Microsoft pubblica l'aggiornamento finale sull'attacco di Solarwinds, rivelando quale hacker del codice sorgente dei prodotti Microsoft stavano prendendo di mira

Microsoft ha pubblicato il loro ultimo aggiornamento su l'attacco di Solarwinds che ha infettato 18,000 aziende l'anno scorso, inclusa la rete di Microsoft.

Microsoft afferma che, sulla base delle loro indagini, più di 1,000 ingegneri nemici hanno lavorato all'attacco.

“Quando abbiamo analizzato tutto ciò che abbiamo visto in Microsoft, ci siamo chiesti quanti ingegneri hanno probabilmente lavorato a questi attacchi. E la risposta a cui siamo arrivati ​​è stata, beh, sicuramente più di 1,000 ", ha detto il presidente di Microsoft Brad Smith.

Microsoft aveva precedentemente ammesso che gli hacker sono entrati nel loro sistema ed è stata in grado di visualizzare il codice sorgente di alcuni prodotti, ma ha negato agli hacker la possibilità di utilizzare le risorse di Microsoft per attaccare e infettare altri.

“L'indagine non ha inoltre rilevato alcuna indicazione che i nostri sistemi in Microsoft siano stati utilizzati per attaccare altri. A causa delle nostre protezioni di difesa in profondità, l'attore non è stato anche in grado di ottenere l'accesso a credenziali privilegiate o di sfruttare le tecniche SAML contro i nostri domini aziendali ", ha affermato il team MSRC.

Microsoft ha rivelato quali prodotti stavano prendendo di mira gli hacker.

Questi repository contenevano codice per:

• un piccolo sottoinsieme di componenti di Azure (sottoinsiemi di servizio, sicurezza, identità)
• un piccolo sottoinsieme di componenti di Intune
• un piccolo sottoinsieme di componenti di Exchange

Microsoft afferma che gli hacker stavano cercando di trovare segreti nel codice, ma ha notato che la loro politica di sviluppo vieta i segreti nel codice. Microsoft è stata in grado di verificare che i repository visualizzati non contenessero credenziali di produzione live.

Lezioni apprese

Microsoft afferma che gli attacchi hanno rafforzato due insegnamenti chiave che volevano sottolineare: l'abbraccio di una mentalità Zero Trust e la protezione delle credenziali privilegiate.

Una fiducia zero, La filosofia "presume violazione" verifica esplicitamente lo stato di sicurezza di identità, endpoint, rete e altre risorse in base a tutti i segnali e dati disponibili. Microsoft ha recentemente condiviso una guida per utilizzando i principi Zero Trust per proteggersi da attacchi sofisticati come Solorigate.

Protezione delle credenziali è anche essenziale. Nelle distribuzioni che connettono l'infrastruttura locale al cloud, le organizzazioni possono delegare l'attendibilità ai componenti locali. Questo crea un'ulteriore cucitura che le organizzazioni devono proteggere. Una conseguenza di questa decisione è che se l'ambiente locale è compromesso, ciò crea opportunità per gli aggressori di prendere di mira i servizi cloud. Microsoft consiglia vivamente di padroneggiare l'identità nel cloud, come descritto in proteggere i servizi cloud M365 dagli attacchi in sede.

Puoi leggere tutte le lezioni apprese in Microsoft qui.