CISA 史上5番目の緊急指令 – SolarWinds Orion –

SolarWinds Orion(影響を受けるバージョンは2019.4から2020.2.1 HF1)は現在、攻撃者によって悪用されている。これにより攻撃者はネットワークトラフィック管理システムにアクセスしており、影響を受けるデバイスを切断することが現在利用可能な唯一の緩和策となっています。

cyber.dhs.gov – Emergency Directive 21-01

CISAはSolarWindsの悪用により、連邦民間行政機関に容認できないリスクをもたらし、緊急措置を必要とすると判断しました。なお政府機関はCISAがさらなるガイダンスを提供するまで待機し、パッチを適用してSolarWindsOrionを再インストールする必要があります。

脅威アクターの戦術「Persistence」(敵は足場を固めようとしています。)については、MITRE ATT&CKフレームワークを参照してください。https://attack.mitre.org/tactics/TA0003/

必要なアクション

この緊急指令には、次のアクションが必要です。

  1. 次のアクションをすぐに実行する専門知識を持っているエージェンシーは、アクション2に進む前に実行しなければなりません。 またこの機能を持たないエージェンシーは、アクション2に進むものとします。

    a. SolarWindsOrionバージョン2019.4から2020.2.1HF1のすべてのインスタンスをホストするシステムメモリおよび/またはホストオペレーティングシステムのフォレンジックイメージを取得します。特権またはその他の方法で、新しいユーザーまたはサービスアカウントを分析します。

    b. 少数のエージェンシーホスト(SolarWindsシステムなど)が接続している新しい外部DNSドメインなど侵害の兆候がないか保存されているネットワークトラフィックを分析します。
  2. 影響を受ける機関は、SolarWinds Orion製品、バージョン2019.4から2020.2.1 HF1をネットワークからただちに切断するか、電源を切る必要があります。CISAが影響を受けるエンティティにWindowsオペレーティングシステムを再構築してSolarWindsソフトウェアパッケージを再インストールするように指示するまで、政府機関はWindowsホストOSをエンタープライズドメインに(再)参加することを禁じられています。影響を受けるエンティティは、CISAからのさらなる連絡により、利用可能な製品の最新バージョンを利用して信頼できるソースから再構築する前にガイダンスを待つ必要があります。さらに:

    a. SolarWindsOrionソフトウェアの任意のバージョンがインストールされている企業の外部のホストとの間のすべてのトラフィックブロックします

    b.  脅威アクターが制御するすべてのアカウントと特定された永続性メカニズムを特定して削除します。
  3. 2020年12月14日月曜日の東部標準時午後12時までに、政府機関はCISA(https://us-cert.cisa.gov/report)に次のいずれかの存在をインシデントとして報告するものとします。

    a. [B91ce2fa41029f6955bff20079468448]のファイルハッシュを持つ[SolarWinds.Orion.Core.BusinessLayer.dll]

    b. [C:\ WINDOWS \ SysWOW64 \ netsetupsvc.dll]

    c. この問題に関連する他の指標はCISAによって共有されます
  1. すべての脅威アクターが制御するアカウントと特定された永続性メカニズムが削除された後

    a. SolarWinds Orion監視ソフトウェアによって監視されているすべてのホストを脅威アクターによって侵害されたものとして扱い、さらに永続化メカニズムが展開されていると想定します。

    b. 信頼できるソースを使用して、SolarWindsOrion監視ソフトウェアによって監視されているホストを再構築します。

    c. SolarWindsソフトウェアで使用または保存されているすべての資格情報をリセットします。このような資格情報は危険にさらされていると見なす必要があります。

    d. 必要に応じて、または必要に応じて、エンタープライズネットワークからAPTを根絶した経験のあるサードパーティと連携するなど、カーベロアストを修正するためのアクションを実行します。Windows環境の場合は、以下を参照してください。
  2. 2020年12月14日月曜日の東部標準時午後12時までに、提供されたテンプレートを使用してCISAにレポートを送信します。部門レベルの最高情報責任者(CIO)または同等の担当者は、影響を受けるデバイスが切断されたか、電源がオフになったことを証明する完了レポートをCISAに提出する必要があります。

これらの要件は、SolarWindsOrion製品を利用するすべての代理店ネットワークに適用されます。これには、代理店情報を収集、処理、保存、送信、配布、またはその他の方法で維持する、代理店に代わって別のエンティティによって使用または運用される情報システムが含まれます。

CISAアクション

  • CISAは引き続きパートナーと協力して、この脆弱性に関連する積極的な悪用を監視します。CISAは、侵入の痕跡が利用可能になり次第、追加でリリースします。
  • CISAは、CISA Webサイト、緊急指令発行調整コール、および要求に応じた個別の契約(Cyber​​Directives@cisa.dhs.gov)を介して、政府機関に追加のガイダンスを提供します。

デュレーション

この緊急指令は、すべての機関が次のパッチを適用するか、他の適切な措置によって指令が終了するまで有効です。

追加情報

よくある質問

よくある質問への回答を以下に示します。

指令は「専門知識」とはどういう意味ですか?

「専門知識」とは、システムメモリのフォレンジックイメージを取得するための適切なトレーニングを受け、すぐに利用できるツールを備えたスタッフまたはサポート担当者がいることを意味します。

投稿者: 二本松 哲也

志を持った人たちと、夢に向かって共に働くことが私の誇りです。 サイバーセキュリティコンサルタント、IPAセキュリティプレゼンター、OWASPメンバー、2020年度総務省事業 テレワークセキュリティ専門家 I キャリア(個人事業主 PG→SE→PL→PM→ システムコンサルティング事業部 部長)、資格(2級知的財産管理技能士、個人情報保護士)、IPCC 地球温暖化防止コミュニケーター