Microsoft maakt CodeQL-queries open source om SolarWinds-hacks op te sporen

Microsoft heeft een methodiek op internet gezet waarmee bedrijven onderzoek kunnen doen naar de SolarWinds-kwetsbaarheid. Het bedrijf maakt een tool die CodeQL-queries doet, inclusief die queries zelf, open source beschikbaar.

Microsoft zet de queries online naar aanleiding van de SolarWinds-supplychainaanval die in december plaatsvond op bedrijven en Amerikaanse overheidsinstellingen. Microsoft was zelf een van de bedrijven die werden getroffen door een besmette binary in netwerkmonitoringtool Orion. Het bedrijf heeft lange tijd onderzoek gedaan naar de impact van het lek. Nu zegt Microsoft ook andere bedrijven te willen helpen met zelf onderzoek doen binnen hun eigen netwerken.

Voor het onderzoek gebruikte Microsoft CodeQL-queries om de eigen broncode te kunnen scannen op indicators-of-compromise. CodeQL-queries zijn zoekopdrachten die kunnen worden losgelaten op GitHub-repositories om structuur- en leesbaarheidsinconsistenties, maar ook beveiligingsproblemen op te sporen. Daarvoor zijn specifieke .ql-zoekopdrachten nodig. Microsoft heeft nu de queries op GitHub gezet die het zelf gebruikte om besmette Orion-software op te sporen.

Andere bedrijven kunnen die queries gebruiken om te zien of ze overeenkomsten met Solorigate, zoals het lek heet, in hun eigen code terugzien. Het gaat dan bijvoorbeeld om overeenkomsten in syntaxis, maar ook in functionaliteit van code snippets. Microsoft waarschuwt dat de CodeQL-queries altijd onderdeel moeten zijn van een breder onderzoek. "Er is geen garantie dat een aanvaller dezelfde functionaliteit of programmeerstijl bij andere operaties heeft gebruikt", schrijft het bedrijf.

Reacties (13)

[ari3]

Ben niet zo thuis in de Microsoft toolchain, maar is dit vergelijkbaar met SonarQube analyse van Java broncode waar je op basis van regels de kwaliteit in kaart brengt?

[Ruud2001]

Zo te zien is Code QL inderdaad een tool die static code analyse uitvoert, specifiek gericht op security issues. SonarQube heeft ook rules mbt security maar ook nog vele andere gebieden.

Overigens is SonarQube niet beperkt tot Java, maar ondersteunt het heel veel talen zoals C#, Python, C, SQL, etc.

[MeMoRy]

Wisten jullie trouwens dat als je www.github.com veranderd in www.github1s.com de repo wordt geopend in een virtuele vscode instance?

[StefanJanssen]

Het is geheel offtopic, maar wel fijn om te weten

[TheVivaldi]

Waarom is het offtopic? Er wordt in het artikel naar een repo gelinkt, dus dan kun je die toch openen in die instantie met deze tip?

[StefanJanssen]

Het woord "bedrijven" staat in het bericht, zullen we het over ramenwassers hebben?

[Barryke]

Werkt het ook op Windows?

[raptorix]

Is dit niet gewoon Web Assembly wat lokaal draait?

[DeFeCt]

Toch wel netjes!

[Horatius]

Het is dan ook niet Microsofts verantwoordelijkheid om deze spullen te geven aan andere bedrijven, ze hadden dit net zo goed niet kunnen vrijgeven wat voor hun minder werk was geweest.

[windows8fan]

Misschien waren het allemaal losse queries en zijn ze nu pas klaar met het volledige onderzoek en zijn ze gebundeld?

[pven]

Ze doen gelukkig niet aan paniekvoetbal ...