Offensichtlich versteckt: Warum der SolarWinds-Angriff mehr als nur ein Cyberrisiko offenlegte

Eine Version dieses Artikels erschien in Dark Reading. Er wurde hier aktualisiert und syndiziert.

‍

Wenn es etwas gibt, das die Weihnachtszeit in der Cybersicherheitsbranche ruinieren kann, dann ist es ein verheerender Datendiebstahl, der sich zum bisher größten bekannten Cyber-Spionageereignis gegen die US-Regierung entwickelt. 

Der SolarWinds-Angriff ist weitreichend; die Angreifer hatten das System bereits Mitte 2019 infiltriert. Dieser monatelange Raubzug wurde im Dezember 2020 entdeckt, nachdem er genutzt wurde, um das bekannte Cybersicherheitsunternehmen FireEye zu kompromittieren – und damit nahm der Albtraum seinen Lauf. Das volle Ausmaß des Angriffs wird noch untersucht, aber zu den betroffenen Bereichen gehören unter anderem das US-Außenministerium, das Ministerium für Innere Sicherheit, das Handelsministerium, das Finanzministerium sowie die National Institutes of Health. 

Dieser Vorfall wird noch lange nachwirken, doch die schiere Raffinesse ist faszinierend. Auf technischer Ebene handelt es sich um eine mehrschichtige Infiltration mit maßgeschneiderten Schadprogrammen, Backdoors und verschleiertem Code, die weit über die Fähigkeiten der Skript-Kiddies hinausgeht, die wir so oft bei der Ausnutzung offensichtlicher Fehler sehen.

Code-Wäsche in ihrer schlimmsten Form

CrowdStrike hat erneut brillante Arbeit bei der Rückentwicklung des Exploits geleistet und die Ergebnisse detailliert für alle zugänglich gemacht. Es kam ans Licht, dass SolarWinds Opfer eines Infrastrukturangriffs wurde, der das Einschleusen von Schadcode in System-Updates ermöglichte. Dies führte zu mindestens vier separaten Malware-Tools, die den Angreifern einen beispiellosen Zugriff verschafften.

Die Methode war verdeckt und ermöglichte eine strategische Präzision, die direkt aus einem Jason-Bourne-Roman stammen könnte. Sie verschaffte den Angreifern Zeit, sich umzusehen, zu planen und die Opfer außerhalb des SolarWinds-Netzwerks genau dann anzugreifen, wann sie es wollten – ein umfassender Supply-Chain-Angriff. Und das alles mit Code, der völlig harmlos aussah. 

Cyberangriffe sind oft das Ergebnis einfacher, aber kostspieliger Fehler. Und sobald sie entdeckt werden, sind die Fehler ziemlich offensichtlich: man denke an ein schlecht konfiguriertes Netzwerk, Passwörter im Klartext oder ungepatchte Software, die anfällig für bekannte Exploits ist. In diesem Fall fiel der Code jedoch überhaupt nicht auf – und zwar nicht nur für Entwickler und Sicherheitsingenieure. Auch eine Vielzahl teurer und komplexer Sicherheitstechnologien konnte ihn nicht erkennen.  

Sicherheitsüberwachungs- und Penetrationstest-Tools waren praktisch nutzlos

Sicherheitsexperten sind rar gesät. Um die riesigen Mengen an Unternehmensdaten, Software und Infrastruktur zu schützen, greifen sie auf einen Technologie-Stack zurück, der speziell auf die Sicherheitsanforderungen des Unternehmens zugeschnitten ist. Dies umfasst in der Regel Komponenten wie Netzwerk-Firewalls, automatisierte Penetrationstests sowie Überwachungs- und Scan-Tools, wobei letztere viel Zeit im Softwareentwicklungsprozess in Anspruch nehmen. Diese Tool-Landschaft kann schnell ausufern und unübersichtlich werden, wobei viele Unternehmen mehr als 300 verschiedene Produkte und Dienste einsetzen.

SolarWinds verfügte über eine beeindruckende Palette an Tools, um Sicherheitslücken im Code zu finden, unbefugte Netzwerkzugriffe zu erkennen, potenzielle Kompromittierungen in jedem Teil der Infrastruktur aufzuspüren und sogar Anzeichen von Umgehungsversuchen zu identifizieren. Es ist beispiellos, dass es diesen Angreifern gelang, Schadcode einzuschleusen, der selbst von den fortschrittlichsten Sicherheits-Stacks unentdeckt blieb. 

Die Härtung der Infrastruktur – insbesondere die Zugriffskontrolle – sind grundlegende Bestandteile bewährter Cybersicherheitspraktiken. Wenn ein Angreifer jedoch ein kleines Zeitfenster unbemerkt ausnutzen kann, kann ein Netzwerk genauso kompromittiert werden wie durch eine Schwachstelle in einer eigenständigen Software. 

Dieser Vorfall erinnert daran, dass jedes Unternehmen, das sich bei der Absicherung seiner Netzwerkinfrastruktur und Software ausschließlich auf Tools verlässt, ein enormes Risiko eingeht. Es reicht nicht immer aus, nur den Code zu schützen; alles, was ihn speichert, ausführt und kompiliert, muss gleichermaßen gehärtet sein. Der Idealzustand ist ein Gleichgewicht zwischen Tools und Menschen, die eine robuste Strategie verfolgen, um die potenzielle Angriffsfläche tiefgreifend zu bewerten und zu reduzieren.

Teamübergreifendes Sicherheitsbewusstsein führt zu besserer Bedrohungsmodellierung

Der SolarWinds-Angriff hat bereits begonnen, erhebliche Auswirkungen auf den Sicherheitsbetrieb zu haben, insbesondere auf Regierungsebene. Experten gehen davon aus, dass dies die Cybersicherheitspraktiken für immer verändern könnte.

Eine zunehmend digitale Infrastruktur bestimmt unser Leben. Obwohl sie bei mangelhafter Verwaltung anfällig für Angriffe ist, ist unsere allgemeine Strategie fehlerhaft. Wir sind im Bereich der Sicherheitsexpertise massiv unterbesetzt, tun aber wenig, um diese Lücke zu schließen. Menschlich gesteuertes Sicherheitsbewusstsein ist ein unterschätztes Element der Cybersicherheit, ebenso wie die Priorisierung von Prävention statt Reaktion. 

Infrastruktursicherheit ist ein komplexes Unterfangen mit vielen beweglichen Teilen. Ähnlich wie bei der Softwareentwicklung können jedoch auch Entwickler einen wertvollen Beitrag zur Reduzierung struktureller Risiken leisten, wenn sie entsprechend geschult und sicherheitsbewusst sind. 

Bedrohungsmodellierungen berücksichtigen selten Lieferkettenangriffe, obwohl diese bereits 2012 als zentrales Risiko eingestuft wurden, das mit heutigen Methoden nur schwer zu verhindern ist, was viele Unternehmen unvorbereitet lässt. Softwareentwickler könnten hier eine entscheidende Rolle spielen – angefangen bei der gezielten Weiterbildung, um die Integrität ihres Codes von Grund auf zu prüfen. Wurde der Update-Mechanismus sicher implementiert? Verfügt die Software über unnötige Verbindungen, die einen Angriff erleichtern könnten?

Wenn Sicherheit gleichbedeutend mit Softwarequalität ist, wird der enorme Mehrwert eines sicherheitsbewussten Entwicklers sofort deutlich.