Microsoft publica una actualización final sobre el ataque Solarwinds, revela a qué código fuente de productos de Microsoft se dirigían los piratas informáticos

Microsoft ha publicado su actualización final sobre el ataque Solarwinds que infectó a 18,000 empresas el año pasado, incluida la red de Microsoft.

Microsoft dice que, basándose en su investigación, más de 1,000 ingenieros enemigos han trabajado en el ataque.

“Cuando analizamos todo lo que vimos en Microsoft, nos preguntamos cuántos ingenieros probablemente han trabajado en estos ataques. Y la respuesta a la que llegamos fue, bueno, ciertamente más de 1,000 ”, dijo el presidente de Microsoft, Brad Smith.

Microsoft había admitido anteriormente que los piratas informáticos habían ingresado a su sistema y pudieron ver el código fuente de algunos productos, pero negó que los piratas informáticos pudieran usar los recursos de Microsoft para atacar e infectar a otros.

“La investigación tampoco encontró indicios de que nuestros sistemas en Microsoft fueran utilizados para atacar a otros. Debido a nuestras protecciones de defensa en profundidad, el actor tampoco pudo obtener acceso a credenciales privilegiadas o aprovechar las técnicas SAML contra nuestros dominios corporativos ”, dijo el equipo de MSRC.

Microsoft reveló a qué productos se dirigían los piratas informáticos.

Estos repositorios contenían código para:

• un pequeño subconjunto de componentes de Azure (subconjuntos de servicio, seguridad, identidad)
• un pequeño subconjunto de componentes de Intune
• un pequeño subconjunto de componentes de Exchange

Microsoft dice que los piratas informáticos estaban tratando de encontrar secretos en el código, pero notaron que su política de desarrollo prohíbe los secretos en el código. Microsoft pudo verificar que los repositorios visualizados no contenían credenciales de producción en vivo.

Lecciones aprendidas

Microsoft dice que los ataques han reforzado dos aprendizajes clave que querían enfatizar: adoptar una mentalidad de Confianza Cero y proteger las credenciales privilegiadas.

Una confianza cero, La filosofía de “asumir incumplimiento” verifica explícitamente el estado de seguridad de la identidad, el punto final, la red y otros recursos basándose en todas las señales y datos disponibles. Microsoft compartió recientemente una guía para utilizando los principios de Confianza Cero para protegerse contra ataques sofisticados como Solorigate.

Protección de credenciales también es fundamental. En las implementaciones que conectan la infraestructura local a la nube, las organizaciones pueden delegar la confianza en los componentes locales. Esto crea una costura adicional que las organizaciones deben asegurar. Una consecuencia de esta decisión es que si el entorno local se ve comprometido, esto crea oportunidades para que los atacantes apunten a los servicios en la nube. Microsoft recomienda encarecidamente dominar la identidad en la nube, como se describe en proteger sus servicios en la nube de M365 de los ataques en las instalaciones.

Puedes leer todas las lecciones aprendidas en Microsoft esta página.