據(jù)路透社和《華盛頓郵報(bào)》報(bào)道，SolarWinds旗下的Orion網(wǎng)絡(luò)監(jiān)控軟件更新服務(wù)器遭黑客入侵并植入惡意代碼，導(dǎo)致美國(guó)財(cái)政部、商務(wù)部等多個(gè)政府機(jī)構(gòu)用戶受到長(zhǎng)期入侵和監(jiān)視，甚至可能與之后曝出的FireEye網(wǎng)絡(luò)武器庫(kù)被盜事件有關(guān)。這是一次典型的基于供應(yīng)鏈漏洞的網(wǎng)絡(luò)攻擊。

　　在ISACA北美大會(huì)上，ISACA董事會(huì)董事Rob Clyde與SolarWinds首席信息安全官Tim Brown探討了這次事件中的SolarWinds的應(yīng)對(duì)以及從中吸取的教訓(xùn)。

　　Rob Clyde：Tim，你能分享一下你是如何得知這件事以及如何通知公眾、股東和董事會(huì)的嗎？

　　Tim Brown：Mandiant首席執(zhí)行官給SolarWinds首席執(zhí)行官打電話告知此事，之后我又給Mandiant首席技術(shù)官打電話了解具體情況。代碼最初由FireEye Mandiant在調(diào)查中發(fā)現(xiàn)。該代碼試圖做一些Orion絕不應(yīng)該做的事情。FireEye Mandiant發(fā)現(xiàn)問(wèn)題后立即開始深入調(diào)查。他們對(duì)代碼進(jìn)行反編譯，發(fā)現(xiàn)問(wèn)題代碼看起來(lái)不像我們的代碼，立即提醒我們發(fā)現(xiàn)供應(yīng)鏈攻擊。

　　調(diào)查證明，受代碼影響的三個(gè)產(chǎn)品版本，當(dāng)時(shí)有18,000客戶下載了這些版本。后來(lái)發(fā)現(xiàn)實(shí)際受到影響的客戶數(shù)量可能為100家，但我們最初的響應(yīng)針對(duì)的是全部18,000家客戶，需要盡快獲得客戶信息。

　　初步研究很快完成。一旦我們證實(shí)問(wèn)題真實(shí)存在，我們很快就與領(lǐng)導(dǎo)層、董事會(huì)、法律部門和其他我們需要與之溝通的任何有關(guān)方通話。受疫情影響，我們當(dāng)時(shí)遠(yuǎn)程辦公，但也會(huì)前往辦公室，設(shè)立戰(zhàn)情室，開展必要研究、溝通和客戶外展服務(wù)。我們發(fā)現(xiàn)我們有客戶銷售人員而非安全人員聯(lián)系信息，這個(gè)問(wèn)題隨后得到了解決。

　　溝通對(duì)我們而言至關(guān)重要。從優(yōu)先級(jí)上講，我們應(yīng)該如何確定客戶的優(yōu)先級(jí)？當(dāng)時(shí)我們度過(guò)了非常糟糕的一周，但我們世界各地的客戶也同樣如此，他們一直在試圖弄清楚正在運(yùn)行的軟件版本是否受到病毒感染。

　　Rob Clyde：了解事件的全貌可能需要一段時(shí)間，往往比美國(guó)證券交易委員會(huì)新規(guī)定的四天要久。你是如何處理這個(gè)問(wèn)題的呢？

　　Tim Brown：這涉及披露你知道的和不知道的問(wèn)題。你既不希望過(guò)度披露，也不希望披露不足。周日凌晨2點(diǎn)，我們公布了我們知道的和不知道的。當(dāng)時(shí)，我們不知道攻擊者是誰(shuí)或應(yīng)將其歸咎于誰(shuí)。

　　不要過(guò)度擴(kuò)展你所知道的，只分享你已掌握的信息。我們決定就我們所知道的，受影響的客戶，受影響的版本和共享代碼等信息盡可能做到透明。

　　Rob Clyde：當(dāng)時(shí)都有誰(shuí)參與應(yīng)對(duì)這次事件呢？

　　Tim Brown：在這次事件之前，我們使用的是常規(guī)事件響應(yīng)披露模式。但是這次事件影響之大，影響之深，前所未有。我們的法律合作伙伴擁有一支非常優(yōu)秀的網(wǎng)絡(luò)團(tuán)隊(duì)，而這個(gè)網(wǎng)絡(luò)團(tuán)隊(duì)就像四分衛(wèi)一樣，沒有其他工作，全部精力只專注于此次事件，所以讓法律團(tuán)隊(duì)擔(dān)任這個(gè)角色很有裨益。CrowdStrike和畢馬威進(jìn)行調(diào)查和取證。公司內(nèi)部，我們的法律、工程、安全、IT營(yíng)銷和客戶關(guān)系部門全部出動(dòng)。我們經(jīng)常工作到凌晨3點(diǎn)——這是在這種特殊情況下我們必須要做的。

