據(jù)路透社和《華盛頓郵報》報道，SolarWinds旗下的Orion網(wǎng)絡(luò)監(jiān)控軟件更新服務(wù)器遭黑客入侵并植入惡意代碼，導(dǎo)致美國財政部,、商務(wù)部等多個政府機構(gòu)用戶受到長期入侵和監(jiān)視,，甚至可能與之后曝出的FireEye網(wǎng)絡(luò)武器庫被盜事件有關(guān)。這是一次典型的基于供應(yīng)鏈漏洞的網(wǎng)絡(luò)攻擊。
在ISACA北美大會上，ISACA董事會董事Rob Clyde與SolarWinds首席信息安全官Tim Brown探討了這次事件中的SolarWinds的應(yīng)對以及從中吸取的教訓(xùn)。
Rob Clyde：Tim,，你能分享一下你是如何得知這件事以及如何通知公眾、股東和董事會的嗎,？
Tim Brown：Mandiant首席執(zhí)行官給SolarWinds首席執(zhí)行官打電話告知此事,，之后我又給Mandiant首席技術(shù)官打電話了解具體情況。代碼最初由FireEye Mandiant在調(diào)查中發(fā)現(xiàn),。該代碼試圖做一些Orion絕不應(yīng)該做的事情,。FireEye Mandiant發(fā)現(xiàn)問題后立即開始深入調(diào)查。他們對代碼進行反編譯,，發(fā)現(xiàn)問題代碼看起來不像我們的代碼,，立即提醒我們發(fā)現(xiàn)供應(yīng)鏈攻擊。
調(diào)查證明,，受代碼影響的三個產(chǎn)品版本,，當(dāng)時有18,000客戶下載了這些版本。后來發(fā)現(xiàn)實際受到影響的客戶數(shù)量可能為100家,，但我們最初的響應(yīng)針對的是全部18,000家客戶,，需要盡快獲得客戶信息。
初步研究很快完成,。一旦我們證實問題真實存在,，我們很快就與領(lǐng)導(dǎo)層、董事會,、法律部門和其他我們需要與之溝通的任何有關(guān)方通話。受疫情影響,，我們當(dāng)時遠程辦公,，但也會前往辦公室，設(shè)立戰(zhàn)情室,，開展必要研究,、溝通和客戶外展服務(wù)。我們發(fā)現(xiàn)我們有客戶銷售人員而非安全人員聯(lián)系信息,，這個問題隨后得到了解決,。
溝通對我們而言至關(guān)重要。從優(yōu)先級上講,，我們應(yīng)該如何確定客戶的優(yōu)先級,？當(dāng)時我們度過了非常糟糕的一周,，但我們世界各地的客戶也同樣如此，他們一直在試圖弄清楚正在運行的軟件版本是否受到病毒感染,。
Rob Clyde：了解事件的全貌可能需要一段時間,，往往比美國證券交易委員會新規(guī)定的四天要久。你是如何處理這個問題的呢,？
Tim Brown：這涉及披露你知道的和不知道的問題,。你既不希望過度披露，也不希望披露不足,。周日凌晨2點,，我們公布了我們知道的和不知道的。當(dāng)時,，我們不知道攻擊者是誰或應(yīng)將其歸咎于誰,。
不要過度擴展你所知道的，只分享你已掌握的信息,。我們決定就我們所知道的,，受影響的客戶，受影響的版本和共享代碼等信息盡可能做到透明,。
Rob Clyde：當(dāng)時都有誰參與應(yīng)對這次事件呢,？
Tim Brown：在這次事件之前，我們使用的是常規(guī)事件響應(yīng)披露模式,。但是這次事件影響之大,，影響之深，前所未有,。我們的法律合作伙伴擁有一支非常優(yōu)秀的網(wǎng)絡(luò)團隊,，而這個網(wǎng)絡(luò)團隊就像四分衛(wèi)一樣，沒有其他工作,，全部精力只專注于此次事件,，所以讓法律團隊擔(dān)任這個角色很有裨益。CrowdStrike和畢馬威進行調(diào)查和取證,。公司內(nèi)部,，我們的法律、工程,、安全,、IT營銷和客戶關(guān)系部門全部出動。我們經(jīng)常工作到凌晨3點——這是在這種特殊情況下我們必須要做的,。
