{"license":"CC-BY-4.0","document":{"id":"0062bae0-c753-54ee-af2f-8f6f1c2bdd79","slug":"us-ed-21-01-solarwinds-orion-2020","title_original":"ED 21-01: Mitigate SolarWinds Orion Code Compromise","title_it":"ED 21-01: mitigare la compromissione del codice di SolarWinds Orion","title_fr":"ED 21-01 : atténuer la compromission du code de SolarWinds Orion","title_es":"ED 21-01: mitigar el compromiso del código de SolarWinds Orion","title_de":"ED 21-01: Eindämmung der Kompromittierung des Codes von SolarWinds Orion","short_title":{"it":"ED 21-01 – Compromissione di SolarWinds Orion","en":"ED 21-01 – SolarWinds Orion code compromise","fr":"ED 21-01 – Compromission de SolarWinds Orion","es":"ED 21-01 – Compromiso de SolarWinds Orion","de":"ED 21-01 – Kompromittierung von SolarWinds Orion"},"document_type":"directive","jurisdiction":"US","issuing_body":"Cybersecurity and Infrastructure Security Agency (CISA)","official_number":"ED 21-01","aliases":["ED-21-01","Emergency Directive 21-01","SolarWinds","SolarWinds Orion","SVR"],"date_adopted":"2020-12-13","date_in_force":"2020-12-13","key_dates":[{"date":"2020-12-14","label":{"it":"Segnalazione alla CISA degli indicatori di compromissione e relazione sullo stato, con attestazione dello scollegamento dei prodotti (ore 12 EST)","en":"Indicators of compromise reported to CISA and status report submitted, attesting that affected products were disconnected (12 pm EST)","fr":"Signalement à la CISA des indicateurs de compromission et rapport d'état attestant la déconnexion des produits (12 h EST)","es":"Comunicación a la CISA de los indicadores de compromiso e informe de estado que acredita la desconexión de los productos (12:00 EST)","de":"Meldung der Kompromittierungsindikatoren an die CISA und Statusbericht mit Bestätigung der Trennung der betroffenen Produkte (12 Uhr EST)"}},{"date":"2021-01-06","label":{"it":"Indicazioni supplementari V3: categorie di reti, analisi forense e 12 condizioni per continuare a usare Orion","en":"Supplemental Guidance V3: network categories, forensic analysis and 12 conditions for continuing to run Orion","fr":"Instructions complémentaires V3 : catégories de réseaux, analyse forensique et 12 conditions pour continuer à utiliser Orion","es":"Orientaciones complementarias V3: categorías de redes, análisis forense y 12 condiciones para seguir usando Orion","de":"Ergänzende Hinweise V3: Netzkategorien, forensische Analyse und 12 Bedingungen für den Weiterbetrieb von Orion"}},{"date":"2021-07-16","label":{"it":"Direzione supplementare V4: istruzioni di pre-espulsione ed espulsione dell'attaccante per le reti con attività successiva (ore 12 EDT)","en":"Supplemental Direction V4: pre-eviction and eviction instructions for networks with follow-on activity (noon EDT)","fr":"Instructions complémentaires V4 : mesures de pré-éviction et d'éviction de l'attaquant pour les réseaux avec activité ultérieure (12 h EDT)","es":"Dirección complementaria V4: instrucciones de preexpulsión y expulsión del atacante para las redes con actividad posterior (12:00 EDT)","de":"Ergänzende Anweisung V4: Maßnahmen zur Vorbereitung und Durchführung der Vertreibung des Angreifers in Netzen mit Folgeaktivität (12 Uhr EDT)"}},{"date":"2026-01-08","label":{"it":"Direttiva chiusa dalla CISA perché i suoi obiettivi sono stati raggiunti","en":"Directive retired by CISA because its objectives were achieved","fr":"Directive close par la CISA, ses objectifs ayant été atteints","es":"Directiva cerrada por la CISA porque se alcanzaron sus objetivos","de":"Richtlinie von der CISA beendet, da ihre Ziele erreicht wurden"}}],"status":"scaduto","languages":["en"],"summary":{"it":"Direttiva di emergenza emanata dalla CISA il 13 dicembre 2020 dopo la compromissione del codice di SolarWinds Orion, le versioni da 2019.4 a 2020.2.1 HF1, attività attribuita poi dal governo statunitense al servizio di intelligence esterno russo (SVR). Le agenzie federali dovevano creare immagini forensi dei sistemi interessati, se in grado di farlo, scollegare o spegnere subito i prodotti Orion, bloccare il traffico verso l'esterno, rimuovere account e meccanismi di persistenza dell'attaccante e, entro le 12 del 14 dicembre 2020, segnalare gli indicatori di compromissione e inviare una relazione attestata dal CIO. Le indicazioni supplementari di dicembre 2020 e gennaio 2021 hanno precisato le versioni interessate, classificato le reti