微软证实SolarWinds黑客访问其源码

微软在31日透露,除了发现内部环境安装了恶意的SolarWinds应用程序之外,进一步的调查发现黑客已访问了该公司的程序代码。

根据微软的说明,他们侦测到少数内部账号的不寻常活动,其中有一个账号被用来查阅多个源码存储库中所存放的源码,不过,该账号并无变更任何程序代码或工程系统的权限,微软也进一步确认未遭到变更。

由于微软在程序代码的开发上是采用“内源”(Inner Source)做法,它遵循开源开发的最佳实践,并于组织内创建类似开源的文化,让内部工程师都能访问源码并进行开发。微软表示,这意味着该公司并非依靠源码的机密性来保障产品安全,且微软的威胁模型其实是假设黑客具备源码知识,因此,仅是查看源码并不会扩大产品的安全风险。

除了坦承黑客的确访问了该公司的源码之外,微软强调,并未发现黑客滥用伪造的SAML令牌来危害微软域名的证据,黑客也未访问微软的各种生产服务或客户资料,此外,黑客并没有利用微软的系统来攻击其它企业。

发表评论