SolarWinds kohtaa potentiaalisen SEC:n täytäntöönpanolain Orionin rikkomisen vuoksi

Yhdysvaltain arvopaperi- ja pörssiviranomainen (SEC) näyttää olevan valmis ryhtymään täytäntöönpanotoimiin SolarWindsia vastaan, koska yritysohjelmistoyritys on väitetysti rikkonut liittovaltion arvopaperilakeja antaessaan lausuntoja ja paljastaessaan vuoden 2019 tietoturvaloukkausta yrityksessä.

Jos SEC etenee, SolarWinds voi saada siviilioikeudellisia rahallisia rangaistuksia ja joutua tarjoamaan "muuta oikeudenmukaista apua" väitetyistä rikkomuksista. Toimenpide myös kieltäisi SolarWindsia ryhtymästä tuleviin liittovaltion arvopaperilakien rikkomiseen.

SolarWinds paljasti SEC:n mahdolliset täytäntöönpanotoimet äskettäin SEC:lle lähetetyssä lomakkeessa 8-K. Hakemuksessaan SolarWinds sanoi saaneensa niin sanotun Wells-ilmoituksen SEC:ltä, jossa todettiin, että sääntelyviranomaisen valvontahenkilöstö oli tehnyt ennakkopäätös täytäntöönpanotoimien suosituksesta. Pohjimmiltaan Wellsin ilmoitus ilmoittaa vastaajalle maksuista jonka arvopaperiviranomainen aikoo nostaa vastaajaa vastaan, joten viimeksi mainitulla on mahdollisuus valmistella vastaus.

SolarWinds väitti, että sen "ilmoitukset, julkiset lausunnot, kontrollit ja menettelyt olivat asianmukaisia". Yhtiö totesi valmistelevansa vastauksen SEC:n valvontahenkilöstön kantaan asiassa.

SolarWindsin järjestelmien rikkominen ei ollut löydetty vuoden 2020 loppuun asti, kun Mandiant havaitsi, että sen punaisen tiimin työkaluja oli varastettu hyökkäyksessä.

Ryhmäkanteen sovintoratkaisu

Erikseen, mutta samassa hakemuksessa, SolarWinds ilmoitti suostuneensa maksamaan 26 miljoonaa dollaria korvausvaatimusten ratkaisemiseksi. ryhmäkanne nostettu yhtiötä ja sen johtajia vastaan. Oikeudenkäynnissä väitettiin, että yritys oli johtanut sijoittajia harhaan julkisissa lausunnoissaan kyberturvallisuuskäytännöistään ja -valvonnasta. Sovintoratkaisu ei merkitsisi tapaukseen liittyvän virheen, vastuun tai väärinkäytöksen tunnustamista. Jos sovinto hyväksytään, sen maksaa yhtiön voimassa oleva vastuuvakuutus.

8-K-lomakkeen tiedot tulevat lähes kahden vuoden kuluttua SolarWinds ilmoitti, että hyökkääjät — tunnistettiin myöhemmin venäläiseksi uhkaryhmäksi nobelium — oli rikkonut yhtiön Orion-verkonhallintaalustan rakennusympäristöä ja istuttanut ohjelmistoon takaoven. Takaovi, nimeltään Sunburst, jaettiin myöhemmin yhtiön asiakkaille laillisina ohjelmistopäivityksinä. Noin 18,000 100 asiakasta sai myrkylliset päivitykset. Mutta vähemmän kuin XNUMX niistä vaarantui myöhemmin. Nobeliumin uhreja olivat Microsoftin ja Intelin kaltaiset yritykset sekä valtion virastot, kuten Yhdysvaltain oikeus- ja energiaministeriöt.

SolarWinds suorittaa täydellisen uudelleenrakentamisen

SolarWinds on sanonut toteuttaneensa useita muutoksia sen jälkeen kehitys- ja IT-ympäristöihinsä varmistaakseen, että sama asia ei toistu. Yhtiön uuden turvallisen suunnittelun ytimessä on uusi rakennusjärjestelmä, joka on suunniteltu tekemään vuoden 2019 kaltaisista hyökkäyksistä paljon vaikeampia – ja lähes mahdottomia – toteuttaa.

