مروری بر وضعیت امنیت سایبری ایران و جهان سال ۱۳۹۹ حمله وسیع سولارویندز، داستان سایبری قرن

عاشق وب: خیلی از شرکت های مطرح حوزه امنیت اطلاعات برای شناسایی بدافزارهای مرتبط با حملات سایبری، روش ها و دستورالعمل هایی را صادر کرده اند، با این وجود،  هنوز خیلی از سازمان ها مبادرت به بروزرسانی سیستم های خود نکرده اند، درحالی که حمله به زیرساخت های شرکت های مهم و مطرحی مانند سولارویندز، مایکروسافت و سیسکو نشان میدهد حمله به هر شرکت یا سازمان دیگر هم امکان دارد.
به گزارش عاشق وب به نقل از ایسنا، بااینکه به سبب شیوع ویروس کرونا و شرایط دوکاری انتظار می رفت که سال ۱۳۹۹ سالی پرهیاهو در زمینه فناوری اطلاعات باشد، اما شاید کمتری کسی حدس می زد که این سال حتی در اولین روزهای خود در زمینه امنیت سایبری غوغا به پا کند. در نخستین روزهای فروردین سال ۱۳۹۹، نه اخبار مربوط به کرونا، بلکه خبر نشت اطلاعات ۴۲ میلیون کاربر ایرانی تلگرام فضای مجازی کشور را تکان داد.
اما این تنها روزهای ابتدایی سال بود. با نگاهی به اخبار و رخدادهای سال ۱۳۹۹ می توان دریافت که این سال یکی از پرهیجان ترین و پرالتهاب ترین سال ها از دید امنیت سایبری چه برای مردم ایران و چه مردم جهان بوده است.
حملات سولارویندز، zerologon، نشت های اطلاعاتی گسترده و پیشرفت پروژه های کلان کشوری در زمینه فناوری اطلاعات تنها قسمتی از اخبار داغ سال ۱۳۹۹ بودند. مرکز تخصصی آپا دانشگاه صنعتی اصفهان در گزارش خود به حمله وسیع سولارویندز تحت عنوان داستان سال پرداخته و معتقد می باشد اهمیت این حمله می توان آنرا به داستان سایبری قرن هم تبدیل کند.
داستان سال، حملات سولارویندز
شرکت فایرآی در هجدهم آذرماه سال ۱۳۹۹ اعلام نمود مورد هجوم حملات گسترده ای واقع شده که طی این حملات، خیلی از ابزارها و اطلاعات حساس این شرکت به سرقت رفته است. پنج روز بعد، کریس بینگ از رویترز از نفوذ به وزارت خزانه داری ایالات متحده آمریکا پرده برداشت. الن ناکاشیما، تحلیل گر امنیت اطلاعات واشنگتن پست با ارائه مدرکی، این دو حمله را به هم مرتبط دانست و ادعا نمود که هر دو ازطریق یک گروه تهدید روسی به نام APT۲۹ پیاده شده اند و در هر دو حمله از پلت فرم SolarWinds Orion سو استفاده شده است.
محصول Orion شرکت سولارویندز، یک سیستم مدیریت شبکه (Network Management System) یا NMS است که قابلیت های بسیاری برای نظارت و مدیریت سیستم های شبکه از سرورها و ایستگاه های کاری، تا تجهیزات شبکه مانند مسیریاب ها، دیوار آتش و… دارد. برای مهاجمین، NMSها اهداف بسیار مهمی هستند؛ چرا که: سیستم NMS بایستی با تمامی دستگاه های شبکه درارتباط باشد و از این حیث مکانیزم های فهرست دسترسی یا ACLs بر آن اثر ندارد.
بعلاوه، NMS ها اغلب به شکلی پیکربندی می شوند که بتوانند شبکه را نظارت کنند و به رویدادهای آن پاسخ دهند. در صورت نفوذ به NMS این امکان، قابلیت های بسیاری را در اختیار مهاجم قرار خواهد داد. حتی اگر NMS فقط برای نظارت شبکه پیکربندی شده باشد، با به دست آوردن اعتبارنامه ها، مهاجم سطح دسترسی خوبی در شبکه هدف خواهد داشت. «در صورت نفوذ، هر کاری که NMS قادر به انجام آن است؛ مهاجم نیز می تواند انجام دهد.»
حمله زنجیره تامین، حمله ای است که برای نفوذ به یک نهاد، سازمان یا شرکت از ضعیف ترین عنصر (ضعیف ترین حلقه) در زنجیره هدف سو استفاده می شود. در حمله زنجیره تامین سولارویندز نیز از سولارویندز بعنوان حلقه ضعیف برای نفوذ به بزرگ ترین شرکت ها، نهادها و سازمان ها مانند پنتاگون ایالات متحده آمریکا، ناتو، اتحادیه اروپا، چندین وزارتخانه ایالات متحده آمریکا، چندین شرکت دارویی فعال در تولید واکسن کووید ۱۹ و خوش نام ترین شرکتها مانند مایکروسافت، VMware، سیسکو، اینتل، فایرآی و… استفاده شد.
