El ataque a la cadena de suministro de SolarWinds, divulgado en diciembre de 2020, sigue siendo el evento de seguridad de la cadena de suministro más trascendente de la era reciente. Atacantes vinculados al SVR ruso obtuvieron acceso a la infraestructura de compilación de SolarWinds e insertaron código malicioso en el proceso de compilación de la plataforma de monitoreo de TI Orion. El código malicioso se compiló dentro de actualizaciones legítimas del software Orion, se firmó con la clave auténtica de firma de código de SolarWinds y se distribuyó mediante el mecanismo legítimo de actualización de software de SolarWinds a aproximadamente 18,000 clientes, entre ellos agencias federales de EE. UU., contratistas de defensa y grandes empresas. El ataque permaneció en la infraestructura de compilación durante aproximadamente catorce meses antes de ser descubierto. En esos catorce meses, los atacantes tuvieron acceso total a las redes de miles de organizaciones a través del canal de actualización de software de confianza.
Las lecciones que SolarWinds debía enseñar son concretas y directamente aplicables a TPRM: la seguridad de la canalización de compilación importa tanto como la seguridad del entorno de producción; la firma de código ofrece una garantía limitada si la infraestructura de firma está comprometida; los mecanismos de actualización de software son objetivos de ataque de alto valor; y la permanencia de catorce meses fue posible porque ningún monitoreo apuntaba a la infraestructura de compilación. Estas lecciones se publicaron y debatieron ampliamente, y en gran medida no se han incorporado a las listas de verificación estándar de evaluación de TPRM, que siguen centradas en la seguridad del entorno de producción, los controles de SOC 2 y la postura de seguridad operativa, mientras dejan fuera del alcance de la evaluación la seguridad de la canalización de compilación, la protección de las claves de firma, la gobernanza de los mecanismos de actualización y el monitoreo de la cadena de suministro.
La falla sistémica es el rezago de los marcos de evaluación. Los marcos de evaluación de seguridad se actualizan con el tiempo para abordar nuevas categorías de amenazas, pero el ciclo de actualización es lento e incremental. Los cuestionarios y marcos de evaluación estándar diseñados antes de SolarWinds reflejan un modelo de amenazas que excluye el vector de ataque que SolarWinds demostró. Los profesionales que usan marcos estándar sin complementarlos con los requisitos de seguridad de la cadena de suministro posteriores a SolarWinds están evaluando con un modelo de amenazas anterior a SolarWinds: confirman que los proveedores están protegidos frente a los ataques de 2019 y dejan sin abordar los ataques de 2020 en adelante.
Por qué es importante
Las lecciones no aprendidas de SolarWinds son importantes para TPRM porque representan una brecha sistemática entre las capacidades actuales de ataque a la cadena de suministro y las preguntas de evaluación que formula la mayoría de los programas de TPRM. Un proveedor de software que supera todas las evaluaciones de seguridad estándar mientras tiene una canalización de compilación sin monitoreo, una clave de firma guardada en un archivo en un servidor y un mecanismo de actualización sin detección de anomalías es un proveedor vulnerable a un ataque al estilo de SolarWinds, independientemente de su estado de SOC 2.
- Seguridad de la canalización de compilación ausente de la evaluación: el punto de entrada de SolarWinds no se aborda
- Protección de las claves de firma no evaluada: no se pregunta por almacenamiento en archivos frente a HSM
- Seguridad del mecanismo de actualización no evaluada: el vector de distribución de SolarWinds no se aborda
- Monitoreo de la cadena de suministro no evaluado: sin él fue posible una permanencia de catorce meses
- Marco de evaluación no actualizado tras SolarWinds para el riesgo en la capa de compilación
Cómo se ve una buena práctica
Los marcos de evaluación posteriores a SolarWinds incorporan al alcance estándar de la evaluación la seguridad de la canalización de compilación, la protección de las claves de firma, la gobernanza de los mecanismos de actualización y el monitoreo de la cadena de suministro, abordando específicamente las cuatro brechas de control que SolarWinds demostró que eran insuficientes.