Äskettäisessä keskustelussa Dark Readingin kanssa SolarWinds CISO Tim Brown kuvailee uutta kehitysympäristöä sellaiseksi, jossa ohjelmistoja kehitetään kolmessa rinnakkaisessa rakennuksessa: kehittäjäputkisto, vaiheistusputki ja tuotantoputki. 

"Ei kenelläkään ole pääsyä kaikkiin noihin putkirakenteisiin", Brown sanoo. "Ennen kuin julkaisemme, teemme vertailun koontiversioiden välillä ja varmistamme, että vertailu täsmää." Kolmen erillisen koontiversion tavoitteena on varmistaa, että odottamattomat koodin muutokset – haitalliset tai muut – eivät siirry ohjelmistokehityksen elinkaaren seuraavaan vaiheeseen. 

"Jos halusit vaikuttaa yhteen rakenteeseen, sinulla ei olisi kykyä vaikuttaa seuraavaan rakenteeseen", hän sanoo. "Tarvitset ihmisten välistä yhteistyötä, jotta voit vaikuttaa siihen rakenteeseen uudelleen."

Toinen tärkeä osa SolarWindsin uutta turvalliseen suunnitteluun perustuvaa lähestymistapaa on se, mitä Brown kutsuu lyhytaikaisiksi toimiksi – joissa ei ole pitkäikäisiä ympäristöjä, joissa hyökkääjät voisivat tinkiä. Lähestymistavan mukaan resursseja pyöritetään pyynnöstä ja tuhotaan, kun tehtävä, johon ne on osoitettu, on suoritettu, joten hyökkäyksillä ei ole mahdollisuutta muodostaa läsnäoloa siihen.

"Olettaa" rikkomuksen

Osana yleistä tietoturvan parantamisprosessia SolarWinds on myös ottanut käyttöön laitteistopohjaisen monitekijätodennuksen koko IT- ja kehityshenkilöstölle ja ottanut käyttöön mekanismeja kaiken ohjelmistokehityksen aikana tapahtuvan tallentamiseen, kirjaamiseen ja auditointiin, Brown sanoo. Rikkomisen jälkeen yhtiö on lisäksi ottanut käyttöön "oletettu rikkomus" -mentaliteetti, jossa red-team harjoitukset ja läpäisytestaus ovat olennainen osa.

"Olen siellä ja yritän murtautua rakennusjärjestelmääni koko ajan", Brown sanoo. "Voinko esimerkiksi tehdä kehitystyössä sellaisen muutoksen, joka päätyisi lavastukseen tai tuotantoon?" 

Punainen tiimi tarkastelee kaikkia SolarWindsin rakennusjärjestelmän komponentteja ja palveluita ja varmistaa, että näiden komponenttien kokoonpano on hyvä ja joissakin tapauksissa myös näitä komponentteja ympäröivä infrastruktuuri on turvallinen, hän sanoo.

"Kesti kuusi kuukautta uusien ominaisuuksien kehittämisen sulkemista ja pelkästään turvallisuuteen keskittymistä", Brown sanoo. Ensimmäinen SolarWinds julkaisi uusia ominaisuuksia sisältävän julkaisun 8–9 kuukautta rikkomuksen havaitsemisen jälkeen, hän sanoo. Hän kuvailee työtä, jonka SolarWinds on tehnyt ohjelmistoturvallisuuden vahvistamiseksi "raskaaksi nostoksi", mutta joka hänen mielestään on kannattanut yritykselle. 

"Ne olivat vain suuria investointeja saadaksemme itsemme oikein [ja] vähentääksemme mahdollisimman paljon riskejä koko syklin aikana", sanoo Brown, joka myös äskettäin jaetut tärkeimmät oppitunnit hänen yrityksensä oppi vuoden 2020 hyökkäyksestä.