　　Rob Clyde：是否有些組織利用這次的機(jī)會(huì)掩飾自己的過(guò)錯(cuò)而讓SolarWinds背鍋？

　　Tim Brown：我確實(shí)感到大開眼界，背后的動(dòng)機(jī)很多，強(qiáng)烈而真實(shí)。但是并沒有困擾到我，只要他們的研究是有成效的。

　　Rob Clyde：誰(shuí)是攻擊者，其動(dòng)機(jī)是什么呢？

　　Tim Brown：?jiǎn)栴}歸因并不是我們當(dāng)時(shí)要做的，因?yàn)槲覀冋τ趲椭蛻?。美?guó)政府將其歸因于某國(guó)家的對(duì)外情報(bào)局。攻擊特點(diǎn)是必須能夠連接到互聯(lián)網(wǎng)和指揮與控制服務(wù)器。大多數(shù)客戶都不是這樣配置，所以我們認(rèn)為攻擊者是針對(duì)某客戶群體，比如政府機(jī)構(gòu)。他們編寫的代碼可能只是為了造成傷害或跟蹤物聯(lián)網(wǎng)系統(tǒng)。需要特別指出的是，必須連接到互聯(lián)網(wǎng)才能獲得指令，這在Orion系統(tǒng)非常罕見，所以我們相信攻擊者知道他們的目標(biāo)，而我們只是通往這些目標(biāo)的路線。攻擊我們是其達(dá)到目的的一種手段，這是一種高水平的蓄意攻擊。

　　我們沒有關(guān)于“零號(hào)患者”的確切細(xì)節(jié)。對(duì)方進(jìn)入并潛伏在系統(tǒng)已經(jīng)一年多。我們知道，他們針對(duì)特定人群采用了特定的魚叉式網(wǎng)絡(luò)釣魚來(lái)收集數(shù)據(jù)。他們?cè)谖覀兊沫h(huán)境里制造的噪音非常小。他們?nèi)肭?，訪問(wèn)我們的電子郵件，10月做了一次沒有代碼的測(cè)試運(yùn)行，隨后3月再次入侵并植入一些代碼，6月又一次入侵并刪除了這些代碼。為了不被發(fā)現(xiàn)，他們以任務(wù)為中心。

　　Rob Clyde：受到攻擊之前，你們的安全文化是怎樣的？現(xiàn)在又是怎樣的呢？

　　Tim Brown：事件發(fā)生時(shí)，我們?cè)谙耄拔覀冞z漏了什么嗎？”我們有非常好的計(jì)劃。我們的投入略高于行業(yè)標(biāo)準(zhǔn)。但現(xiàn)在，我們的標(biāo)準(zhǔn)顯著高于行業(yè)標(biāo)準(zhǔn)。

　　領(lǐng)導(dǎo)層也給予了極大的支持。有人問(wèn)我：“Tim，如何才能成為榜樣？”榜樣需要花錢投資開發(fā)流程、安全團(tuán)隊(duì)和所有的方方面面。我們擁有所需的資源，實(shí)施基于設(shè)計(jì)的安全策略，覆蓋人員、流程和技術(shù)，并使之成為公司的文化精髓。

　　Rob Clyde：通常事件發(fā)生后的第一反應(yīng)是解雇首席信息安全官，因?yàn)楸仨氂腥藫?dān)責(zé)。您現(xiàn)在在這里，還在SolarWinds，所以顯然這種事情并沒有發(fā)生。為什么呢？

　　Tim Brown：原因有很多。在我的職業(yè)生涯中，我從事過(guò)很多不同的工作，而且我非常喜歡與人交談——從財(cái)富500強(qiáng)公司到像這樣的會(huì)議。對(duì)于如此大規(guī)模的事件，你不需要一個(gè)有背景的首席信息安全官，而是一個(gè)能應(yīng)對(duì)棘手問(wèn)題、接受被罵、直言不諱并掌握主動(dòng)權(quán)的人。如果我無(wú)法勝任，我也會(huì)解雇我自己。如果你是一個(gè)有背景的首席信息安全官，而無(wú)法提供幫助。即便能夠提供幫助，也無(wú)法解決問(wèn)題。在這種情況下，你需要一個(gè)能夠面向外界的首席信息安全官。

