Microsoft kundër SVR Pse burimi i hapur duhet të jetë normë

Mund të ketë qenë një roman i Tom Clancy nga seria NetForce, por eshte nje liber shkruar nga Presidenti i Microsoft Brad Smith në nderim të tij dhe kompanisë së tij. Sidoqoftë, nëse dikush lexon midis rreshtave (të paktën në ekstrakti në të cilën një portal kishte qasje) dhe ndan goditjet në pjesën e pasme dhe shkopinjtë tek konkurrentët, ajo që mbetet është shumë interesante dhe udhëzuese. Dhe, sipas mendimit tim modest, një mostër e avantazheve të modelit të softuerit me burim të hapur dhe të hapur.

Personazhet

Çdo roman spiun ka nevojë për një "djalë të keq" dhe, në këtë rast ne nuk kemi asgjë më pak se SVR, një nga organizatat që pasuan KGB -në pas rënies së BRSS. SVR merret me të gjitha detyrat e inteligjencës të kryera jashtë kufirit të Federatës Ruse. "Viktima e pafajshme" ishte SolarWinds, një kompani që zhvillon softuer të menaxhimit të rrjetit.Përdoret nga korporata të mëdha, menaxherë të infrastrukturës kritike dhe agjenci qeveritare amerikane. Sigurisht, ne kemi nevojë për një hero. Në këtë rast, sipas tyre, është Departamenti i Inteligjencës së Kërcënimeve të Microsoft.

Si mund të ishte ndryshe, në një histori hakerësh, "e keqja" dhe "e mira" kanë një pseudonim. SVR është Yttrium (Yttrium). Në Microsoft, ata përdorin elementët më pak të zakonshëm të tabelës periodike si një emër kod për burimet e mundshme të kërcënimeve. Departamenti i Inteligjencës ndaj Kërcënimeve është MSTIC për akronimin e tij në anglisht, edhe pse brenda tyre e shqiptojnë atë mistik (mistik) për ngjashmërinë fonetike. Në vijim, për lehtësi, unë do t'i përdor këto terma.

Microsoft kundër SVR Faktet

Më 30 Nëntor 2020, FireEye, një nga kompanitë kryesore të sigurisë kompjuterike në SHBA, zbulon se kishte pësuar një shkelje të sigurisë në serverët e vet. Meqenëse ata nuk ishin në gjendje ta rregullonin vetë (më fal, por nuk mund të ndaloj së thëni "shtëpia e farkëtarit, thikë prej druri") ata vendosën të kërkojnë ndihmë nga specialistët e Microsoft. Meqenëse MSTIC kishte ndjekur gjurmët e Yttrium, dheAta ishin menjëherë dyshues për rusët, një diagnozë e konfirmuar më vonë nga shërbimet zyrtare të inteligjencës amerikane.

Me kalimin e ditëve, sulmet u zbuluan se kishin në shënjestër rrjete të ndjeshme kompjuterike në të gjithë botën, përfshirë vetë Microsoft -in. Sipas raporteve të mediave, qeveria e Shteteve të Bashkuara ishte qartë objektivi kryesor i sulmit, me Departamentin e Thesarit, Departamentin e Shtetit, Departamentin e Tregtisë, Departamentin e Energjisë dhe pjesë të Pentagonit. Dhjetëra organizata të prekura në listën e viktimave. Këto përfshijnë kompani të tjera teknologjike, kontraktorë qeveritarë, qendra studimore dhe një universitet. Sulmet nuk u drejtuan vetëm kundër Shteteve të Bashkuara, pasi ato prekën Kanadanë, Mbretërinë e Bashkuar, Belgjikën, Spanjën, Izraelin dhe Emiratet e Bashkuara Arabe. Në disa prej rasteve, depërtimet në rrjet zgjatën për disa muaj.

Origjina

E gjitha filloi me programin e menaxhimit të rrjetit të quajtur Orion dhe u zhvillua nga një kompani e quajtur SolarWinds. Me më shumë se 38000 klientë të korporatës të nivelit të lartë, sulmuesve iu desh të fusnin vetëm një malware në një përditësim.

