Microsoft publica atualização final sobre o ataque Solarwinds, revela qual código-fonte do produto da Microsoft os hackers tinham como alvo

Microsoft postou sua atualização final em o ataque Solarwinds que infectou 18,000 empresas no ano passado, incluindo a rede da Microsoft.

A Microsoft afirma que, com base em sua investigação, mais de 1,000 engenheiros inimigos trabalharam no ataque.

“Quando analisamos tudo o que vimos na Microsoft, nos perguntamos quantos engenheiros provavelmente trabalharam nesses ataques. E a resposta a que chegamos foi, bem, certamente mais de 1,000 ”, disse o presidente da Microsoft, Brad Smith.

A Microsoft havia admitido anteriormente que hackers entraram em seu sistema e foram capazes de ver o código-fonte de alguns produtos, mas negou que os hackers pudessem usar os recursos da Microsoft para atacar e infectar outros.

“A investigação também não encontrou nenhuma indicação de que nossos sistemas na Microsoft foram usados ​​para atacar outras pessoas. Por causa de nossas proteções de defesa em profundidade, o ator também não foi capaz de obter acesso a credenciais privilegiadas ou aproveitar as técnicas de SAML contra nossos domínios corporativos ”, disse a equipe MSRC.

A Microsoft revelou quais produtos os hackers tinham como alvo.

Esses repositórios continham código para:

• um pequeno subconjunto de componentes do Azure (subconjuntos de serviço, segurança, identidade)
• um pequeno subconjunto de componentes do Intune
• um pequeno subconjunto de componentes do Exchange

A Microsoft diz que os hackers estavam tentando encontrar segredos no código, mas observou que sua política de desenvolvimento proíbe segredos no código. A Microsoft foi capaz de verificar se os repositórios exibidos não continham nenhuma credencial de produção ao vivo.

Lições Aprendidas

A Microsoft diz que os ataques reforçaram dois aprendizados importantes que eles queriam enfatizar - adotar uma mentalidade Zero Trust e proteger credenciais privilegiadas.

Uma confiança zero, A filosofia de “supor violação” verifica explicitamente o status de segurança de identidade, terminal, rede e outros recursos com base em todos os sinais e dados disponíveis. A Microsoft recentemente compartilhou orientações para usando princípios de Zero Trust para proteger contra ataques sofisticados como Solorigate.

Protegendo credenciais também é essencial. Em implantações que conectam infraestrutura local à nuvem, as organizações podem delegar confiança aos componentes locais. Isso cria uma costura adicional que as organizações precisam proteger. Uma consequência dessa decisão é que, se o ambiente local for comprometido, isso criará oportunidades para os invasores direcionarem os serviços em nuvem. A Microsoft recomenda fortemente o mastering de identidade na nuvem, conforme descrito em protegendo seus serviços de nuvem M365 contra ataques no local.

Você pode ler todas as lições aprendidas na Microsoft aqui.