- Seguridad de la canalización de compilación en el alcance de la evaluación: integraciones de terceros, credenciales, aislamiento
- Protección de las claves de firma en la evaluación: HSM frente a almacenamiento en archivos, política de rotación
- Seguridad del mecanismo de actualización en la evaluación: autenticidad, integridad, control empresarial
- Monitoreo de la cadena de suministro en la evaluación: registros de la canalización de compilación, monitoreo del registro de artefactos
- Marco de evaluación actualizado para reflejar el modelo de amenazas de la cadena de suministro posterior a SolarWinds
Herramientas
Referencia sobre las lecciones de SolarWinds: orientaciones de CISA sobre SolarWinds; controles específicos de la cadena de suministro de NIST SP 800-161 Rev. 1 actualizados tras SolarWinds
CISA publicó orientaciones específicas tras la divulgación de SolarWinds que abordan los controles técnicos relevantes para el compromiso de la canalización de compilación y la detección de ataques a la cadena de suministro. NIST SP 800-161 Rev. 1 se actualizó para abordar específicamente la seguridad de la cadena de suministro de software en respuesta al ataque a SolarWinds y a las órdenes ejecutivas. Estos documentos aportan las actualizaciones de los marcos de evaluación posteriores a SolarWinds que los cuestionarios estándar aún no han incorporado.
Desafíos de gobernanza
El desafío de gobernanza de las lecciones no aprendidas de SolarWinds es la inercia de los marcos de evaluación. Los cuestionarios estándar los actualizan comités en ciclos de varios años. Los profesionales que esperen a que los marcos estándar incorporen preguntas de seguridad de la cadena de suministro posteriores a SolarWinds seguirán evaluando con un modelo de amenazas anterior a SolarWinds. La solución de gobernanza es complementar los marcos estándar con preguntas específicas de la cadena de suministro que aborden de forma explícita el vector de ataque de SolarWinds.
- Complemente los marcos de evaluación estándar con preguntas sobre la seguridad de la canalización de compilación
- Incorpore la protección de las claves de firma al alcance estándar de la evaluación
- Incorpore la seguridad del mecanismo de actualización al alcance estándar de la evaluación
- Incorpore el monitoreo de la cadena de suministro al alcance estándar de la evaluación
- Haga referencia explícita al modelo de ataque de SolarWinds en los requisitos de seguridad de la cadena de suministro
Si usted forma parte de un equipo pequeño
Agregue a su próxima evaluación de proveedores de software cuatro preguntas que no figuran en su cuestionario actual: (1) ¿Cómo está aislada su canalización de compilación de su entorno de producción? (2) ¿Cómo están protegidas sus claves privadas de firma de código contra la extracción? (3) ¿Cómo detecta accesos anómalos a su canalización de compilación y a su registro de artefactos? (4) ¿Cómo gobierna su mecanismo de actualización de software para garantizar que solo se distribuyan actualizaciones legítimas? Esas cuatro preguntas abordan directamente las cuatro brechas de control de SolarWinds y toma cinco minutos agregarlas a cualquier marco de evaluación.
- Agregue a la evaluación una pregunta sobre el aislamiento de la canalización de compilación
- Agregue a la evaluación una pregunta sobre la protección de las claves de firma
- Agregue a la evaluación una pregunta sobre el monitoreo de la cadena de suministro
- Agregue a la evaluación una pregunta sobre la seguridad del mecanismo de actualización
Qué exigir
Pregunte directamente:
"Dado el modelo de ataque de SolarWinds (compromiso de la canalización de compilación, acceso a la clave de firma y distribución a través de canales legítimos de actualización), ¿qué controles específicos tiene para cada uno de estos tres vectores de ataque y cómo monitorea la actividad anómala en su infraestructura de compilación y distribución?"
Evidencia que debe esperar
- Controles de aislamiento y monitoreo de la canalización de compilación
- Protección de las claves de firma: HSM o equivalente
- Seguridad del mecanismo de actualización y gobernanza empresarial
- Alcance del monitoreo de la cadena de suministro y capacidad de detección
A un proveedor que supera una evaluación de seguridad estándar se le deben formular las cuatro preguntas posteriores a SolarWinds. Las evaluaciones estándar evalúan según el modelo de amenazas de 2019. Las preguntas posteriores a SolarWinds evalúan según el modelo de amenazas de 2020, que los marcos estándar aún no han incorporado.
Cómo demostrarlo
- Complemento de la evaluación posterior a SolarWinds
- Registros de evaluación de la seguridad de la canalización de compilación
- Evaluación de la protección de las claves de firma
- Verificación del alcance del monitoreo de la cadena de suministro
Conclusión clave
SolarWinds: 2020. Build pipeline compromised. Signing key accessed. 18,000 organisations reached through legitimate update channel. Fourteen months undetected. Assessment checklists four years later: same questions as 2019. The four control gaps SolarWinds demonstrated , build pipeline isolation, signing key protection, update mechanism security, supply chain monitoring , are absent from most standard assessment frameworks. Adding four specific questions to the next software vendor assessment takes five minutes and directly addresses the attack vector that the standard questionnaire predates and has never been updated to cover.