SolarWinds Orion

redessegurançafornecedores e produtos

Significa: The Orion Platform, SolarWinds' self-hosted monitoring platform and the carrier of the 2020 SUNBURST backdoor

A plataforma de monitoramento auto-hospedada da SolarWinds, base do Network Performance Monitor e dos módulos irmãos, e o software cujas atualizações assinadas carregaram o backdoor SUNBURST em 2020; seus módulos rodam hoje na renomeada SolarWinds Platform.

A SolarWinds descreve a Orion Platform, no passado, como uma plataforma abrangente e escalável de monitoramento e gestão de infraestrutura, projetada para a era dos módulos de monitoramento de rede e restrita à implantação auto-hospedada; seus módulos, Network Performance Monitor, NetFlow Traffic Analyzer, Network Configuration Manager, IP Address Manager, Server & Application Monitor, Virtualization Manager, Storage Resource Monitor e Web Performance Monitor, são hoje auto-hospedados na SolarWinds Platform, que a empresa chama de plataforma nova e mais ampla, construída com princípios de Secure by Design. A razão de o nome antigo ser conhecido muito além das operações de rede é o SUNBURST: em 13 de dezembro de 2020 a FireEye revelou que atualizações do Orion adulteradas, assinadas digitalmente pela SolarWinds, carregavam um backdoor em SolarWinds.Orion.Core.BusinessLayer.dll, e no mesmo dia a Diretiva de Emergência 21-01 da CISA mandou os órgãos federais desconectar ou desligar as versões 2019.4 a 2020.2.1 HF1 do Orion. A história completa está no artigo do Learn sobre o comprometimento da SolarWinds.

A plataforma. O Orion era a base comum sobre a qual os módulos da SolarWinds se instalavam: Network Performance Monitor para a saúde de dispositivos e interfaces, NetFlow Traffic Analyzer para registros de fluxo, Network Configuration Manager para backup e mudança de configuração, IP Address Manager, Server & Application Monitor, Virtualization Manager, Storage Resource Monitor e Web Performance Monitor. Rodava nos servidores do próprio cliente, que é o que a empresa quer dizer hoje ao afirmar que a Orion Platform era restrita à implantação auto-hospedada. A página atual da empresa se intitula 'Orion modules are now self-hosted on the SolarWinds Platform' e apresenta a sucessora como uma plataforma nova e mais ampla, e não um simples rebatismo, construída com princípios de Secure by Design.

Por que uma plataforma de monitoramento é alvo. Um servidor de monitoramento guarda credenciais de tudo o que observa: communities e usuários SNMP, contas de serviço Windows, chaves SSH para backup de configuração, tokens de API dos hipervisores. Fica onde alcança todos os segmentos, porque alcançar todos os segmentos é sua função. Por isso comprometer a atualização do fornecedor valeu o esforço de quem o fez, e por isso a primeira instrução da diretiva não foi corrigir, e sim desconectar.

SUNBURST, nas palavras de quem revelou. FireEye, em 13 de dezembro de 2020: um ataque à cadeia de suprimentos que adulterou atualizações do software SolarWinds Orion para distribuir um malware que ela chamou de SUNBURST, dentro de SolarWinds.Orion.Core.BusinessLayer.dll, um componente do framework Orion assinado digitalmente pela SolarWinds que contém um backdoor comunicando-se por HTTP com servidores de terceiros; após um período inicial dormente de até duas semanas, recuperava e executava tarefas, transferindo e executando arquivos, perfilando o sistema, reiniciando-o, desabilitando serviços, e encontrava seu servidor de comando por um algoritmo de geração de domínios sob avsvmcloud[.]com. A Diretiva de Emergência 21-01 da CISA, no mesmo dia, nomeou as versões Orion Platform 2019.4 HF5, 2020.2 RC1 e RC2, 2020.2 e 2020.2 HF1 e exigiu que os órgãos desconectassem ou desligassem os produtos, fizessem imagem dos hosts, analisassem o tráfego armazenado e reportassem até o meio-dia de 14 de dezembro. O 8-K da própria SolarWinds de 14 de dezembro disse que a vulnerabilidade existia em atualizações lançadas entre março e junho de 2020 e que menos de 18.000 de seus cerca de 33.000 clientes de manutenção do Orion as teriam instalado.

O que mudou depois. A página da plataforma, a linguagem de Secure by Design e o histórico regulatório registrado no verbete SolarWinds da linha do tempo da indústria são as consequências; o artigo do Learn sobre o comprometimento conta a sequência da intrusão de setembro de 2019 à decisão judicial de 2024. Para quem opera, a lição é mais velha que o incidente: o sistema de monitoramento é joia da coroa, e seu canal de atualização é parte da superfície de ataque.

Também conhecido como: orion platform, orion, solarwinds platform, npm orion, sunburst

← Todos os verbetes do glossário