SolarWindsサプライチェーン攻撃から学ぶ第三者リスク管理

「自社のセキュリティ対策は万全なのに、なぜ侵害されるリスクが残るのだろう？」
「サプライチェーン攻撃って名前は聞くけど、具体的にどんな攻撃なの？」

チップス

ボス、ニュースで「SolarWinds」って聞いたんでしゅけど、自分の会社でそのソフト使ってないから関係ないでしゅよね？

ボス

それが大きな誤解だな。
この事件は「使っているかどうか」より、「信頼しているソフトウェアを無条件に信じること」の危うさを示しているんだ。
どんな組織も無関係とは言えない教訓がある。

2020年12月、世界のセキュリティ業界を揺るがす大事件が明らかになりました。
米国のIT企業SolarWindsが提供するネットワーク管理ソフト「Orion」の正規アップデートに悪意あるバックドアが仕込まれ、米国政府機関を含む約18,000もの政府・民間ユーザーが侵害されたソフトウェアをダウンロードしました。
攻撃者は約9か月間にわたって誰にも気づかれることなくシステムに潜伏し、機密情報へのアクセスを続けていたとされています。
信頼していたベンダーの正規製品そのものが攻撃の入り口になるという、従来のセキュリティの常識を根底から覆した事件です。

この事件はサプライチェーン攻撃の典型例として、今日のセキュリティ対策の常識を変えました。
「信頼できるベンダーの製品」という前提がいかに危険かを改めて問い直し、自組織の防御を見直すきっかけにしてください。

SolarWindsサプライチェーン攻撃とは何だったのか

SolarWindsサプライチェーン攻撃は、ITベンダーのソフトウェア供給システムそのものを侵害し、正規の更新経路を通じてマルウェアを大規模配布した史上最大規模のサイバー作戦です。

ビルドシステムに忍び込んだ「SUNBURST」の正体

攻撃者はSolarWinds社のネットワーク管理ソフト「Orion」のビルドプロセスに侵入し、2020年3月から6月にかけてリリースされたOrionのバージョン2019.4 HF 5、2020.2（ホットフィックスなし）、2020.2 HF 1に「SUNBURST」と名付けられたバックドアを埋め込みました。

バックドアが挿入されたファイルは「SolarWinds.Orion.Core.BusinessLayer.dll」という正規コンポーネントであり、SolarWindsの正規のデジタル証明書で署名されていました。
Orionは世界中の大企業や政府機関のネットワーク機器を一元管理するエンタープライズソフトウェアとして広く採用されており、その信頼性が逆手に取られた形です。

SUNBURSTの主な特徴は以下のとおりです。

これほど精巧な設計が可能だった背景には、攻撃者がSolarWindsの開発環境を深く調査し、正規製品の「ふるまい」を完全に把握していたことがあります。
単なるマルウェアではなく、長期潜伏と選別的活動を前提とした、国家レベルのサイバー兵器と評価されています。

チップス

えっ、セキュリティ研究者のパソコンだと活動を止めるって、どうやって見分けるんでしゅか？

ボス

侵入後に端末の環境を調べ、特定のプロセス名やIPアドレス範囲を検出したときに休止するよう組まれているんだ。
攻撃者が自分の「仕事」を守るための設計だな。

9か月も気づかれなかった巧妙な隠蔽工作

SUNBURSTは通信の段階でも徹底した痕跡消去を行いました。
C2サーバーとの通信はOrionの正規APIトラフィックに見せかけており、ネットワーク上ではただのOrion通常通信としか見えませんでした。
攻撃者はさらに「Teardrop」というメモリ上でのみ動作する追加マルウェアを展開し、ディスクへの書き込みを最小限にしてフォレンジック調査を困難にしました。

SUNBURSTの隠蔽技術を整理すると以下のようになります。

9か月という長期にわたって気づかれなかった要因は、これら複数の隠蔽技術の組み合わせにありました。
既存のシグネチャベースの検知ツールはもちろん、振る舞い検知でも正規の動作との区別が極めて困難な設計になっていたのです。

連鎖した被害と世界への衝撃

SolarWindsのOrionを通じた侵害は、米国政府の中枢を含む広範な組織に深刻な影響を与えました。

米国政府機関を直撃した侵害の実態

悪意あるOrionのアップデートをダウンロードした組織は約18,000に上ると報告されています。
そのうち実際に攻撃者によって積極的に侵害されたと見られるのは約100組織で、多くが米国政府機関や大企業でした。

被害を受けた主な機関・組織は以下のとおりです。

特に深刻だったのは電子メールの盗聴です。
米国財務省と商務省（NTIA）では、幹部の電子メールアカウントが数か月にわたって傍受されていたと報告されており、政策立案の中枢に近い機関にまで侵害が及んでいたことを示しています。

チップス

1万8千もの組織がそのソフトをダウンロードしたんでしゅか！
それって世界中のあらゆる会社が危ないってことじゃないでしゅか！

ボス

数は多いが、攻撃者が実際に積極的に活動したのは約100組織だ。
ダウンロードしたすべての組織から情報を抜き取ることが目的ではなく、厳選した高価値標的への足がかりにすることが狙いだったと考えられているんだ。

FireEyeの気づきから対応までの経緯

この攻撃が世界に知られるきっかけは、セキュリティ企業FireEyeの自社被害公表でした。
2020年12月8日、FireEyeは自社のレッドチームツールが盗まれていることを検知し、調査の過程でSolarWindsのOrionが感染していることを突き止めました。
その後の対応は急速に進み、米国の主要機関が連携して動きました。

