微软对引起广泛关注的SolarWinds网络攻击的调查仍在继续，有关攻击者意图的更多信息曝光。

这起被微软（Microsoft）称为Solorigate（网络安全公司FireEye称为Sunburst）的攻击，造成了许多引人注目的目标，尤其是美国**部门。

微软透露疑似太阳风的最终目标

就好像声称美国财政部、国土安全部、国务院、国防部、能源部和商务部等部门的头皮是不够的，微软最近的一个安全博客指出，攻击的实际目标是云存储资产。

相关报道：微软在SolarWinds攻击的根源上阻止了Sunburst恶意软件

攻击者通过恶意的SolarWinds Orion更新访问了目标网络。由于之前破坏了SolarWinds并将恶意文件**到软件更新中，攻击者在安装更新时被授予完全访问网络的权限。

一旦进入，攻击者“几乎没有被检测到的风险，因为签名的应用程序和二进制文件是公共的，并且被认为是可信的。”

因为被发现的风险很低，攻击者可以选择目标。安装后门后，攻击者可以花时间找出继续探索网络的价值，将“低价值”网络作为备用选项。

相关报道：微软证实SolarWinds违规影响核心产品

微软认为，攻击者的最终动机是利用“后门访问窃取凭据、提升权限，并横向移动以获得创建有效SAML令牌的能力”

SAML（Security Assertion Markup Language）令牌是一种安全密钥。如果攻击者可以窃取SAML签名密钥（如主密钥），他们可以创建并验证自己创建的安全令牌，然后使用这些自验证密钥访问云存储服务和电子邮件服务器。

With the ability to create illicit SAML tokens, the attackers can access sensitive data without having to originate from a compromised device or be confined to on-premises persistence. By abusing API access via existing OAuth applicati*** or service principals, they can attempt to blend into the normal pattern of activity, most notably apps or service principals.

****局同意滥用身份验证

早在2020年12月，美国****局（National Security Agency）发布了一份名为“检测滥用身份验证机制”（Detecting of Authentication Mechani**）的官方网络安全咨询（PDF）。该咨询非常证实了微软的分析，即攻击者想窃取SAML令牌以创建新的签名密钥。

The actors leverage privileged access in the on-premises environment to subvert the mechani**s that the organization uses to grant access to cloud and on-premises resources and/or to compromise administrator credentials with the ability to manage cloud resources.

微软的安全博客和美国****局的网络安全顾问都包含加强网络安全以抵御攻击的信息，以及网络管理员如何发现任何渗透迹象的信息。