የሶፍትዌር አቅርቦት ሰንሰለት ጥቃት ምንድን ነው?

የሶፍትዌር አቅርቦት ሰንሰለት ጥቃት ምንድን ነው?

#

በዚህ መዝገበ-ቃላት ውስጥ የሶፍትዌር አቅርቦት ሰንሰለት ጥቃት ምን ማለት እንደሆነ እንገልፃለን፣ እንዲሁም አንዳንድ የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶችን ምሳሌዎችን እናጋልጣለን።

አስቀድመው እንደሚያውቁት፣ የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች የተወሰነ የሳይበር ጥቃቶች ናቸው። ብዙውን ጊዜ የሶስተኛ ወገን የሶፍትዌር ክፍሎችን፣ ቤተ-መጻሕፍትን፣ የልማት መሳሪያዎችን ወይም የሶፍትዌር መተግበሪያዎችን ለመገንባት እና ለማሰራጨት የሚያገለግሉ መሠረተ ልማቶችን ኢላማ ያደርጋሉ። የአደገኛ ወኪሎች የታለመውን ድርጅት በቀጥታ ከማጥቃት ይልቅ የታመኑ የሶፍትዌር አቅራቢዎችን ወይም የአገልግሎት አቅራቢዎችን ሰርገው ይገባሉ። ተንኮል አዘል ኮድ በማስተዋወቅ ላይ or ባክዶሮች በኋላ ላይ እንደ ህጋዊ ዝመናዎች ወይም ጭነቶች አካል ሆነው ለዋና ተጠቃሚዎች የሚደርሱ ናቸው። የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች በውስጠኛው ውስጥ ያለውን የተደበቀ የእምነት ግንኙነቶችን ይጠቀማሉ። SDLC፣ ለመለየት አስቸጋሪ እና በተለይም ስውር እና ፈታኝ ያደርገዋል።

ዋና ባህሪያት #

የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች ቁልፍ ባህሪያት መካከል አንዳንዶቹ የሚከተሉት ናቸው፡

• የመተማመን ብዝበዛ፡ ተንኮል አዘል ተዋናዮች ብዙውን ጊዜ በገንቢዎች እና በመሳሪያዎቻቸው፣ በሶስተኛ ወገን ጥገኞች እና በአቅራቢዎች መካከል ያለውን የመተማመን ግንኙነት ይጠቀማሉ።
• የጎን ተጽዕኖ፦ ልዩ እና ነጠላ ስምምነት በሶፍትዌር ስርጭት ቻናሎች በኩል በብዙ ተጎጂዎች ላይ ሊፈጠር ይችላል
• ድብቅነት እና ጽናት; ተንኮል አዘል ኮድ ብዙውን ጊዜ በተፈረሙ፣ ህጋዊ በሚመስሉ የሶፍትዌር ፓኬጆች ውስጥ የተካተተ ሲሆን ይህም ለረጅም ጊዜ ዘላቂነትን ያስችላል
• ውስብስብ መገለጫ፡ የዚህ አይነት ጥቃት በአቅርቦት ሰንሰለቱ ውስጥ ስለሚጀምር፣ ምንጩን መከታተል በጣም ውስብስብ እና ጊዜ የሚወስድ ሊሆን ይችላል።

የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች የተለመዱ ቬክተሮች
#

የሶስተኛ ወገን ክፍሎች እና ጥገኝነቶች፡ አጥቂዎች ሳያውቁት በልማት ፕሮጀክቶች ውስጥ የተካተቱትን በስፋት ጥቅም ላይ የዋሉ የ OSS ፓኬጆችን ወይም የባለቤትነት መብት ያላቸውን SDKዎች ሊያጠቁ ይችላሉ

የግንባታ ስርዓቶች እና CI/CD Pipelines: በሶፍትዌር ማጠናቀር ወይም በማሸግ ወቅት ተንኮል አዘል ቅርሶችን ለማስገባት የተሳሳተ ወይም ተጋላጭ የሆኑ የግንባታ አካባቢዎችን በመጠቀም

