Quase 3 anos depois, SolarWinds CISO compartilha 3 lições do ataque infame

Em 8 de dezembro de 2020, FireEye anunciou a descoberta de uma violação no software SolarWinds Orion enquanto investigava um ataque de estado-nação em seu kit de ferramentas Red Team. Cinco dias depois, em 13 de dezembro de 2020, a SolarWinds publicado no Twitter, pedindo a “todos os clientes que atualizem imediatamente para a plataforma Orion versão 2020.2.1 HF 1 para solucionar uma vulnerabilidade de segurança”. Estava claro: a SolarWinds — empresa com sede no Texas que desenvolve software para gerenciamento e proteção de redes, sistemas e infraestrutura de TI — havia sido hackeada.

Mais preocupante foi o fato de que os invasores, que as autoridades americanas agora vincularam à inteligência russa, encontraram a porta dos fundos pela qual se infiltraram no sistema da empresa cerca de 14 meses antes do anúncio do hack. O hack SolarWinds já tem quase 3 anos, mas seus efeitos posteriores continuam a reverberar em todo o mundo da segurança.

Vamos enfrentá-lo: a empresa está constantemente sob ameaça - seja de atores maliciosos que atacam para obter ganhos financeiros ou cibercriminosos endurecidos que extraem e transformam dados em armas em ataques de estado-nação. No entanto, os ataques à cadeia de suprimentos estão se tornando mais comuns hoje em dia, pois os agentes de ameaças continuam a explorar sistemas e agentes de terceiros para atingir organizações e romper suas barreiras de segurança. O Gartner prevê que até 2025, “45% das organizações em todo o mundo terão sofrido ataques em suas cadeias de suprimentos de software”, uma previsão que criou uma onda no mundo da segurança cibernética e levou mais empresas a começar a priorizar gerenciamento de riscos da cadeia de suprimentos digital.

Embora esta seja a direção certa para as empresas, a questão ainda persiste: que lições as organizações aprenderam com um ataque cibernético que cruzou o corredor para eliminar grandes corporações e agências governamentais importantes com consequências de longo alcance, mesmo em países além dos Estados Unidos?

Para entender melhor o que aconteceu com o ataque e como as organizações podem se preparar para eventualidades como o hack da SolarWinds, Dark Reading se conectou com o CISO da SolarWinds, Tim Brown, para um mergulho mais profundo no incidente e nas lições aprendidas três anos depois.

1. A colaboração é crítica para a segurança cibernética

Brown admite que o próprio nome SolarWinds serve como um lembrete para que outros façam melhor, corrijam vulnerabilidades e fortaleçam toda a sua arquitetura de segurança. Sabendo que todos os sistemas são vulneráveis, a colaboração é parte integrante do esforço de segurança cibernética.

“Se você observar as conversas sobre a cadeia de suprimentos que surgiram, agora elas estão se concentrando nas regulamentações que devemos implementar e como os atores públicos e privados podem colaborar melhor para atrasar os adversários”, diz ele. “Nosso incidente mostra que a comunidade de pesquisa pode se unir porque há muita coisa acontecendo lá.”

Depois de estar na linha de frente da talvez maior violação de segurança dos últimos anos, Brown entende que a colaboração é fundamental para todos os esforços de segurança cibernética.

“Muitas conversas estão em andamento sobre a confiança entre indivíduos, governo e outros”, diz ele. “Nossos adversários compartilham informações – e precisamos fazer o mesmo.”

2. Medir o risco e investir em controles

Nenhuma organização é 100% seguro 100% do tempo, como demonstrou o incidente da SolarWinds. Para reforçar a segurança e defender seus perímetros, Brown aconselha as organizações a adotar uma nova abordagem que vê a função do CISO ir além de ser um parceiro de negócios para se tornar um oficial de risco. O CISO deve medir o risco de forma “honesta, confiável e aberta” e ser capaz de falar sobre os riscos que enfrenta e como os está compensando.

As organizações podem se tornar mais proativas e derrotar as armadilhas antes que sejam lançadas usando inteligência artificial (IA), aprendizado de máquina (ML) e mineração de dados, explica Brown. No entanto, embora as organizações possam aproveitar a IA para automatizar a detecção, Brown alerta que é necessário contextualizar adequadamente a IA.

“Alguns dos projetos estão falhando porque estão tentando ser grandes demais”, diz ele. “Eles estão tentando fugir do contexto e não estão fazendo as perguntas certas: o que estamos fazendo manualmente e como podemos fazer melhor? Em vez disso, eles estão dizendo: 'Oh, poderíamos fazer tudo isso com os dados' - e não é o que você necessariamente precisa.”

Os líderes devem entender os detalhes do problema, que resultado esperam e ver se podem provar que está certo, de acordo com Brown.

“Temos apenas que chegar ao ponto em que podemos utilizar os modelos no dia certo para nos levar a um lugar onde nunca estivemos antes”, diz ele.

3. Permaneça pronto para a batalha

Os líderes de TI devem ficar um passo à frente dos adversários. No entanto, nem tudo é desgraça e melancolia. O hack da SolarWinds foi um catalisador para tantos trabalhos excelentes acontecendo no conselho de segurança cibernética, diz Brown.

“Existem muitos aplicativos sendo construídos na cadeia de suprimentos agora que podem manter um catálogo de todos os seus ativos para que, se ocorrer uma vulnerabilidade em uma parte do bloco de construção, você saiba, permitindo que você avalie se foi afetado ou não ," ele diz.

Essa consciência, acrescenta Brown, pode ajudar na construção de um sistema que tende à perfeição, onde as organizações podem identificar vulnerabilidades mais rapidamente e lidar com elas de forma decisiva antes que agentes mal-intencionados possam explorá-las. É também uma métrica importante à medida que as empresas se aproximam do modelo de maturidade de confiança zero prescrito pela Agência de Segurança Cibernética e Infraestrutura (CISA).

Brown diz que espera que essas lições do hack da SolarWinds ajudem os líderes empresariais em sua busca para proteger seus pipelines e permanecer prontos para a batalha na guerra de segurança cibernética em constante evolução.