　　此外，我也深入地參與其中。我與媒體、新聞界、政府、行業(yè)論壇、客戶和國(guó)家溝通。如果你能提供幫助，如果你在尋找解決方案方面發(fā)揮核心作用，就不會(huì)被解雇。當(dāng)被問(wèn)及為什么沒有解雇我時(shí)，我的老板在一次會(huì)議上表示：“如果我要聘用一位首席信息安全官，我會(huì)聘用Tim，那我為什么要解雇他呢？”

　　Rob Clyde：我猜測(cè)，你不是在事件發(fā)生后才突然決定學(xué)習(xí)如何成為一位面向外界的首席信息安全官。對(duì)于如何提前做好準(zhǔn)備，你有什么建議嗎？

　　Tim Brown：走出去溝通交流。首席信息安全官現(xiàn)在專注于產(chǎn)品、會(huì)議和團(tuán)隊(duì)——他們應(yīng)該走出去溝通交流。接受培訓(xùn)，進(jìn)行情景演練。我受過(guò)最好的培訓(xùn)是在我職業(yè)生涯早期的演講者培訓(xùn)。培訓(xùn)完成后，繼續(xù)實(shí)踐，在行業(yè)論壇和董事會(huì)發(fā)言。

　　請(qǐng)記住，你的客戶正在和你一起經(jīng)歷這些。你不是孤軍奮戰(zhàn)。我不得不毀掉許多人的圣誕和新年假期。

　　Rob Clyde：你說(shuō) “我不得不毀掉”那些假期。你真的很有擔(dān)當(dāng)。

　　Tim Brown：我的計(jì)劃很好。但我的計(jì)劃成熟水平尚無(wú)法對(duì)抗某國(guó)家的對(duì)外情報(bào)局。這是事實(shí)。我做得還好嗎？是的。但我是否想做得更多？當(dāng)然。我們的安全計(jì)劃標(biāo)準(zhǔn)曾與業(yè)界標(biāo)準(zhǔn)相當(dāng)。但是，我們現(xiàn)在不在同一水平上。我們已經(jīng)是業(yè)界典范。我們暫停了六個(gè)月的開發(fā)活動(dòng)，旨在加快各方面的努力?，F(xiàn)在我們正在做一些比如三重安全運(yùn)營(yíng)中心（SOC）之類的事情，我們建立了自己的紅隊(duì)。

　　Rob Clyde：給我們講講你是如何說(shuō)服和勸說(shuō)大家與你一起進(jìn)行這次企業(yè)文化之旅并獲得預(yù)算的。

　　Tim Brown：我們得到了很大的支持。在此期間，我們按計(jì)劃完成了首席執(zhí)行官換屆工作。我們的前任首席執(zhí)行官在8月表示即將退休，而我們新任首席執(zhí)行官在1月1日正式上任。我們得到了首席執(zhí)行官和董事會(huì)的全力支持。

　　Rob Clyde：你是如何重建客戶信任的呢？

　　Tim Brown：我們做了很多努力，如通過(guò)論壇，就像像這次的ISACA會(huì)議一樣，我們會(huì)分享一切有關(guān)信息。起初，我們會(huì)與客戶分享信息，但不愿分享所有的細(xì)節(jié)。現(xiàn)在，我們將盡可能多地與客戶分享他們想了解的信息，甚至更多。這改變了我們所有客戶評(píng)估供應(yīng)商的方式。他們現(xiàn)在要求提供更多細(xì)節(jié)，因?yàn)槲覀冮_創(chuàng)了這個(gè)先例。在開創(chuàng)這個(gè)先例的過(guò)程中，我們向客戶表明他們能夠信任我們。

　　提高整個(gè)供應(yīng)鏈的透明性至關(guān)重要。

　　Rob Clyde：你認(rèn)為其他組織發(fā)生這類事件的可能性有多大？

　　Tim Brown：如果我們認(rèn)為這類事件不會(huì)發(fā)生在其他地方，那就太天真了。我認(rèn)為它很可能在一些其他組織中發(fā)生。不發(fā)生才怪！

　　Rob Clyde：你希望我們從中吸取的重要教訓(xùn)是什么？

　　Tim Brown：經(jīng)常進(jìn)行事件響應(yīng)舉措演練。讓人們做好準(zhǔn)備。我們?cè)趦商靸?nèi)所做的工作令人難以置信，但前提是我們必須要有那些聯(lián)系方式。事件發(fā)生在周六。所以要確保擁有在下班時(shí)間也能聯(lián)系到人的方式。

　　交流沒有問(wèn)題。你能分享的越多，你能為客戶和所在社區(qū)提供的幫助越多，每個(gè)人的生活就會(huì)越好。

更多信息可以來(lái)這里獲取==>>電子技術(shù)應(yīng)用-AET<<