የኮድ ማከማቻዎች፡ ያልተፈቀደ የምንጭ ኮድ ማከማቻዎችን (ለምሳሌ፣ GitHub) በመጠቀም ተንኮል አዘል የክፍያ ጭነቶች ያላቸውን ህጋዊ የኮድ ቤዞችን መቀየር

የሶፍትዌር ዝመናዎች እና የመጠገኛ ዘዴዎች፡ የተጠቁ የታመኑ የሶፍትዌር ስሪቶችን ለማቅረብ የዝማኔ ቻናሎችን ማቋረጥ ወይም ማዛባት

አሁን፣ አንዳንድ ምሳሌዎችን እንመርምር። ስለ ቬክተሮች እና የጥቃት ዓይነቶች ተጨማሪ መረጃ ከፈለጉ - ውስጥ ዘልቆ ይግቡ!

የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች ምሳሌዎች #

• ሶላርዊንድስ ኦሪዮን (2020)፦ ይህ በጣም ታዋቂ ከሆኑ ምሳሌዎች አንዱ ሊሆን ይችላል። አጥቂዎች “SUNBURST” የሚባል የኋላ በር በሕጋዊ የሶፍትዌር ዝመና ውስጥ አስገብተዋል፣ ይህም በፎርቹን 500 ኩባንያዎች እና የአሜሪካ የመንግስት ኤጀንሲዎች ጨምሮ ከ18,000 በላይ ደንበኞች ወርደዋል።
• የኮዴኮቭ ባሽ ፕሎደር (2021)በዚህ ጉዳይ ላይ አስጊ ተዋናዮች በCI ውስጥ ጥቅም ላይ የዋለውን ስክሪፕት ቀይረዋል pipelineዎች፣ ከሺዎች ከሚቆጠሩ ፕሮጀክቶች የምስክር ወረቀቶችን እና የአካባቢ ተለዋዋጮችን መስረቅ
• UAParser.js (2021): an NPM በሚሊዮን የሚቆጠሩ ሰዎች የሚጠቀሙበት ቤተ መጻሕፍት በክሪፕቶ ማዕድን ማውጣት እና በማረጋገጫ ስርቆት ማልዌር ተጠልፎ እንደገና ታትሟል
• ካሴያ ቪኤስኤ (2021): እዚህ፣ አጥቂዎች በርቀት መቆጣጠሪያ መድረክ ላይ ያለውን ተጋላጭነት ተጠቅመው ለተቀናጁ የአገልግሎት አቅራቢዎች እና ለደንበኞቻቸው ራንሰምዌርን ለማሰማራት ተጠቅመዋል።

እነዚህ የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶች ምሳሌዎች የተለያዩ ቴክኒኮችን እና ሊደረስበት የሚችል የተፅዕኖ መጠንን ያሳያሉ፣ ጠንካራ የሶፍትዌር ታማኝነት ፍተሻዎችን አስፈላጊነት አፅንዖት ይሰጣሉ።

አንዳንድ የምርመራ እና የመከላከያ ዘዴዎች

#

ውስብስብነቱን እና ሚስጥራዊ ባህሪውን ከግምት ውስጥ በማስገባት የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶችን መከላከል እና መለየት የተደራረቡ የደህንነት አቀራረቦችን ይፈልጋል፡