in tre categorie e fissato 12 condizioni per chi accettava il rischio di continuare a usare Orion. La direzione supplementare V4 del 22 aprile 2021 ha imposto alle reti con attività successiva dell'attaccante di seguire le istruzioni di espulsione entro il 16 luglio 2021.","en":"Emergency directive issued by CISA on 13 December 2020 after the compromise of SolarWinds Orion code, versions 2019.4 through 2020.2.1 HF1, activity later attributed by the US government to the Russian Foreign Intelligence Service (SVR). Federal agencies had to take forensic images of affected systems where they had the capability, immediately disconnect or power down Orion products, block external traffic, remove threat actor accounts and persistence mechanisms and, by 12 pm on 14 December 2020, report indicators of compromise and submit a status report attested by the CIO. Supplemental guidance issued in December 2020 and January 2021 clarified the affected versions, sorted networks into three categories and set 12 conditions for agencies accepting the risk of running Orion. Supplemental Direction V4 of 22 April 2021 required networks with follow-on threat actor activity to carry out eviction instructions by 16 July 2021.","fr":"Directive d'urgence émise par la CISA le 13 décembre 2020 après la compromission du code de SolarWinds Orion, versions 2019.4 à 2020.2.1 HF1, activité attribuée ensuite par le gouvernement américain au service de renseignement extérieur russe (SVR). Les agences fédérales devaient réaliser des images forensiques des systèmes concernés si elles en avaient la capacité, déconnecter ou éteindre immédiatement les produits Orion, bloquer le trafic vers l'extérieur, supprimer les comptes et mécanismes de persistance de l'attaquant et, avant 12 h le 14 décembre 2020, signaler les indicateurs de compromission et transmettre un rapport attesté par le CIO. Les instructions complémentaires de décembre 2020 et janvier 2021 ont précisé les versions concernées, classé les réseaux en trois catégories et fixé 12 conditions pour les agences acceptant le risque de continuer à utiliser Orion. Les instructions complémentaires V4 du 22 avril 2021 ont imposé aux réseaux présentant une activité ultérieure de l'attaquant d'appliquer les mesures d'éviction avant le 16 juillet 2021.","es":"Directiva de emergencia emitida por la CISA el 13 de diciembre de 2020 tras el compromiso del código de SolarWinds Orion, versiones 2019.4 a 2020.2.1 HF1, actividad atribuida después por el Gobierno estadounidense al servicio de inteligencia exterior ruso (SVR). Las agencias federales debían crear imágenes forenses de los sistemas afectados si tenían capacidad para ello, desconectar o apagar de inmediato los productos Orion, bloquear el tráfico hacia el exterior, eliminar las cuentas y mecanismos de persistencia del atacante y, antes de las 12:00 del 14 de diciembre de 2020, comunicar los indicadores de compromiso y enviar un informe acreditado por el CIO. Las orientaciones complementarias de diciembre de 2020 y enero de 2021 precisaron las versiones afectadas, clasificaron las redes en tres categorías y fijaron 12 condiciones para las agencias que aceptaban el riesgo de seguir usando Orion. La dirección complementaria V4 del 22 de abril de 2021 obligó a las redes con actividad posterior del atacante a aplicar las instrucciones de expulsión antes del 16 de julio de 2021.","de":"Notfallrichtlinie, die die CISA am 13. Dezember 2020 nach der Kompromittierung des Codes von SolarWinds Orion, Versionen 2019.4 bis 2020.2.1 HF1, erlassen hat; die Regierung der Vereinigten Staaten schrieb die Aktivität später dem russischen Auslandsnachrichtendienst (SVR) zu. Die Bundesbehörden mussten, soweit sie dazu in der Lage waren, forensische Abbilder der betroffenen Systeme erstellen, Orion-Produkte sofort trennen oder abschalten, den Verkehr nach außen blockieren, Konten und Persistenzmechanismen des Angreifers entfernen und bis zum 14. Dezember 2020, 12 Uhr, Kompromittierungsindikatoren melden und einen vom CIO bestätigten Statusbericht übermitteln. Ergänzende Hinweise vom Dezember 2020 und Januar 2021 präzisierten die betroffenen Versionen, teilten die Netze in drei Kategorien ein und legten 12 Bedingungen für Behörden fest, die das Risiko eines Weiterbetriebs von Orion in Kauf nahmen. Die ergänzende Anweisung V4 vom 22. April 2021 verpflichtete Netze mit Folgeaktivität des Angreifers, bis zum 16. Juli 2021 die Anweisungen zu dessen Vertreibung umzusetzen."