隐匿于众目睽睽之下：为何 SolarWinds 攻击揭示的不仅仅是恶意网络风险

本文部分内容曾刊载于 Dark Reading，现经更新后在此发布。

‍

如果说网络安全行业有什么能毁掉圣诞节，那一定是一场破坏力极强的数据泄露事件，而这起事件正演变成 美国政府有史以来遭遇的最大规模网络间谍活动。

SolarWinds 攻击事件影响深远，威胁行为者早在 2019 年年中 就已入侵了该软件。这场持续数月的窃密行动直到 2020 年 12 月才被发现，当时它被用于渗透知名网络安全公司 FireEye，随后噩梦便由此展开。目前对此次泄露事件的全面调查仍在进行中，但已知的受影响核心部门包括美国国务院、国土安全部、商务部、财政部以及国家卫生研究院。

此次事件的余波将持续发酵，但其展现出的极高复杂性令人震惊。从技术层面来看，这是一次多层面的渗透，涉及定制的恶意工具、后门和隐蔽代码，其手段远超我们常见的那些利用明显漏洞的“脚本小子”。

极其恶劣的代码洗白行为

CrowdStrike 再次展现了其天才般的逆向工程能力，并 详细披露了调查结果。目前已查明，SolarWinds 的基础设施遭到了入侵，导致恶意代码被植入系统更新中，从而产生了至少四种独立的恶意软件工具，为威胁行为者打开了前所未有的访问权限。

这种手段极其隐蔽，展现出一种如同谍战小说般的战略精准度。它为攻击者争取了时间，使其能够从容地在 SolarWinds 网络之外进行侦察、规划，并在他们选定的时机对目标发动全面的供应链攻击。而这一切，都是在看似完全无害的代码掩护下完成的。

网络攻击往往源于简单却代价高昂的错误。一旦被发现，这些失误通常显而易见；比如配置不当的网络、以 明文 存储的密码，或是未打补丁而易受已知漏洞攻击的软件。但在本案中，这些代码毫无破绽，不仅瞒过了开发人员和安全工程师，就连各种昂贵且复杂的安全技术也未能检测出异常。

安全监控和渗透测试工具几乎形同虚设

由于安全专业人员极其稀缺，他们通常依赖一套根据业务安全需求定制的技术栈来协助保护海量的公司数据、软件和基础设施。这通常包括网络防火墙、自动化渗透测试、监控和扫描工具等组件，其中后者在软件开发过程中占用了大量时间。这种工具链往往会迅速膨胀，变得难以管理和执行，许多公司甚至使用了 超过 300 种不同的产品和服务。

SolarWinds 本应拥有一套令人惊叹的工具阵列，用于发现和标记代码中的安全漏洞、拦截未经授权的网络访问尝试、识别基础设施任何部分的潜在威胁，甚至捕捉规避检测的迹象。然而，这些威胁行为者竟能植入恶意代码并避开最先进的安全防御体系，这在历史上尚属首次。

基础设施加固——尤其是访问控制——是网络安全最佳实践的基本组成部分。但如果攻击者能够悄无声息地利用一个微小的机会窗口，那么网络遭受的破坏与独立软件漏洞带来的后果并无二致。

此次泄露事件提醒我们，任何仅依赖工具来保护网络基础设施和软件的公司，都在承担巨大的风险。仅仅保护代码是不够的；所有存储、运行和编译代码的环境都必须进行同等程度的加固。理想的状态是实现工具与人员的平衡，执行稳健的策略，深入评估并减少潜在的攻击面。

跨团队的安全意识有助于构建更有效的威胁模型

SolarWinds 泄露事件已经开始对安全运营产生重大影响，特别是在政府层面。专家们认为，这 可能会彻底重塑网络安全实践。

日益数字化的基础设施支撑着我们的生活，如果管理不善，它就可能成为攻击目标，而我们目前的总体策略存在缺陷。我们在安全专业人才方面严重短缺，却并未采取太多措施来弥补这一差距。以人为本的安全意识是网络安全中被低估的一环，将预防而非反应作为优先事项同样如此。

基础设施安全是一项复杂且涉及多方协作的任务，但正如在软件开发中的定位一样，如果经过适当的培训并具备安全意识，开发人员完全可以成为降低结构性风险的重要资产。

尽管早在 2012 年就有人指出供应链攻击是一种难以用现有技术预防的关键风险，但威胁建模却很少将其纳入考量，这导致许多公司对此准备不足。早在 2012 年就已凸显软件开发人员完全可以在预防工作中发挥作用，而这始于确保他们掌握相关技能，能够从内到外评估代码的完整性。他们是否构建了安全的更新机制？软件运行过程中是否存在不必要的连接，从而导致恶意入侵变得更容易？

当安全与软件质量划上等号时，具备安全意识的工程师所能带来的巨大价值便显而易见。