• SBOM (የሶፍትዌር ቁሳቁሶች ቢል)ያልተለመዱ ወይም ያልተፈቀዱ ለውጦችን ለመለየት የሁሉም የሶስተኛ ወገን ክፍሎች እና ስሪቶቻቸው ዝርዝር ዝርዝር ይያዙ
• የኮድ ፊርማ እና ማረጋገጫ፡ ሁሉም ቅርሶች በግንባታ እና በማሰማራት ወቅት በክሪፕቶግራፊያዊ መንገድ መፈረም እና መረጋገጡን ያረጋግጡ
• የአሂድ ጊዜ ክትትል፡ በአፈፃፀም ወቅት አጠራጣሪ ባህሪያትን ለመለየት EDR እና የሩጫ ጊዜ አፕሊኬሽን ራስን መከላከል (RASP) ተግባራዊ ማድረግ
• የመዳረሻ ቁጥጥሮች እና ኦዲቶች፡ የኮድ ማከማቻዎችን ተደራሽነት ያጠናክሩ እና CI/CD ባለብዙ-ደረጃ ማረጋገጫ እና በሚና ላይ የተመሠረተ የመዳረሻ መቆጣጠሪያዎች ያላቸው አካባቢዎች
• ቀጣይነት ያለው የተጋላጭነት ቅኝት፦ የክፍት ምንጭ ጥገኝነቶችን ለመቃኘት እና የሚታወቁ ተጋላጭነቶችን ወይም የተሳሳቱ ውቅሮችን ለመለየት አውቶማቲክ መሳሪያዎችን ይጠቀሙ
• የሻጭ ስጋት አስተዳደር፡ የሁሉም የሶስተኛ ወገን አቅራቢዎች የደህንነት ሁኔታን ይገምግሙ፣ በተለይም ስሜታዊ የሆኑ የልማት አካባቢዎችን ማግኘት የሚችሉ

ለደህንነት ቡድኖች እና ለ DevSecOps የአደጋ አንድምታዎች ምን እንደሆኑ ያውቃሉ?

#

#

የደህንነት አስተዳዳሪዎች፣ የዴቭኦፕስ እና የዴቭሴክኦፕስ ቡድኖች የሶፍትዌር አቅርቦት ሰንሰለት ጥቃቶችን አደጋዎች ለመፍታት ስልቶቻቸውን እንደገና ማመጣጠን አለባቸው፡

የDevSecOps ውህደት: ደህንነት ከዲዛይን እስከ ማሰማራት ድረስ በሶፍትዌሩ የህይወት ዑደት ውስጥ በሙሉ መካተት አለበት

ማስፈራሪያ ሞዴሊንግ፡- በአደጋ ግምገማዎች እና በአደጋ ሞዴሊንግ ውስጥ የአቅርቦት ሰንሰለት ስጋቶችን ያካትቱcises

የገንቢ ስልጠና፡ ገንቢዎችን ስለ ደህንነታቸው የተጠበቀ የኮድ አሠራሮች እና በደንብ ያልተረጋገጡ የሶስተኛ ወገን ክፍሎችን ማዋሃድ ስላሉት አደጋዎች ያስተምሯቸው

እነዚህ ልምዶች የስምምነት አደጋን ከመቀነስ ባለፈ በልማትና በአሠራር ዙሪያ የደህንነትን ቅድሚያ የሚሰጠው ባህልም ያዳብራሉ።

ለምን ግድ ሊልህ ይገባል?

#

የሶፍትዌር አቅርቦት ሰንሰለት ጥቃት ምን እንደሆነ መረዳት ለማንኛውም የሶፍትዌር አፕሊኬሽኖችን ለሚያዘጋጅ ሰው አስፈላጊ ነው። እነዚህ አይነት ጥቃቶች ፈጣን የሶፍትዌር ፈጠራን የሚያስችሏቸውን ዘዴዎች ስለሚጠቀሙ፣ የታመኑ መሳሪያዎችን ወደ ስምምነት ቬክተሮች ስለሚቀይሩ፣ በጣም አደገኛ ናቸው። በተመዘገቡ የአቅርቦት ሰንሰለት ጥቃቶች ምሳሌዎች እና አጠቃላይ የመከላከያ ስልቶች አማካኝነት፣ እነሱን ለመቀነስ የሚያስፈልግዎት ግልጽ ነው፡ ታይነት፣ ተጠያቂነት እና ተሻጋሪ የጸጥታ ውህደት።

የሶፍትዌር አቅርቦት ሰንሰለቶቻቸውን መከታተል እና ደህንነት መጠበቅ ለሚፈልጉ ድርጅቶች፣ ዚጌኒ መልሱ ነው. የቪዲዮ ማሳያችንን ይመልከቱ ወይም ማግኘት ይችላሉ ዛሬ ነፃ ሙከራ!