روایت حمله سولارویندز برای نخستین بار در آذرماه سال ۱۳۹۹ گفته شد؛ ولی در حقیقت زمان این حمله به ماه ها قبل تر یعنی اواخر ۱۳۹۸ باز می گردد. مایکروسافت فهرستی از DLL۱۹ آلوده سولارویندز را در گزارشی منتشر نمود که زمان دیده شدن این فایل ها بهمن ماه و اسفندماه ۱۳۹۸ است. هنوز مشخص نیست در این بازه زمانی، مهاجمین چه اطلاعاتی را به سرقت برده اند؟ تا چه اندازه کنترل شبکه های تسخیر شده را به دست گرفته اند و در آینده باتوجه به قابلیت های جدید چه می کنند؟
نیمه پر این داستان این است که خیلی از شرکت های مطرح حوزه امنیت اطلاعات برای شناسایی بدافزارهای در رابطه با این حملات روش ها و دستورالعمل هایی را صادر کرده اند. همین طور شرکت سولارویندز وصله هایی را برای رفع لطمه پذیری های مورد سو استفاده در این حملات منتشر نمود. اما نیمه خالی لیوان آنست که هنوز خیلی از سازمان ها مبادرت به بروزرسانی سیستم های خود نکرده اند. برای مثال با گذشت چندین ماه از انتشار اخبار در رابطه با این حملات پیچیده و گسترده، هنوز نسخه لطمه پذیر سولارویندز بر ۳۰ آدرس IP ایرانی نصب است.
درس هایی برای مدیران امنیت و ناظران شبکه
حملاتی مانند زنجیره تامین سولارویندز درس هایی زیادی برای مدیران امنیت و ناظران شبکه دارند. این که حتی بهترین ها، کامل نیستند. محصول Solarwinds Orion از مهم ترین و محبوب ترین محصولات NMS است که در سراسر جهان استفاده می شود ولیکن این بدین مدلول نیست که از همه نظر – همچون از نظر امنیتی – بی نقص باشد. در نتیجه جهت استفاده از چنین محصولاتی با بهره گیری از رویکرد های اعتماد صفر یا Zero Trust، بایستی ورودی و خروجی هایشان کاملا کنترل و نظارت شود.
گزارش وقوع حمله، کمک به خود و سایر قربانیان است. بااینکه هنوز ابعاد دقیق این حمله کاملا روشن نیست؛ ولیکن چراغ اول شناخت حمله را فایرآی با انتشار وقوع حملات به زیرساخت هایش روشن کرد. اگر شرکتها و سازمان های قربانی حملات سایبری بجای توضیح و تشریح حمله، وقوع آنرا کتمان کنند نه فقط بجای سایر قربانیان به مهاجم کمک می کنند؛ بلکه کمک دیگران را از خود دریغ کرده اند. برای مثال در حمله سولارویندز، بدافزار Sunburst توسط FireEye شناسایی و معرفی گردید. بعد از آن CrowdStrike بدافزار SunSpot را شناسایی کرد؛ شرکت هایی مانند مایکروسافت آنها را تحلیل و روش هایی برای شناسایی شان ارائه کردند و این روند هم افزایی همچنان ادامه دارد.
از آنجائیکه کد بدخواهانه در این حمله به فایل بروزرسانی محصول Solarwinds Orion تزریق شده بود؛ سوال معمول آنست که آیا بروزرسانی ها نباید نصب و اعمال شوند؟! در پاسخ باید گفت حتما باید بروزرسانی ها اعمال شوند ولی نه بصورت خودکار و بدون تحلیل. در رویکرد اعتماد صفر، شما نباید هر وصله یا فایل را بدون تحلیل بارگذاری و نصب کنید. علاوه بر این بدافزار Sunburst با دوره خاموشی ۱۴ روزه اش نشان داده است که تحلیل و بررسی کوتاه مدت ابدا کافی نیست.
مهم تر از همه آن که اهمیت شرکت یا سازمان وابسته تان را جدی بگیرید. به زنجیره تامین شرکت یا سازمان خود توجه کنید و هرگونه ارتباط با حلقه های ضعیف تر این زنجیره را رصد کنید. توجه کنید که اگر به زیرساخت های پیچیده شرکت های مطرح و مهمی مانند سولارویندز، فایرآی، مایکروسافت، سیسکو و سازمان هایی مانند پنتاگون، وزارتخانه های ایالات متحده، ناتو حمله شده است؛ حمله به شرکت یا سازمان شما نیز ممکنست.

منبع: weblover.ir