دروس SolarWinds التي لم تُستوعب بعد

لا يزال هجوم SolarWinds على سلسلة التوريد، الذي كُشف عنه في ديسمبر 2020، أخطر أحداث أمن سلسلة التوريد عواقب في الحقبة الأخيرة. فقد تمكن مهاجمون مرتبطون بجهاز SVR الروسي من الوصول إلى البنية التحتية للبناء لدى SolarWinds وأدرجوا شيفرة خبيثة في عملية بناء منصة Orion لمراقبة تقنية المعلومات. وجرى تجميع الشيفرة الخبيثة ضمن تحديثات مشروعة لبرمجيات Orion، ووُقعت بمفتاح توقيع الشيفرة الأصيل لدى SolarWinds، ووُزعت عبر آلية تحديث البرمجيات المشروعة لدى SolarWinds على نحو 18,000 عميل، من بينهم وكالات اتحادية أمريكية ومقاولون دفاعيون ومؤسسات كبرى. وظل الهجوم كامنًا في البنية التحتية للبناء نحو أربعة عشر شهرًا قبل اكتشافه. وخلال تلك الأشهر الأربعة عشر، تمتع المهاجمون بوصول كامل إلى شبكات آلاف المؤسسات عبر قناة تحديث البرمجيات الموثوقة.

الدروس التي كان يُفترض أن يعلّمها SolarWinds محددة وقابلة للتطبيق مباشرة في TPRM: أمن مسار البناء لا يقل أهمية عن أمن بيئة الإنتاج؛ وتوقيع الشيفرة يوفر ضمانًا محدودًا إذا اختُرقت البنية التحتية للتوقيع؛ وآليات تحديث البرمجيات أهداف هجوم عالية القيمة؛ ومدة الكمون البالغة أربعة عشر شهرًا كانت ممكنة لأنه لم تكن هناك أي مراقبة موجهة إلى البنية التحتية للبناء. نُشرت هذه الدروس على نطاق واسع ونوقشت على نطاق واسع، ولم تُدمج إلى حد كبير في قوائم التحقق المعيارية لتقييم TPRM، التي تواصل التركيز على أمن بيئة الإنتاج وضوابط SOC 2 والوضع الأمني التشغيلي بينما تُغفل من نطاق التقييم أمن مسار البناء وحماية مفاتيح التوقيع وحوكمة آلية التحديث ومراقبة سلسلة التوريد.

الإخفاق المنهجي هو تأخر أطر التقييم. فأطر التقييم الأمني تُحدَّث لمعالجة فئات التهديد الجديدة بمرور الوقت، لكن دورة التحديث بطيئة وتدريجية. والاستبيانات وأطر التقييم المعيارية التي صُممت قبل SolarWinds تعكس نموذج تهديد يستبعد ناقل الهجوم الذي أظهره SolarWinds. والممارسون الذين يستخدمون الأطر المعيارية دون تعزيزها بمتطلبات أمن سلسلة التوريد لما بعد SolarWinds يقيّمون وفق نموذج تهديد سابق لـSolarWinds، فيؤكدون أن الموردين آمنون في مواجهة هجمات 2019 بينما يتركون هجمات 2020 وما بعدها دون معالجة.

لماذا يهم هذا

تكتسب دروس SolarWinds غير المستوعبة أهميتها في TPRM لأنها تمثل فجوة منهجية بين القدرات الحالية لهجمات سلسلة التوريد وأسئلة التقييم التي تطرحها معظم برامج TPRM. فمورد البرمجيات الذي يجتاز كل تقييم أمني معياري بينما يملك مسار بناء بلا مراقبة، ومفتاح توقيع مخزنًا في ملف على خادم، وآلية تحديث بلا كشف للحالات الشاذة، هو مورد عرضة لهجوم على غرار SolarWinds، بصرف النظر عن حالة SOC 2 لديه.

• غياب أمن مسار البناء عن التقييم، وعدم معالجة نقطة الدخول في SolarWinds
• عدم تقييم حماية مفاتيح التوقيع، وعدم السؤال عن التخزين في ملفات مقابل HSM
• عدم تقييم أمن آلية التحديث، وعدم معالجة ناقل التوزيع في SolarWinds
• عدم تقييم مراقبة سلسلة التوريد، فكمون أربعة عشر شهرًا ممكن في غيابها
• عدم تحديث إطار التقييم بعد SolarWinds لمعالجة المخاطر على مستوى البناء

كيف تبدو الممارسة الجيدة

تضيف أطر التقييم لما بعد SolarWinds أمن مسار البناء وحماية مفاتيح التوقيع وحوكمة آلية التحديث ومراقبة سلسلة التوريد إلى نطاق التقييم المعياري، وتعالج تحديدًا فجوات الضوابط الأربع التي أثبت SolarWinds عدم كفايتها.