Pasi të instalohet, malware lidhet me atë që teknikisht njihet si serveri i komandës dhe kontrollit (C2). Serveri C2 eIshte programuar për të dhënë detyra të lidhura me kompjuterin, të tilla si aftësia për të transferuar skedarë, për të ekzekutuar komanda, për të rindezur një makinë dhe për të çaktivizuar shërbimet e sistemit. Me fjalë të tjera, agjentët e Yttrium morën qasje të plotë në rrjetin e atyre që kishin instaluar përditësimin e programit Orion.

Më tej do të citoj një paragraf fjalë për fjalë nga artikulli i Smithit

Nuk kaloi shumë kohë që ne ta kuptojmë

rëndësia e punës teknike teknike në të gjithë industrinë dhe me qeverinë

nga Shtetet e Bashkuara. Inxhinierët nga SolarWinds, FireEye dhe Microsoft filluan të punojnë së bashku menjëherë. Ekipet FireEye dhe Microsoft e njihnin njëri -tjetrin mirë, por SolarWinds ishte një kompani më e vogël që përballej me një krizë të madhe, dhe ekipet duhej të ndërtonin shpejt besim nëse duhej të ishin efektive.

Inxhinierët e SolarWinds ndanë kodin burimor të azhurnimit të tyre me ekipet e sigurisë të dy kompanive të tjera,

i cili zbuloi kodin burimor të vetë malware -it. Ekipet teknike nga qeveria amerikane filluan shpejt në veprim, veçanërisht në Agjencinë e Sigurisë Kombëtare (NSA) dhe Agjencinë e Sigurisë Kibernetike dhe Sigurisë së Infrastrukturës (CISA) të Departamentit të Sigurisë Kombëtare.

Pikat kryesore janë të miat. Ajo e punës në grup dhe ndarja e kodit burimor. A nuk ju duket kjo si diçka për ju?

Pas hapjes së derës së pasme, malware ishte joaktiv për dy javë, për të shmangur krijimin e shënimeve të regjistrit të rrjetit që do të paralajmërojnë administratorët. PGjatë kësaj periudhe, ai dërgoi informacione në lidhje me rrjetin që kishte infektuar një server komandimi dhe kontrolli. që sulmuesit kishin me ofruesin e pritjes GoDaddy.

Nëse përmbajtja ishte interesante për Yttrium, sulmuesit hynë nga dera e pasme dhe instaluan kod shtesë në serverin e sulmuar për t'u lidhur me një server të dytë komandimi dhe kontrolliMe Ky server i dytë, unik për secilën viktimë për të ndihmuar në shmangien e zbulimit, u regjistrua dhe u strehua në një qendër të dytë të të dhënave, shpesh në cloud të Shërbimeve të Uebit të Amazon (AWS).

Microsoft kundër SVR Moralin

Nëse jeni të interesuar të dini se si heronjtë tanë u dhanë horrave të tyre atë që meritojnë, në paragrafët e parë keni lidhjet me burimet. Unë do të shkoj drejt e përse shkruaj për këtë në një blog Linux. Përballja e Microsoft me SVR demonstron rëndësinë e kodit që është në dispozicion për t'u analizuar dhe se njohuritë janë kolektive.

Shtë e vërtetë, siç më kujtoi këtë mëngjes një specialist prestigjioz i sigurisë kompjuterike, se është e kotë që kodi të jetë i hapur nëse askush nuk merr mundimin ta analizojë atë. Ka rastin Heartbleed për ta vërtetuar atë. Por, le të përmbledhim. 38000 klientë të nivelit të lartë u regjistruan për softuer të pronarit. Disa prej tyre instaluan një azhurnim malware që ekspozoi informacione të ndjeshme dhe u dha kontroll elementeve armiqësore të infrastrukturës kritike. Kompania përgjegjëse Ai e vuri kodin në dispozicion të specialistëve vetëm kur ishte me ujë në qafëMe Nëse do të kërkoheshin shitës softuerësh për infrastrukturë kritike dhe klientë të ndjeshëm Lëshimi i softuerit tuaj me licenca të hapura, pasi të keni një auditor të kodit rezident (ose një agjenci të jashtme që punon për disa) rreziku i sulmeve si SolarWinds do të ishte shumë më i ulët.