SolarWinds: aUpdates que se passaram por dentro da cadeia de confiança

Em dezembro de 2020, o caso SolarWinds mostrou o limite da confiança cega na cadeia de fornecimento. O SolarWinds Orion, ferramenta de monitoramento usada por milhares de organizações, distribuía atualizações legítimas. Essas atualizações, porém, tinham sido adulteradas com uma backdoor, e foram assinadas com o certificado válido do próprio fabricante. Quem instalou a atualização receiveu o malware sem perceber.

A campanha, conhecida como SUNBURST, ficou ativa por meses no ambiente de algumas organizações, e só foi descoberta por uma empresa de segurança que percebeu uma comunicação estranha com um endereço na Europa Oriental. O que impressiona é a etapa seguinte: quando a empresa avisou a SolarWinds, a resposta inicial foi de negação, e a investigação precisou de semanas até que a própria empresa confirmasse a alteração dos binários.

O caso expôs o problema de fundo da cadeia de fornecimento. A assinatura digital garante a autoria, mas não garante a intentions de quem construiu o código, e um processo de build comprometido, com as chaves certas, produz software legítimo e malicioso ao mesmo tempo. Não existe ferramenta que resolva isso sozinha; existem procedimentos.

A lição prática é que a superfície de monitoramento da infraestrutura é tão sensível quanto a de produção. A ferramenta que observa tudo tem acesso a tudo, e por isso precisa de um regime de controle diferente: menor privilégio, acesso restrito, alterações auditadas e, acima de tudo, um caminho independente para reportar incidentes. Porque foi exatamente o que faltou: o canal oficial de aviso foiPercorrido por dentro do produto comprometido.