SolarWinds: Tarihin En Sofistike Tedarik Zinciri Saldırısı

2020'nin sonunda ortaya çıkan SolarWinds saldırısı, "tedarik zinciri saldırısı" kavramının ne kadar YIKICI olabileceğinin, sektörün gördüğü en çarpıcı örneklerinden biridir. Bu vakada, saldırganlar binlerce kuruluşu TEK TEK hedef almak yerine, onların HEPSİNİN GÜVENDİĞİ TEK bir yazılım sağlayıcısını hedef aldı.

Öncesi: Hedef Neden SolarWinds'ti?

SolarWinds, "Orion" adlı bir ağ yönetim yazılımı üretiyordu — bu yazılım, dünya çapında BİNLERCE şirket ve ÇOK SAYIDA devlet kurumu tarafından, kendi ağlarını izlemek için kullanılıyordu. Bir saldırgan için bu, MÜKEMMEL bir hedefti: SolarWinds'in kendisini ele geçirmek, o yazılımı kullanan HERKESE dolaylı bir yol açabilirdi — Malware Analizi kütüphanemizdeki "Yazılım ve Veri Bütünlüğü Hataları" makalesinde bahsettiğimiz tedarik zinciri saldırısı mantığının tam da kendisi.

Saldırı Esnasında: Sessiz ve Sabırlı Bir Sızma

Saldırganlar, SolarWinds'in yazılım GELİŞTİRME/derleme (build) sürecine sızmayı başardı — bu, saldırının en ürkütücü yönüydü. Zararlı kod, SolarWinds'in KENDİ, MEŞRU yazılım güncelleme sürecinin İÇİNE gizlice yerleştirildi. Sonuç olarak, Orion yazılımının GERÇEK, RESMİ, DİJİTAL OLARAK İMZALANMIŞ bir güncellemesi, aslında içinde gizli bir arka kapı (backdoor) taşıyordu — müşteriler bu güncellemeyi indirdiğinde, aslında farkında olmadan saldırganlara kendi ağlarına bir kapı açmış oluyorlardı.

Bu zararlı kod (sonradan "SUNBURST" olarak adlandırıldı), son derece SABIRLI davranacak şekilde tasarlanmıştı — bulaştıktan sonra HAFTALARCA hiçbir şey yapmadan bekliyor, ve aktive olduğunda bile, komuta-kontrol (C2) iletişimini, meşru ağ trafiğine BENZETECEK şekilde gizliyordu (Malware Analizi kütüphanemizdeki "C2 İletişim Analizi" makalesinde bahsettiğimiz "protokol gizleme" tekniklerinin ileri bir örneği). Bu titiz gizlilik, saldırının AYLARCA fark edilmemesini sağladı.

Saldırı, ANCAK bir siber güvenlik şirketinin (FireEye), KENDİ sistemlerine yapılan bir saldırıyı araştırırken, izleri SolarWinds'e kadar takip etmesiyle ortaya çıktı — yani saldırı, kurbanlardan biri olan bir güvenlik şirketinin KENDİ farkındalığı sayesinde keşfedildi, SolarWinds'in kendi savunma sistemleri tarafından değil.

Sonrasında: Etkisi Ne Kadar Genişti?

Etkilenen kuruluşlar arasında, ABD'nin çeşitli devlet kurumları ve dünya çapında birçok BÜYÜK teknoloji şirketi bulunduğu kamuoyuna yansıdı — tam olarak kaç kuruluşun GERÇEKTEN aktif olarak istismar edildiği (sadece savunmasız güncellemeyi indirmiş olmakla, gerçekten saldırganlar tarafından İÇERİDE aktif olarak kullanılmış olmak arasında fark vardır) konusunda net rakamlar zamanla ortaya çıktı, ama etkinin GENİŞLİĞİ, sektörde büyük bir şok yarattı.

Bu Vakadan Çıkarılacak Ders

SolarWinds saldırısı, "dijital imza taşıyan bir güncelleme bile GÜVENİLİR OLMAK ZORUNDA DEĞİLDİR eğer TEDARİKÇİNİN KENDİ süreci ele geçirilmişse" gerçeğini çarpıcı biçimde gösterdi. Bu, güvenlik dünyasında "zero trust" (hiçbir şeye körü körüne güvenme, her zaman doğrula) felsefesinin, sadece kullanıcılar için değil, YAZILIM TEDARİK ZİNCİRİ için de uygulanması gerektiği fikrini güçlendirdi — Ağ Güvenliği kütüphanemizdeki Zero Trust makalesinde bahsettiğimiz ilkelerin, tedarikçi ilişkilerine kadar genişletilmesi gerektiğinin somut bir kanıtı.

Bu makale, SolarWinds saldırısının genel, kamuya açık bilgilere dayanan bir özetidir; SiberCrew ekibi tarafından hazırlanmış özgün içeriktir.