Bij het SolarWinds-incident dat in december 2020 aan het licht kwam, drongen aanvallers de buildomgeving van software voor IT-beheer binnen en werd kwaadaardige code in legitieme updates verwerkt. De updates werden verspreid met de legitieme codehandtekening van de ontwikkelaar. Wat is de meest passende les uit dit incident?

Antwoord: C. Een codehandtekening toont alleen wie heeft ondertekend en of de code na het ondertekenen is gewijzigd, dus ontwikkelaars moeten de buildomgeving beschermen en gebruikers moeten ook het gedrag van vertrouwde software bewaken

Codeondertekening bevestigt wie heeft ondertekend en dat de inhoud na het ondertekenen niet is gewijzigd; kwaadaardige code die vóór het ondertekenen is toegevoegd, kan ze niet herkennen. Bij het SolarWinds-incident, een schoolvoorbeeld van een aanval op de toeleveringsketen van software, werd tijdens de build kwaadaardige code toegevoegd, zodat die als legitieme ondertekende updates bij veel organisaties terechtkwam. Ook bij de backdoor in xz-utils, die in maart 2024 werd ontdekt, smokkelde iemand die lange tijd het vertrouwen als ontwikkelaar had opgebouwd, kwaadaardige code in de verspreide bestanden. Het is belangrijk dat ontwikkelaars de buildomgeving isoleren en beschermen en de herkomst van broncode tot build vastleggen en verifiëren, en dat gebruikers ook vertrouwde software met EDR en vergelijkbare hulpmiddelen bewaken op verdacht verkeer en gedrag.