Overheid VS schrapt zaak tegen SolarWinds over verstrekkende hackaanval

De Amerikaanse beurstoezichthouder SEC laat zijn zaak vallen tegen SolarWinds en de hoogste securitydirecteur daar. Het techbedrijf werd in 2020 gehackt, waarna zijn beheersoftware werd misbruikt om binnen te komen bij veel andere techbedrijven en overheidsinstanties.

De Securities and Exchange Commission noemt geen reden voor het stopzetten van zijn zaak tegen SolarWinds en de chief information security officer (ciso) bij dat bedrijf. In de zomer van vorig jaar wees een Amerikaanse rechter een groot deel van de SEC-zaak tegen SolarWinds af, meldt CyberScoop nu. De afwijzing ging over claims van de Amerikaanse toezichthouder dat het techbedrijf de zogeheten Sunburst-hackaanval niet goed had onthuld. Die hackaanval begon in 2019, werd in 2020 ontdekt en eind dat jaar geopenbaard, en had grote gevolgen.

Kwaadwillenden plaatsten een backdoor genaamd Sunburst in een update voor de beheersoftware Orion van SolarWinds. Orion werd internationaal gebruikt door veel andere bedrijven, waaronder techleveranciers als Microsoft, en door diverse overheidsinstanties. Bij Microsoft kregen de aanvallers toegang tot de broncode van zeker drie producten: cloudsoftware Azure, mail- en agendaserversoftware Exchange en beheersoftware Intune. De aanvallers zouden gelieerd zijn aan Rusland.

De SEC begon eind 2023 een zaak tegen SolarWinds en de ciso. Het bedrijf en die hoogste securitydirecteur zouden informatie over de hack hebben verzwegen en daarmee Amerikaanse beursregels hebben geschonden. De dreiging van persoonlijke aansprakelijkheid voor topbestuurders baarde experts en ciso's wereldwijd zorgen. Dit zou een negatief effect hebben op openbaarmaking van securityincidenten, zou securitymanagers enorme werkdruk opleggen en zou loopbaankeuzes beïnvloeden, wat mogelijk leidt tot een tekort aan beveiligingsexperts.

SolarWinds, de ciso en de toenmalige ceo werden in 2021 al aangeklaagd door aandeelhouders van het techbedrijf. Volgens die aanklachten waren de organisatie en de hoogste verantwoordelijken vóór de hackaanval gewaarschuwd over onveilige zaken in de IT-infrastructuur van de softwareleverancier. Dit was aangetoond en intern aangekaart door een toenmalige beveiligingsstrateeg bij SolarWinds. Het bedrijf trof eind 2022 een schikking met aandeelhouders, waarbij het 26 miljoen dollar betaalde.

Reacties (12)

[Tomino]

Interessant om te lezen dat de aanklachten jegens SolarWinds uit de hoek kwamen van a) de Amerikaanse Beurstoezichthouder en b) class actions. Geen aanklacht vanuit andere wet- en regelgevingen.

Het argument dat gegeven wordt door "de sector" dat aanklachten op CISO en bestuurders zouden leiden tot paniek en minder ingevulde vacatures is waarschijnlijk enkel van toepassing op non-EU landen. Alle EU landen voeren op dit moment de NIS2 Directive in. Bestuurlijke aansprakelijkheid van toepassing! Lees: Bestuurlijke verantwoordelijkheid en opleidingsplicht voor bestuurders | Nationaal Coördinator Terrorismebestrijding en Veiligheid.

[Fox3214]

Gewoon overstappen naar Grafana en Prometheus, SolarWinds is echt een dinosaurous.

[WargamingPlayer]

Niet vergelijkbaar. Solarwinds biedt zo veel waar je niet direct een vervanger kan vinden.

Na de recente overname door een investeringsmaatschappij en aflopende contracten hebben we gezocht naar een alternatief. Zeker omdat het een “VMware-Broadcom achtige”-overname is met nieuwe licentie modellen en prijzen.

Solarwinds gaat er bij ons ook uit. En hebben we besloten om met 3 jaar contract te verlengen en dan wanneer project klaar is, de boete voor vroegtijdig contract opzegging gewoon voor lief nemen.

Eigenlijk het zelfde als wat we wereldwijd met VMware doen. We zijn nu wereldwijd 1000-den VMware ESX hosts en omgevingen naar Hyper-V, Kubenetes, Azure Stack HCI, Intune (WS1 er uit), MS Cloud PC (Horizon er uit) aan het ombouwen en eind Q1 FY27 gaat de stekker uit VMware wat we hebben.

Zelfde eigenlijk als met Oracle. Daar hebben we ook afscheid van genomen.

Bij ons zegt de world board gewoon: Wat prijzen verhogen en licentiekosten omhoog zoals jullie doen. We betalen liever 50 miljoen aan migratie kosten dan dat we 10 miljoen extra kosten gaan betalen.

[Fox3214]

Ik begrijp je punt, maar eerlijk gezegd ben ik zelf helemaal klaar met SolarWinds. Het argument “je vindt geen vervanger omdat SolarWinds zoveel biedt” klopt allang niet meer. SolarWinds is gewoon een grote legacy-suite die alles een beetje doet, maar nergens écht in uitblinkt. De overname en de nieuwe licentiemodellen maken het alleen maar erger.

Er zijn vandaag moderne alternatieven die SolarWinds prima vervangen, maar dan modulair en veel toekomstvaster:

Monitoring (SNMP, syslog, metrics, events):
– Prometheus + Grafana: moderne standaard voor metrics, geschikt voor hybride infra.
– Elastic Stack (ELK): sterk voor logs en eventanalyse.
– Datadog Infra Monitoring: SaaS, krachtig voor hybride/cloud en netwerktelemetrie.

