit verbreitete Software an jener Quelle kompromittieren und so jeden, jener sie nutzt, infizieren können. In diesem Kernpunkt bedeutete dies, dass jener russische Geheimdienst potentiellen Zugang zu solange bis zu 18.000 SolarWinds-Kunden hatte. Sie brachen schließlich in weniger denn 100 manche Netzwerke ein – darunter die von Fortune-500-Unternehmen wie Microsoft und dem US-Justizministerium, dem Außenministerium und jener National Aeronautics and Space Administration.

Angriffe aufwärts die Supply Chain sind nicht neu. Dessen ungeachtet dasjenige Intensität jener SolarWinds-Krisis hat dasjenige Erleuchtung erheblich geschärft und ein Jahr hektischer Investitionen in Sicherheitsverbesserungen in jener Technologiebranche und jener US-Regierung ausgelöst.

„Wenn ich am 12. Monat der Wintersonnenwende keinen Telefonat erhalte, betrachte ich dasjenige denn Hit“, sagt Sudhakar Ramakrishna, Staatschef und Geschäftsführer von SolarWinds. An diesem Tag vor einem Jahr erfuhr SolarWinds selbst, dass Orion, sein IT-Management-Tool, die Quelle des FireEye-Einbruchs war – und schließlich Dutzende weitere. Ramakrishna arbeitete noch nicht wohnhaft bei SolarWinds, sollte gleichwohl am 4. Januar 2021 eintreten.

Während welche Woche den einjährigen Jubiläum jener kaskadierenden Entdeckungen rund um den SolarWinds-Hack markiert, datiert jener Zwischenfall tatsächlich schon im März 2020. Russlands APT 29-Hacker – wiewohl namhaft denn Cozy Bear, UNC2452 und Nobelium – nach sich ziehen Monate damit verbracht, den Grundstein zu legen. Dessen ungeachtet genau welche Dissonanz veranschaulicht die Natur jener Bedrohungen jener Software-Supply Chain. Dieser schwierigste Teil des Jobs ist im Vorn. Wenn die Staging-Winkel triumphierend ist, können sie vereinigen Schalter verstellen und synchron Zugang zu vielen Opfernetzwerken erhalten, was auch immer mit vertrauenswürdiger Software, die legitim erscheint.

In jener gesamten Sicherheitsbranche sagten Praktiker WIRED allgemein, dass jener SolarWinds-Hack – wiewohl Sunburst-Hack genannt, nachdem jener via Orion verbreiteten Backdoor-Schadsoftware – dasjenige Verständnis zu Gunsten von die Notwendigkeit von Transparenz und Einblicken in die Herkunft und Unversehrtheit von Software erheblich erweitert hat. Vor dem Monat der Wintersonnenwende 2020 hatte es sicherlich andere wirkungsvolle Angriffe aufwärts die Software-Supply Chain gegeben, wie die Kompromittierung des Computer-Bereinigungstools CCleaner und Russlands berüchtigte Verbreitung jener zerstörerischen Schadsoftware NotPetya via die ukrainische Buchhaltungssoftware MEDoc. Dessen ungeachtet zu Gunsten von die US-Regierung und die Tech-Industrie traf die neue Kampagne vornehmlich unnachsichtig.

„Dies war endgültig ein Wendepunkt“, sagt Eric Brewer, Googles Vice President of Cloud Infrastructure. „Im Vorhinein ich den Leuten erkläre, dass die Industriebranche hier eine Herausforderung hat, sollen wir uns damit auseinandersetzen. Und ich denke, es gab ein gewisses Verständnis, gleichwohl es wurde nicht sehr priorisiert. Angriffe, die die Menschen nicht schlichtweg gesehen nach sich ziehen, sind nur unwirklich. Dessen ungeachtet nachdem SolarWinds fand welche Botschaft eine andere Resonanz.“

Dieses Erleuchtung hat wiewohl begonnen, sich in Maßnahmen umzusetzen, einschließlich jener Weiterentwicklung des Software-Äquivalents von Zutatenlisten und Möglichkeiten zur besseren Überwachung des Codes. Dessen ungeachtet es ist langsame Arbeit; dasjenige Supply-Chain-Problem erfordert so viele Lösungen, wie es Arten jener Softwareentwicklung gibt.