網(wǎng)絡(luò)安全專家稱，SolarWinds Orion網(wǎng)絡(luò)管理平臺(tái)遭受的攻擊是針對(duì)美國(guó)政府網(wǎng)絡(luò)和很多大型公司數(shù)據(jù)基礎(chǔ)架構(gòu)的最嚴(yán)重黑客攻擊之一。該攻擊于2020年12月發(fā)現(xiàn)，在該攻擊發(fā)生后，網(wǎng)絡(luò)專業(yè)人員們都在努力緩解此次廣泛數(shù)據(jù)泄露事故的影響。

該供應(yīng)鏈攻擊影響著多個(gè)美國(guó)聯(lián)邦政府機(jī)構(gòu)，包括商務(wù)部、能源部和國(guó)土安全部門。此次攻擊的消息迫使思科和微軟等大型上市公司加強(qiáng)網(wǎng)絡(luò)分析活動(dòng)，以便及時(shí)識(shí)別和緩解異常情況，避免中斷運(yùn)營(yíng)。

在此次攻擊曝光后，SolarWinds宣布對(duì)其Orion平臺(tái)進(jìn)行更新，攻擊該平臺(tái)等惡意軟件名為Supernova。根據(jù)SolarWinds的調(diào)查，攻擊者通過利用Orion平臺(tái)中的漏洞來部署惡意軟件，大約有18,000個(gè)客戶受此攻擊影響。為了應(yīng)對(duì)SolarWinds的黑客攻擊，這些公司需要部署Orion更新，并仔細(xì)檢查其網(wǎng)絡(luò)的各個(gè)方面，以識(shí)別惡意軟件在何處啟動(dòng)。

Supernova惡意軟件

根據(jù)SolarWinds安全公告顯示，“SUPERNOVA不是惡意代碼……它是單獨(dú)放置在服務(wù)器的惡意軟件，需要未經(jīng)授權(quán)訪問客戶網(wǎng)絡(luò)，該惡意軟件被設(shè)計(jì)為冒充SolarWinds產(chǎn)品的一部分。”

該供應(yīng)商指出，該惡意軟件具有兩個(gè)組件，“第一個(gè)是惡意的未簽名的webshel??l .dll‘app_web_logoimagehandler.ashx.b6031896.dll’，專門編寫用于SolarWinds Orion平臺(tái)。第二個(gè)是利用Orion平臺(tái)中的漏洞，以部署該惡意代碼。”

調(diào)查人員在研究該惡意軟件攻擊時(shí)，發(fā)現(xiàn)稱為Sunburst的后門程序，該后門程序使黑客能夠接收有關(guān)受感染計(jì)算機(jī)的報(bào)告。然后，黑客利用這些數(shù)據(jù)來確定要進(jìn)一步利用的系統(tǒng)。

調(diào)查人員發(fā)現(xiàn)，這個(gè)后門代碼類似于另一種廣泛使用的黑客工具Kazuar。他們推測(cè)，Kazuar曾被用于針對(duì)公共和私營(yíng)組織的很多攻擊中，并且，它可能是觸發(fā)因素，以啟動(dòng)駐留在目標(biāo)系統(tǒng)中的先前處于休眠狀態(tài)的惡意軟件。

經(jīng)驗(yàn)教訓(xùn)和接下來的措施

Orion平臺(tái)在全球范圍內(nèi)都很流行，并被廣泛使用，它是經(jīng)驗(yàn)豐富的黑客的目標(biāo)。我們可以從SolarWinds黑客攻擊中學(xué)到的教訓(xùn)之一是，安全軟件并不完善，應(yīng)被視為潛在的網(wǎng)絡(luò)攻擊切入點(diǎn)。

另一個(gè)教訓(xùn)是，謹(jǐn)慎對(duì)待網(wǎng)絡(luò)基礎(chǔ)架構(gòu)的所有元素，尤其是外圍設(shè)備。企業(yè)必須購(gòu)買和使用功能強(qiáng)大的異常檢測(cè)軟件，這是一項(xiàng)明智的投資。

那么，網(wǎng)絡(luò)和安全團(tuán)隊(duì)現(xiàn)在和將來還可以做什么來應(yīng)對(duì)SolarWinds的黑客攻擊?這兩個(gè)團(tuán)隊(duì)都需要了解此事件，并為其他事件做好準(zhǔn)備，下面讓我們看看應(yīng)該怎樣做，毫無疑問，這兩個(gè)團(tuán)隊(duì)需要協(xié)作才能防止和緩解未來的攻擊。