発覚から対応までの主な経緯は以下のとおりです。

攻撃者はロシアの対外情報機関SVR（APT29、別名「Cozy Bear」）であると、米国政府が公式に認定しています。
APT29は過去にも2016年の米国民主党全国委員会（DNC）へのハッキングなど、国家レベルのサイバースパイ活動で知られるグループです。

なぜ既存のセキュリティで検知できなかったのか

SUNBURSTが2020年3月頃から配布されていたにもかかわらず、発覚が12月だったという事実は、現代のセキュリティ監視体制の盲点を浮き彫りにしています。

サプライチェーン攻撃が持つ構造的な検知困難性

通常のサイバー攻撃は、外部からの不正アクセス試行という形をとります。
この場合、ファイアウォールやIDS/IPSが検知の最前線として機能します。
しかしサプライチェーン攻撃では、信頼された正規のソフトウェアが「橋頭保」になるため、検知の前提が根本から崩れます。

サプライチェーン攻撃の検知が困難な理由は、以下のポイントに集約されます。

SolarWindsのOrionはネットワーク管理ソフトそのものであるため、多数のネットワーク機器に対して広範な権限を持っています。
攻撃者はその権限を正規に活用して侵害を広げたため、「管理者が通常の管理作業をしている」という正常な動作に見えていたのです。

チップス

それって、どんなにセキュリティを頑張っても防げないってことでしゅか？なんか絶望的でしゅ…。

ボス

完璧な防御はないが、諦める必要はない。
この攻撃が教えてくれたのは「どこから侵害されるか」の前提を変えなければいけないということだ。
自分の組織だけ守ればいいという考えから、サプライチェーン全体を見渡す視点への転換が求められているんだ。

正規の権限を使った侵害拡大の手口

SUNBURSTが組織内に足がかりを作った後、攻撃者は正規の管理ツールを使って侵害を横展開しました。
Orionが持つ高い権限を活用してActive Directoryの認証情報を取得し、メールサーバーや内部システムへのアクセスを拡大していったとされています。

事後調査で明らかになった問題点は以下のとおりです。

これらの問題は個々の組織のミスというよりも、業界全体で「信頼できるベンダー製品は安全」という前提のもとに設計されてきた慣行の限界を示しています。
CISAはこの攻撃の事後報告書（Alert AA20-352A）の中で、これらの問題点を詳細に指摘しています。

セキュリティエンジニアへの教訓

SolarWindsサプライチェーン攻撃は、セキュリティの基本前提を書き換えた事件です。
ここで示された教訓は、今日の組織のセキュリティ設計に直接活かせるものばかりです。

ソフトウェアサプライチェーンの可視化と審査

この事件が突きつけた最大の教訓は「信頼できるベンダーの製品でも安全とは限らない」という現実です。
従来の設計では、正規署名済みのソフトウェアは基本的に信頼されてきました。
しかしSolarWinds事件以降、ソフトウェアのサプライチェーン全体を検証するアプローチが業界標準として求められるようになりました。

組織が取り組むべき具体的な対策は以下のとおりです。

米国では2021年5月のバイデン大統領令（EO 14028）でSBOMの導入が政府調達ソフトウェアに義務付けられ、日本でも経済産業省がSBOMの導入促進方針を定めています。
自組織のソフトウェア資産の棚卸しから始めることが、サプライチェーンリスクへの第一歩です。

ゼロトラストアーキテクチャへの移行

SolarWinds攻撃は「内部ネットワークにいるものは信頼できる」という古い前提を完全に崩しました。
ゼロトラストアーキテクチャは「何も信頼せず、常に検証する（Never trust, always verify）」を原則とするセキュリティモデルです。
この事件を受けてバイデン政権はEO 14028でゼロトラストの導入を全連邦機関に義務付け、米国家安全保障局（NSA）もゼロトラストへの移行ガイダンスを公開しました。

ゼロトラストアーキテクチャの主要コンポーネントは以下のとおりです。

ゼロトラストは一夜で実現できるものではありませんが、「まず特権アカウントの棚卸しと最小権限化から始める」という小さな一歩が、次のSolarWinds級の攻撃を防ぐ土台になります。

チップス

ゼロトラストって難しそうでしゅけど、情シス2年目のオイラでも何かできることはあるでしゅか？

ボス

もちろんだ。
まずは自分の担当システムで「本当に必要な権限はどれか」を整理するだけでいい。
不要な管理者権限を一つ削るだけでも、攻撃者が横展開できる経路を一つ潰すことになるんだ。

まとめ

SolarWindsサプライチェーン攻撃は、単なる企業侵害にとどまらず、「ソフトウェアの供給経路そのものを兵器として使う」という新次元のサイバー作戦でした。
正規の更新経路を通じて約18,000の政府・民間ユーザーが侵害されたソフトウェアをダウンロードし、攻撃者は9か月間も検知されずに活動し続けました。
この事件が投げかけた問いは明確です。あなたの組織は、導入しているソフトウェアのサプライチェーンを無条件に信頼していませんか？

今日から取り組めることは以下のとおりです。

SolarWinds事件はセキュリティの歴史を書き換えた事件です。
その教訓を自組織の防御に活かすことが、次の攻撃に備える第一歩になります。
セキュリティエンジニアとして、「信頼できるものを疑う」という逆説的な姿勢が、今こそ求められています。