ゆめさくセキュリティ

2020年12月13日、IT 管理ソフトウェアとその利用組織 (政府機関、重要インフラ、民間企業)

SolarWinds Orion のサプライチェーン侵害

入口

Orion のソフトウェアのビルドシステムが侵害され、2020年3月から6月に出た正規の更新に悪意あるコードが入った

決め手の失敗

ビルドの過程で混入したコードを検出できず、混入した部品は SolarWinds の正規の署名の証明書で署名されていた。侵入後は SAML の署名証明書を奪われ、正規に見えるトークンを偽造された

被害

CISA は少なくとも2020年3月から侵害が始まっていたとした。SolarWinds は混入した版を導入した可能性のある顧客を1万8,000未満と開示した。米政府は世界の1万6,000を超えるコンピューターシステムを偵察または妨害できる状態になったと述べた

防げた対策

  • ビルド環境の分離と完全性の検証
  • 署名鍵と SAML 署名証明書の保護
  • 更新後の不審な外部通信の監視
  • 特権 ID の監視

時系列

  1. 2020年12月13日CISA が緊急指令 ED 21-01 を出し、該当版の Orion を直ちにネットワークから切り離すよう連邦機関に命じた。同日 SolarWinds は約3万3,000の Orion 保守契約顧客に通知した
  2. 2020年12月14日SolarWinds が米証券取引委員会に 8-K を提出し、ビルドシステムの侵害による混入と顧客数を開示した
  3. 2020年12月17日CISA が注意喚起 AA20-352A を出した
  4. 2021年4月15日米政府がロシア対外情報庁 (SVR) を実行者として正式に名指しした

攻撃した側について

当局 (米ホワイトハウスの2021年4月15日の発表) がロシア対外情報庁 (SVR、APT 29、Cozy Bear、The Dukes とも呼ばれる) を実行者と名指しし、米情報機関は高い確度で評価しているとした。SVR は本データセットの攻撃者一覧に含めていない

学べるレッスン

出典

2026年10月24日に開いて確かめました。