1. 計(jì)算機(jī)容易受到攻擊。無論采取何種積極措施來識(shí)別、預(yù)防和緩解網(wǎng)絡(luò)攻擊，IT基礎(chǔ)架構(gòu)仍然面臨風(fēng)險(xiǎn)。最佳的網(wǎng)絡(luò)和安全狀態(tài)假定會(huì)發(fā)生攻擊，并將盡一切可能的努力來防止發(fā)生攻擊。

2. 安全是企業(yè)文化的基石。網(wǎng)絡(luò)和信息系統(tǒng)的安全性從領(lǐng)導(dǎo)層開始，高層管理人員必須了解信息安全的重要性，認(rèn)可和支持信息安全，并在整個(gè)組織中傳達(dá)該信息。

3. 確定企業(yè)的所有切入點(diǎn)，并建立足夠的安全性。經(jīng)驗(yàn)豐富且積極進(jìn)取的黑客可以利用很多訪問點(diǎn)(AP)。在當(dāng)前疫情期間，對(duì)遠(yuǎn)程訪問的使用給企業(yè)的網(wǎng)絡(luò)和信息資源創(chuàng)建更多其他入口點(diǎn)。請(qǐng)確保識(shí)別所有可能的和不太可能的AP，適當(dāng)保護(hù)并定期監(jiān)控可疑活動(dòng)。

4. 網(wǎng)絡(luò)外圍必須得到積極保護(hù)。請(qǐng)利用防火墻、入侵檢測(cè)和防御系統(tǒng)，以及很多其他服務(wù)來消除企業(yè)和個(gè)人網(wǎng)絡(luò)中的任何縫隙。更重要的是，定期更新這些專用系統(tǒng)的規(guī)則和其他參數(shù)，以確保它們發(fā)揮最佳功能。

5. 定期修復(fù)，并確保按規(guī)定修復(fù)補(bǔ)丁。例如，SolarWinds向Orion平臺(tái)發(fā)布多個(gè)更新，以供用戶修補(bǔ)。有效的補(bǔ)丁程序管理流程至關(guān)重要，可保持領(lǐng)先于惡意行為者。

6. 同時(shí)提高網(wǎng)絡(luò)安全與物理安全。網(wǎng)絡(luò)安全和物理安全相輔相成，因此不應(yīng)放在單獨(dú)的孤島中。例如，惡意員工未經(jīng)授權(quán)對(duì)數(shù)據(jù)中心進(jìn)行的物理訪問，可能與惡意軟件攻擊一樣具有破壞性。

7. 事件響應(yīng)計(jì)劃和協(xié)議必須部署到位。這些策略可控制企業(yè)如何響應(yīng)網(wǎng)絡(luò)安全異常的最初發(fā)現(xiàn)。應(yīng)該對(duì)它們進(jìn)行記錄、定期檢查和測(cè)試，以確保它們?cè)谛枰獣r(shí)可以工作。

8. 維護(hù)網(wǎng)絡(luò)安全和網(wǎng)絡(luò)安全策略和程序。網(wǎng)絡(luò)安全策略確定“什么”-安全活動(dòng)有關(guān)的內(nèi)容，而程序則明確“如何”-企業(yè)在大多數(shù)事件中采取的特定措施。至少每年檢查一次并更新這些策略和程序，特別是在部署任何新網(wǎng)絡(luò)或安全技術(shù)時(shí)。

9. 非技術(shù)計(jì)劃納入安全策略。網(wǎng)絡(luò)安全保險(xiǎn)是非技術(shù)資源的一個(gè)示例，以應(yīng)對(duì)攻擊事件。勒索軟件攻擊可以多種方式影響企業(yè)(例如財(cái)務(wù)損失)，并損害公司的競(jìng)爭(zhēng)地位和聲譽(yù)。

10. 確保所有安全和網(wǎng)絡(luò)保護(hù)計(jì)劃都是最新，定期執(zhí)行并定期審核。僅僅制定緊急計(jì)劃是不夠的，例如技術(shù)災(zāi)難恢復(fù)和網(wǎng)絡(luò)安全計(jì)劃。這些重要的舉措及其相關(guān)文檔必須至少每年進(jìn)行一次定期檢查，更新、測(cè)試和審核。

在本文中，我們研究了最近的惡意軟件攻擊及其持續(xù)影響。更重要的是，我們討論了企業(yè)必須采取的措施，以確保網(wǎng)絡(luò)外圍安全、信息系統(tǒng)和數(shù)據(jù)安全，并且，企業(yè)應(yīng)將網(wǎng)絡(luò)保護(hù)和網(wǎng)絡(luò)安全視為關(guān)鍵任務(wù)。