Rob Clyde：是否有些組織利用這次的機會掩飾自己的過錯而讓SolarWinds背鍋,？
Tim Brown：我確實感到大開眼界，背后的動機很多,，強烈而真實,。但是并沒有困擾到我,，只要他們的研究是有成效的。
Rob Clyde：誰是攻擊者,，其動機是什么呢,？
Tim Brown：問題歸因并不是我們當(dāng)時要做的，因為我們正忙于幫助客戶,。美國政府將其歸因于某國家的對外情報局,。攻擊特點是必須能夠連接到互聯(lián)網(wǎng)和指揮與控制服務(wù)器。大多數(shù)客戶都不是這樣配置,，所以我們認為攻擊者是針對某客戶群體,，比如政府機構(gòu)。他們編寫的代碼可能只是為了造成傷害或跟蹤物聯(lián)網(wǎng)系統(tǒng),。需要特別指出的是,，必須連接到互聯(lián)網(wǎng)才能獲得指令，這在Orion系統(tǒng)非常罕見,，所以我們相信攻擊者知道他們的目標(biāo),，而我們只是通往這些目標(biāo)的路線。攻擊我們是其達到目的的一種手段,，這是一種高水平的蓄意攻擊,。
我們沒有關(guān)于“零號患者”的確切細節(jié)。對方進入并潛伏在系統(tǒng)已經(jīng)一年多,。我們知道,，他們針對特定人群采用了特定的魚叉式網(wǎng)絡(luò)釣魚來收集數(shù)據(jù)。他們在我們的環(huán)境里制造的噪音非常小,。他們?nèi)肭?，訪問我們的電子郵件，10月做了一次沒有代碼的測試運行,，隨后3月再次入侵并植入一些代碼,，6月又一次入侵并刪除了這些代碼。為了不被發(fā)現(xiàn),，他們以任務(wù)為中心,。
Rob Clyde：受到攻擊之前，你們的安全文化是怎樣的,？現(xiàn)在又是怎樣的呢？
Tim Brown：事件發(fā)生時,，我們在想,，“我們遺漏了什么嗎？”我們有非常好的計劃,。我們的投入略高于行業(yè)標(biāo)準(zhǔn),。但現(xiàn)在,，我們的標(biāo)準(zhǔn)顯著高于行業(yè)標(biāo)準(zhǔn)。
領(lǐng)導(dǎo)層也給予了極大的支持,。有人問我：“Tim,，如何才能成為榜樣？”榜樣需要花錢投資開發(fā)流程,、安全團隊和所有的方方面面,。我們擁有所需的資源，實施基于設(shè)計的安全策略,，覆蓋人員,、流程和技術(shù)，并使之成為公司的文化精髓,。
Rob Clyde：通常事件發(fā)生后的第一反應(yīng)是解雇首席信息安全官,，因為必須有人擔(dān)責(zé)。您現(xiàn)在在這里,，還在SolarWinds,，所以顯然這種事情并沒有發(fā)生。為什么呢,？
Tim Brown：原因有很多,。在我的職業(yè)生涯中，我從事過很多不同的工作,，而且我非常喜歡與人交談——從財富500強公司到像這樣的會議,。對于如此大規(guī)模的事件，你不需要一個有背景的首席信息安全官,，而是一個能應(yīng)對棘手問題,、接受被罵、直言不諱并掌握主動權(quán)的人,。如果我無法勝任,，我也會解雇我自己。如果你是一個有背景的首席信息安全官,，而無法提供幫助,。即便能夠提供幫助，也無法解決問題,。在這種情況下,，你需要一個能夠面向外界的首席信息安全官。