},"scope":{"it":"Agenzie federali con reti che utilizzano SolarWinds Orion, compresi i sistemi gestiti da terzi per loro conto. Erano esclusi i sistemi di sicurezza nazionale e i sistemi del Dipartimento della Difesa e della comunità di intelligence.","en":"Federal agencies with networks using SolarWinds Orion, including systems operated by third parties on their behalf. National security systems and Department of Defense and intelligence community systems were excluded.","fr":"Agences fédérales dont les réseaux utilisent SolarWinds Orion, y compris les systèmes exploités pour leur compte par des tiers. Les systèmes de sécurité nationale et ceux du département de la Défense et de la communauté du renseignement étaient exclus.","es":"Agencias federales con redes que utilizan SolarWinds Orion, incluidos los sistemas gestionados por terceros en su nombre. Quedaban excluidos los sistemas de seguridad nacional y los del Departamento de Defensa y de la comunidad de inteligencia.","de":"Bundesbehörden mit Netzen, in denen SolarWinds Orion eingesetzt wird, einschließlich der von Dritten in ihrem Auftrag betriebenen Systeme. Ausgenommen waren Systeme der nationalen Sicherheit sowie Systeme des Verteidigungsministeriums und der Nachrichtendienste."},"topics":["public-administration","supply-chain","incident-response"],"source_url":"https://www.cisa.gov/news-events/directives/ed-21-01-mitigate-solarwinds-orion-code-compromise-closed","license":"pubblico_dominio","license_notes":{"it":"Opera del governo federale degli Stati Uniti (17 U.S.C. § 105).","en":"Work of the United States federal government (17 U.S.C. § 105).","fr":"Œuvre du gouvernement fédéral des États-Unis (17 U.S.C. § 105).","es":"Obra del Gobierno federal de los Estados Unidos (17 U.S.C. § 105).","de":"Werk der Bundesregierung der Vereinigten Staaten (17 U.S.C. § 105)."},"related_documents":[{"slug":"us-fisma-2014","relation":"attua"}],"notes":{"it":"L'8 gennaio 2026 la CISA ha chiuso questa e altre nove direttive di emergenza emanate fra il 2019 e il 2024; per la ED 21-01 ha indicato che gli obiettivi erano stati raggiunti e la direttiva era divenuta superflua. La direzione supplementare V4, del 22 aprile 2021, è stata resa pubblica il 14 maggio 2021. Le indicazioni V1 (18 dicembre 2020) e V2 (30 dicembre 2020) sono state sostituite dalla V3 del 6 gennaio 2021.","en":"On 8 January 2026 CISA retired this and nine other emergency directives issued between 2019 and 2024; for ED 21-01 it stated that the objectives had been achieved and the directive had become obsolete. Supplemental Direction V4, dated 22 April 2021, was made public on 14 May 2021. Guidance V1 (18 December 2020) and V2 (30 December 2020) were superseded by V3 of 6 January 2021.","fr":"Le 8 janvier 2026, la CISA a clos cette directive et neuf autres directives d'urgence émises entre 2019 et 2024 ; pour l'ED 21-01, elle a indiqué que les objectifs avaient été atteints et que la directive était devenue sans objet. Les instructions complémentaires V4, du 22 avril 2021, ont été rendues publiques le 14 mai 2021. Les instructions V1 (18 décembre 2020) et V2 (30 décembre 2020) ont été remplacées par la V3 du 6 janvier 2021.","es":"El 8 de enero de 2026 la CISA cerró esta y otras nueve directivas de emergencia emitidas entre 2019 y 2024; para la ED 21-01 indicó que se habían alcanzado los objetivos y que la directiva había quedado obsoleta. La dirección complementaria V4, del 22 de abril de 2021, se hizo pública el 14 de mayo de 2021. Las orientaciones V1 (18 de diciembre de 2020) y V2 (30 de diciembre de 2020) fueron sustituidas por la V3 del 6 de enero de 2021.","de":"Am 8. Januar 2026 beendete die CISA diese und neun weitere zwischen 2019 und 2024 erlassene Notfallrichtlinien; zu ED 21-01 erklärte sie, die Ziele seien erreicht und die Richtlinie überflüssig geworden. Die ergänzende Anweisung V4 vom 22. April 2021 wurde am 14. Mai 2021 veröffentlicht. Die Hinweise V1 (18. Dezember 2020) und V2 (30. Dezember 2020) wurden durch V3 vom 6. Januar 2021 ersetzt."},"ingested_from":"manuale","verified_at":"2026-11-02","verified_by":"Verifica via web","editorial_status":"pubblicato","created_at":"2026-11-02","updated_at":"2026-11-02","superseded_by":[],"url":"https://www.cybersecuritydatabase.org/en/documents/us-ed-21-01-solarwinds-orion-2020/"}}