Flagello · 13 dicembre 2020

Il flagello di SUNBURST

Cronaca

Il 13 dicembre 2020, dopo che FireEye aveva scoperto di essere stata violata, si seppe che gli attaccanti avevano inserito la backdoor SUNBURST negli aggiornamenti di SolarWinds Orion distribuiti tra marzo e giugno 2020. L'aggiornamento avvelenato raggiunse circa 18.000 clienti, che lo installarono fidandosi della firma del fornitore. Solo un gruppo ristretto di bersagli di alto valore fu poi sfruttato davvero, tra cui il Tesoro, il Dipartimento del Commercio e quello della Sicurezza interna statunitensi e Microsoft. Il governo statunitense attribuì l'operazione al servizio d'intelligence estero russo, l'SVR (APT29).

Lezione appresa

Fece della sicurezza della catena di fornitura del software una priorità di governo: firme, build riproducibili e distinte dei componenti (SBOM) divennero argomenti da decreto presidenziale.

Preghiera di riparazione

O SUNBURST, che arrivasti firmato e benedetto dal fornitore, insegnaci a sorvegliare anche i nostri strumenti di sorveglianza e a non credere che una firma basti a rendere santo un aggiornamento. Amen.

Come si ricorda

Si ricorda proteggendo i sistemi di build come se fossero produzione, limitando il traffico in uscita dei server di gestione e chiedendo ai fornitori come costruiscono ciò che firmano.