此外,，我也深入地參與其中,。我與媒體、新聞界、政府,、行業(yè)論壇,、客戶和國家溝通。如果你能提供幫助,，如果你在尋找解決方案方面發(fā)揮核心作用,，就不會被解雇。當(dāng)被問及為什么沒有解雇我時,，我的老板在一次會議上表示：“如果我要聘用一位首席信息安全官,，我會聘用Tim，那我為什么要解雇他呢,？”
Rob Clyde：我猜測,，你不是在事件發(fā)生后才突然決定學(xué)習(xí)如何成為一位面向外界的首席信息安全官。對于如何提前做好準(zhǔn)備,，你有什么建議嗎,？
Tim Brown：走出去溝通交流。首席信息安全官現(xiàn)在專注于產(chǎn)品,、會議和團隊——他們應(yīng)該走出去溝通交流,。接受培訓(xùn)，進行情景演練,。我受過最好的培訓(xùn)是在我職業(yè)生涯早期的演講者培訓(xùn),。培訓(xùn)完成后，繼續(xù)實踐,，在行業(yè)論壇和董事會發(fā)言,。
請記住，你的客戶正在和你一起經(jīng)歷這些,。你不是孤軍奮戰(zhàn),。我不得不毀掉許多人的圣誕和新年假期。
Rob Clyde：你說 “我不得不毀掉”那些假期,。你真的很有擔(dān)當(dāng),。
Tim Brown：我的計劃很好。但我的計劃成熟水平尚無法對抗某國家的對外情報局,。這是事實,。我做得還好嗎？是的,。但我是否想做得更多,？當(dāng)然。我們的安全計劃標(biāo)準(zhǔn)曾與業(yè)界標(biāo)準(zhǔn)相當(dāng),。但是,，我們現(xiàn)在不在同一水平上。我們已經(jīng)是業(yè)界典范。我們暫停了六個月的開發(fā)活動,，旨在加快各方面的努力。現(xiàn)在我們正在做一些比如三重安全運營中心（SOC）之類的事情,，我們建立了自己的紅隊,。
Rob Clyde：給我們講講你是如何說服和勸說大家與你一起進行這次企業(yè)文化之旅并獲得預(yù)算的。
Tim Brown：我們得到了很大的支持,。在此期間,，我們按計劃完成了首席執(zhí)行官換屆工作。我們的前任首席執(zhí)行官在8月表示即將退休,，而我們新任首席執(zhí)行官在1月1日正式上任,。我們得到了首席執(zhí)行官和董事會的全力支持。
Rob Clyde：你是如何重建客戶信任的呢,？
Tim Brown：我們做了很多努力,，如通過論壇，就像像這次的ISACA會議一樣,，我們會分享一切有關(guān)信息,。起初，我們會與客戶分享信息,，但不愿分享所有的細節(jié)?，F(xiàn)在，我們將盡可能多地與客戶分享他們想了解的信息,，甚至更多,。這改變了我們所有客戶評估供應(yīng)商的方式。他們現(xiàn)在要求提供更多細節(jié),，因為我們開創(chuàng)了這個先例,。在開創(chuàng)這個先例的過程中，我們向客戶表明他們能夠信任我們,。
提高整個供應(yīng)鏈的透明性至關(guān)重要,。
Rob Clyde：你認為其他組織發(fā)生這類事件的可能性有多大？
Tim Brown：如果我們認為這類事件不會發(fā)生在其他地方,，那就太天真了,。我認為它很可能在一些其他組織中發(fā)生。不發(fā)生才怪,！
Rob Clyde：你希望我們從中吸取的重要教訓(xùn)是什么,？
Tim Brown：經(jīng)常進行事件響應(yīng)舉措演練。讓人們做好準(zhǔn)備,。我們在兩天內(nèi)所做的工作令人難以置信,，但前提是我們必須要有那些聯(lián)系方式。事件發(fā)生在周六。所以要確保擁有在下班時間也能聯(lián)系到人的方式,。
交流沒有問題,。你能分享的越多，你能為客戶和所在社區(qū)提供的幫助越多,，每個人的生活就會越好,。
更多信息可以來這里獲取==>>電子技術(shù)應(yīng)用-AET<<