• أمن مسار البناء ضمن نطاق التقييم: عمليات التكامل مع الأطراف الثالثة وبيانات الاعتماد والعزل
• حماية مفاتيح التوقيع ضمن التقييم: HSM مقابل التخزين في ملفات، وسياسة التدوير
• أمن آلية التحديث ضمن التقييم: الأصالة والسلامة وتحكم المؤسسة
• مراقبة سلسلة التوريد ضمن التقييم: سجلات مسار البناء ومراقبة سجل المكونات البرمجية
• تحديث إطار التقييم ليعكس نموذج تهديد سلسلة التوريد لما بعد SolarWinds

الأدوات

مرجع دروس SolarWinds: إرشادات CISA بشأن SolarWinds؛ وضوابط سلسلة التوريد المحددة في NIST SP 800-161 المراجعة 1 المحدّثة بعد SolarWinds

نشرت CISA إرشادات محددة عقب الإفصاح عن هجوم SolarWinds تتناول الضوابط التقنية ذات الصلة باختراق مسار البناء وكشف هجمات سلسلة التوريد. وقد حُدّث NIST SP 800-161 المراجعة 1 ليتناول تحديدًا أمن سلسلة توريد البرمجيات استجابةً لهجوم SolarWinds والأوامر التنفيذية. وتوفر هذه الوثائق تحديثات إطار التقييم لما بعد SolarWinds التي لم تُدمج بعد في الاستبيانات المعيارية.

تحديات الحوكمة

يتمثل التحدي الحوكمي في دروس SolarWinds غير المستوعبة في جمود أطر التقييم. فالاستبيانات المعيارية تُحدَّث عبر لجان وفق دورات متعددة السنوات. والممارسون الذين ينتظرون أن تدمج الأطر المعيارية أسئلة أمن سلسلة التوريد لما بعد SolarWinds سيواصلون التقييم وفق نموذج تهديد سابق لـSolarWinds. ويكمن الحل الحوكمي في تعزيز الأطر المعيارية بأسئلة خاصة بسلسلة التوريد تعالج ناقل هجوم SolarWinds صراحة.

• تعزيز أطر التقييم المعيارية بأسئلة عن أمن مسار البناء
• إضافة حماية مفاتيح التوقيع إلى نطاق التقييم المعياري
• إضافة أمن آلية التحديث إلى نطاق التقييم المعياري
• إضافة مراقبة سلسلة التوريد إلى نطاق التقييم المعياري
• الإشارة صراحة إلى نموذج هجوم SolarWinds في متطلبات أمن سلسلة التوريد

إذا كنت فريقًا صغيرًا

أضف أربعة أسئلة إلى تقييمك القادم لموردي البرمجيات ليست في استبيانك الحالي: (1) كيف يُعزل مسار البناء لديكم عن بيئة الإنتاج؟ (2) كيف تُحمى مفاتيح توقيع الشيفرة الخاصة لديكم من الاستخراج؟ (3) كيف تكشفون الوصول غير المعتاد إلى مسار البناء وسجل المكونات البرمجية لديكم؟ (4) كيف تحكمون آلية تحديث البرمجيات لديكم لضمان عدم توزيع سوى التحديثات المشروعة؟ تعالج هذه الأسئلة الأربعة مباشرة فجوات الضوابط الأربع التي كشفها SolarWinds، وتستغرق إضافتها إلى أي إطار تقييم خمس دقائق.

• إضافة سؤال عن عزل مسار البناء إلى التقييم
• إضافة سؤال عن حماية مفاتيح التوقيع إلى التقييم
• إضافة سؤال عن مراقبة سلسلة التوريد إلى التقييم
• إضافة سؤال عن أمن آلية التحديث إلى التقييم

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«في ضوء نموذج هجوم SolarWinds، أي اختراق مسار البناء والوصول إلى مفتاح التوقيع والتوزيع عبر قنوات تحديث مشروعة، ما الضوابط المحددة لديكم لكل من نواقل الهجوم الثلاثة هذه، وكيف تراقبون النشاط غير المعتاد في البنية التحتية للبناء والتوزيع لديكم؟»

ما تتوقعه دليلًا

• ضوابط عزل مسار البناء ومراقبته
• حماية مفاتيح التوقيع: HSM أو ما يعادلها
• أمن آلية التحديث وحوكمة المؤسسة لها
• نطاق مراقبة سلسلة التوريد وقدرة الكشف

ينبغي أن يُطرح على المورد الذي يجتاز تقييمًا أمنيًا معياريًا الأسئلة الأربعة لما بعد SolarWinds. فالتقييمات المعيارية تقيّم وفق نموذج تهديد 2019. أما أسئلة ما بعد SolarWinds فتقيّم وفق نموذج تهديد 2020 الذي لم تدمجه الأطر المعيارية بعد.

كيف تُثبت ذلك

• تعزيز التقييم لما بعد SolarWinds
• سجلات تقييم أمن مسار البناء
• تقييم حماية مفاتيح التوقيع
• التحقق من نطاق مراقبة سلسلة التوريد

الخلاصة الرئيسية

SolarWinds: 2020. Build pipeline compromised. Signing key accessed. 18,000 organisations reached through legitimate update channel. Fourteen months undetected. Assessment checklists four years later: same questions as 2019. The four control gaps SolarWinds demonstrated , build pipeline isolation, signing key protection, update mechanism security, supply chain monitoring , are absent from most standard assessment frameworks. Adding four specific questions to the next software vendor assessment takes five minutes and directly addresses the attack vector that the standard questionnaire predates and has never been updated to cover.