Een firewall die was ingesteld om uitgaand verkeer te blokkeren had de SolarWinds-aanval bij organisaties gestopt, zo stelt het Cybersecurity and Infrastructure Security Agency (CISA) van het Amerikaanse ministerie van Homeland Security op vragen van de Amerikaanse senator Ron Wyden.

Bij de aanval wisten aanvallers toegang te krijgen tot systemen van softwarebedrijf SolarWinds. Vervolgens werden updates voor het Orion-platform van SolarWinds voorzien van een backdoor, die met verschillende domeinen verbinding maakte. Via deze backdoor konden de aanvallers aanvullende malware bij een selecte groep slachtoffers installeren. Tijdens een briefing over de aanval liet de directeur van SolarWinds weten dat er geen reden was om Orion-servers verbinding met willekeurige servers op het internet te laten maken.

Wyden vroeg het CISA of de SolarWinds-malware kon worden geneutraliseerd wanneer getroffen organisaties een firewall gebruikten die uitgaande verbindingen van de Orion-servers naar het internet blokkeerde. Dat is inderdaad het geval, aldus de Amerikaanse overheidsinstantie in een antwoord op de vraag van de senator (pdf). Het CISA is bekend met verschillende netwerken van getroffen organisaties waar de firewall uitgaande verbindingen van de backdoor blokkeerde en zo er geen aanvullende malware werd geïnstalleerd.

Wel waarschuwt de overheidsinstantie dat het gebruik van een firewall die uitgaand verkeer blokkeert niet bij alle inbraken op systemen van toepassing is. Daarnaast kan het instellen van een firewall op deze manier mogelijk niet haalbaar zijn gegeven de operationele vereisten van sommige overheidsinstellingen.