Network configuration & backups (SolarWinds NCM vervanging):
– Nautobot Golden Config: templating, backups, drift-detectie, compliance.
– Nautobot Jobs + integraties: API-gestuurd, GitOps-ready.
– Ansible + Git (IaC): versiebeheer, compliance, provisioning en rollback workflows.

NetFlow / traffic analytics (SolarWinds NTA vervanging):
– Kentik: veel krachtiger dan NTA voor flow-analyse.
– Datadog NPM: vooral goed voor cloud + hybride verkeer.

Alerting & incident routing:
– Alertmanager (Prometheus stack)
– PagerDuty of OpsGenie

De realiteit: migreren kost geld, maar blijven is duurder. Zeker bij vendors die de prijs strategisch verhogen in plaats van het product te verbeteren. Veel organisaties pakken het daarom net als bij VMware of Oracle: liever één keer stevig investeren in migratie dan jaren vastzitten aan een legacy-platform dat steeds duurder wordt.

[WargamingPlayer]

Wij doen heel veel met Solarwinds van Netwerk tot Applicatie monitoring, automaten ticketjes via Setvice Now, 1 interface met dashboards gebaseerd op SAML toegang. Het mooie is dat je 1 platform hebt. Voorbeeld is een Applicatie specifiek dashboard waarin services gemonitord worden, inclusief api’s waar ze naar connecten, maar ook latencie’s op onderliggend netwerk. Waarbij de ene persoon alleen maar kan kijken, een ander heeft een knopje om bijvoorbeeld een frontend node uit te schakelen in de load balancer. Een ander heeft de mogelijkheid om een server en/of service te herstarten en nog veel meer.

Je kan wel 10 producten neerzetten en dan alles aan elkaar proberen te knopen. Maar hier tikt gewoon iedereen. orion/ in de adresbalk van de browser en je bent in de wereld waar je alles kan zien en doen wat je wil.

Dus ja je kan het met meerdere producten, nee je kan het niet met meerdere producten.

[Fox3214]

Ik ben het met je eens dat je zaken eenvoudiger kunt maken door één centrale tool te gebruiken. Het risico daarvan is echter dat je afhankelijk wordt van één leverancier. Door recente beslissingen van SolarWinds en de manier waarop zij omgaan met productstabiliteit, vind ik dat dit risico aanzienlijk is. Daarnaast merk ik dat nieuwe beheerders tegenwoordig weinig ervaring meer opdoen met SolarWinds, maar juist meer met moderne DevOps-tools zoals de producten die ik eerder noemde.

Een alternatief is om een Single Source of Truth te bouwen die integreert met al jullie tooling. Vergelijkbaar met hoe SolarWinds in jullie huidige omgeving functioneert als zowel Single Source of Truth als centraal observatiepunt.

[Kees]

Solarwinds is zooo veel meer dan Grafana en Prometheus. En ze kopen ook genoeg bedrijven over waardoor je ineens 'solarwinds' bovenaan de factuur ziet.

[Fox3214]

Ohh dat geloof ik best, maar mensen bedrijven willen gewoon monitoring. En dat is ook wat in de basis SolarWinds was. Maar ze hebben teveel features geintroduceerd waarbij het constant vol zit met bugs en de basis dingen zoals monitoring vaak niet goed werken.

Plus als je kijkt wat er voor betaalt op minimaal monitoring te krijgen (volgens mij was het per interface wat je betaalt), dan is dat echt het niet waard.

[Arfman]

SolarWinds is wel iets meer dan een monitoringtool zoals de Prometheus/Grafana stack. Het wordt vooral in grote enterprises gebruikt. Dat gezegd hebbende verdient een bedrijf wat zo omgaat met cybersecurity, en dan vooral de plicht die je hebt om openheid van zaken te geven, het niet om nog klanten te krijgen. Ze tonen namelijk ook geen enkele verbetering behalve dat wat hen is opgedragen

[Fox3214]

Mijn ervaring is dat heel veel grote enterprises er vanaf willen. Omdat het en kriem is om te beheren, en dat het vaak enorm hoge kosten met zich mee brengt.

Tegenwoordig zijn er nieuwere tools die veel use cases oplossen van SolarWinds. Voor een veel scherpe prijs, en die ook beter integeren in DevOps.

[closefuture]

Wat ik altijd interessant vind is dat dergelijke tools veelal gedeployed worden om makkelijk "vinkjes te kunnen zetten voor compliance". Dus voor ISO 27001, SOC 2, etc. Deze tools hebben vaak vergaande rechten nodig op de apparaten die zij beheren. En toch neemt eigenlijk niemand dergelijke tools op in de risico analyses van die zelfde compliance frameworks. De auditor gaat jou geen rood vlaggetje geven als er geen risico benoemt word over het gigantische single point of failure wat bijvoorbeeld SolarWinds heet.

En iedereen (althans, de meeste mensen) vinden het ook normaal dat dergelijke tools op zo'n manier geimplementeerd worden dat ze meteen een single point of failure voor een hack zijn. Het is uiteraard ook op andere manieren te implementeren. Waarbij de endpoints de centrale server meer wantrouwen. Maar dat word eigenlijk niet gedaan. Solarwinds deed het in iedergeval niet.

[Reactie gewijzigd door closefuture op 26 november 2025 14:02]

[mission]

Mja als intern bekend is dat iets kwetsbaar is of niet in orde zoals word beweerd dan is het management m.i absoluut aansprakelijk en verantwoordelijk te houden.