Cas historique
SolarWinds : quand un fournisseur de confiance devient un point d’entrée
Cas historique · Décembre 2020. Dépendances, visibilité et périmètre du rétablissement.
Les faits officiels
Le 17 décembre 2020, CISA signalait des compromissions touchant administrations, infrastructures critiques et entreprises. SolarWinds Orion était un vecteur d’accès initial ; la directive d’urgence 21-01 avait imposé aux agences civiles fédérales concernées de déconnecter les produits Orion affectés. [1] Exposition et compromission confirmée sont des constats différents.
L’enjeu pour le responsable sécurité
Les logiciels de gestion franchissent souvent des frontières sensibles de confiance. Notre analyse : évaluer le fournisseur ne remplace pas le contrôle des privilèges, de la portée réseau et des relations d’identité du logiciel. L’impact dépend de ce que l’intrus peut atteindre, pas seulement de l’inventaire.
Réduire l’exposition
Inventorier les plateformes et comptes de service ; limiter privilèges et connexions sortantes ; conserver des journaux indépendants d’identité et d’administration. Tester l’isolement sans perdre toute visibilité. Ces mesures peuvent réduire les possibilités ou améliorer la détection, sans prouver que cette campagne aurait été empêchée.
Améliorer la réponse
Distinguer exposition et investigation, préserver les preuves, examiner les relations de confiance d’identité et fixer les critères de reconnexion. Le correctif n’est qu’une action de l’investigation. SP 800-61 Rev. 3 guide aujourd’hui l’intégration de la réponse et du risque. [2] Publié en 2025, il ne définit pas la conformité attendue en 2020.
Trois dates, trois décisions
La directive de décembre 2020 présentée par CISA était une mesure immédiate de confinement pour son périmètre fédéral. L’alerte du 17 décembre a élargi la connaissance publique. [1] Le 14 mai 2021, CISA a annoncé des recommandations d’éviction visant les accès persistants. [3] Identifier un produit exposé, rechercher une activité adverse et rétablir la confiance sont trois chantiers. La direction doit suivre chacun, plutôt qu’une unique étiquette « résolu ».
Évaluer sans exagérer les preuves
Examiner l’historique des installations et mises à jour, pas seulement l’inventaire actuel. Identifier emplacements, permissions et journaux conservés. Distinguer absence du produit, exposition possible, activité détectée et preuves insuffisantes : catégories proposées, pas statistiques officielles. L’absence d’alerte peut traduire une télémétrie manquante ; une installation affectée ne prouve pas un vol de données. Faire remonter l’incertitude lorsque manquer une intrusion aurait des conséquences importantes.
L’arbitrage du confinement
Un fournisseur de défense fictif peut dépendre de sa plateforme pour détecter les pannes de sites distants. La déconnecter peut être nécessaire tout en réduisant la visibilité. Autoriser une surveillance alternative, décider des services maintenus et nommer l’autorité de reconnexion. Les intervenants ont besoin de journaux hors de la plateforme suspecte ; les responsables opérationnels doivent savoir ce qui devient invisible. Les deux besoins font partie de la décision.
Rétablir la confiance, pas seulement la disponibilité
Les recommandations ultérieures de CISA visaient à réduire la probabilité d’un accès adverse persistant. [3] Nous recommandons une reprise conditionnée aux résultats : reconstruire si nécessaire, traiter identifiants et relations de confiance exposés, valider la surveillance depuis une administration fiable. L’ordre dépend du périmètre. Restaurer une image sans fermer une voie d’identité compromise peut laisser le problème intact. Distinguer disponibilité et confiance dans l’intégrité.
Les questions de la direction
Connaissons-nous les logiciels fournisseurs privilégiés et leurs responsables ? Pouvons-nous enquêter sans la plateforme habituelle ? Qui accepte l’incertitude restante ? Exiger des processus testés, pas des promesses d’achat. Suivre délais d’évaluation, obtention de preuves utiles et dépendances de reprise. Le cas ne suppose pas tous les fournisseurs compromis ; il exige une confiance explicite, limitée et révisable.
Références
- CISA · AA20-352A announcement · 17 December 2020
- NIST · SP 800-61 Rev. 3 · April 2025
- CISA · Eviction guidance · 14 May 2021
Cyber Policy Review · Analyse éditoriale. Paraphrases originales, sans citation littérale. Les références ne signifient ni certification ni approbation.
Incidents