كما ناقشنا في محتوانا السابق حول software supply chain securityاستكشفنا مفهوم هجمات سلسلة التوريد وتأثيرها المحتمل على المؤسسات. غالبًا ما تستغل هذه الهجمات نقاط الضعف طوال دورة تطوير البرمجيات (SDLC)، مما يشكل مخاطر كبيرة في كل مرحلة. اليوم، سنتناول أكثرها شيوعًا software supply chain security التهديدات التي تنشأ أثناء مرحلة المصدر.
أولاً وقبل كل شيء، من المهم تحديد هجوم سلسلة التوريد والأهداف المحددة له. Software Supply Chain Security التهديدات التي تنشأ خلال مرحلة المصدر.
تعريف هجوم سلسلة توريد البرمجيات
المعهد الوطني الأمريكي للسرطان Standardالمعهد الوطني للمعايير والتكنولوجيا (NIST) يعرف بأنه هجوم على سلسلة توريد البرمجيات "عندما يحدث الهجوم عندما يتسلل أحد الجهات الفاعلة في مجال التهديد السيبراني إلى شبكة بائع البرامج ويستخدم تعليمات برمجية ضارة لاختراق البرنامج قبل أن يرسله البائع إلى عملائه. ثم يقوم البرنامج المخترق باختراق بيانات العميل أو نظامه. قد يتم اختراق البرامج المكتسبة حديثًا منذ البداية، أو قد يحدث اختراق من خلال وسائل أخرى مثل التصحيح أو الإصلاح العاجل. في هذه الحالات، لا يزال الاختراق يحدث قبل دخول التصحيح أو الإصلاح العاجل إلى شبكة العميل. تؤثر هذه الأنواع من الهجمات على جميع مستخدمي البرنامج المخترق ويمكن أن يكون لها عواقب واسعة النطاق على الحكومة والبنية التحتية الحيوية وعملاء البرامج في القطاع الخاص."
مرحلة المصدر Software Supply Chain Security التهديدات
تشمل مرحلة المصدر في دورة حياة سلسلة توريد البرمجيات المراحل الأولية لتطوير البرمجيات، من الفكرة إلى إنشاء الكود المصدر. تتضمن هذه المرحلة اختيار الأدوات والمكتبات والمكونات، بالإضافة إلى تطوير وتنفيذ الوظائف الأساسية للبرمجيات.
Software supply chain security تشير التهديدات في مرحلة المصدر إلى الثغرات الأمنية التي يمكن استغلالها لإدخال تغييرات غير مصرح بها أو ضارة على الكود المصدر. ويشمل ذلك التهديد المتمثل في قيام الأفراد غير المصرح لهم والأفراد المصرح لهم بإدخال تغييرات غير مصرح بها.
أمثلة على التهديدات المصدرية
أرسل رمزًا سيئًا
يشير إرسال الكود السيئ إلى ممارسة commitإرسال التعليمات البرمجية إلى مستودع مصدر يحتوي على عيوب أو أخطاء أو ثغرات أمنية. ويمكن أن يتراوح هذا من التعليمات البرمجية الضارة التي يتم إدخالها عمدًا لتهديد سلامة أو أمان البرنامج، إلى التعليمات البرمجية غير المقصودة التي تقدم أخطاء أو ثغرات أمنية بسبب ممارسات الترميز الرديئة أو نقص الاختبار. ومن الأمثلة على هذا الهجوم المتجهي هجوم NPM. في عام 2022، تسلل أحد القراصنة إلى مستودع الكود المصدر لمكتبة برمجيات مفتوحة المصدر شهيرة تسمى npm. أدخل القراصنة كودًا ضارًا في كود المكتبة مما سمح لهم بالوصول غير المصرح به إلى أنظمة المؤسسات التي قامت بتثبيت المكتبة. سمح الكود الضار للقراصنة بسرقة البيانات من الأنظمة المتأثرة وتثبيت البرامج الضارة وتعطيل العمليات. أثر الهجوم على مجموعة واسعة من المؤسسات، بما في ذلك الوكالات الحكومية والشركات والأفراد.
تسوية مصدر الريبو
يتمكن الخصم من الوصول غير المصرح به إلى مستودع التعليمات البرمجية المصدرية (SCM) ويُدخل تغييرات ضارة أو يُزيل أكوادًا سليمة. ويمكن تحقيق ذلك من خلال طرق مختلفة، مثل استغلال الثغرات الأمنية في SCM، مما يؤدي إلى المساس ببيانات اعتماد المطور الذي لديه حق الوصول إلى المستودع، أو الحصول على حق الوصول إلى البنية الأساسية الأساسية التي تستضيف SCM. وكان أحد الأمثلة على هذا الهجوم المتجهي هو هجوم PHP. قام أحد المهاجمين باختراق خادم Git المستضاف ذاتيًا الخاص بـ PHP، والذي يعد مستودعًا آمنًا لتخزين وإدارة الكود المصدر للغة برمجة PHP. تمكن المهاجم من حقن اثنين من البرامج الضارة commitيتم تضمين هذه الملفات في قاعدة الكود الرئيسية لـ PHP. commitأضافت هذه الهجمات أبوابًا خلفية سمحت للمهاجم بالوصول غير المصرح به إلى تثبيتات PHP. سمحت الأبواب الخلفية للمهاجم بتنفيذ تعليمات برمجية عشوائية على أي تثبيت PHP، والتي يمكن استخدامها لسرقة البيانات أو تثبيت البرامج الضارة أو تعطيل العمليات. كما تسبب الهجوم في قدر كبير من الضرر لسمعة PHP، حيث أثار مخاوف بشأن أمان لغة البرمجة.
البناء من مصدر معدل
يحصل الخصم على نسخة من الكود المصدر من مصدر غير مستودع الكود المصدر الرسمي ويستخدمها لبناء البرنامج ونشره. قد يحتوي هذا الكود المصدر المعدل على كود ضار أو أبواب خلفية أو تعديلات ضارة أخرى يمكن أن تعرض سلامة البرنامج أو وظائفه أو أمانه للخطر. كان أحد أمثلة هذا الهجوم المتجه هو ويب مين هجوم. تمكن أحد المهاجمين من الوصول بشكل غير مصرح به إلى البنية الأساسية لبناء Webmin، وهي البنية المسؤولة عن تجميع وتعبئة برنامج Webmin. وقد قام المهاجم بتعديل البنية الأساسية لبناء Webmin لاستخدام ملفات المصدر التي لم تكن موجودة في مستودع المصدر الرسمي لبرنامج Webmin.
كتابة رمز غير آمن
يمكن لممارسات الترميز غير الآمنة، سواء عن قصد أو عن غير قصد، أن تؤدي إلى إدخال نقاط ضعف في البرامج. ويمكن للمهاجمين استغلال هذه الثغرات للحصول على وصول غير مصرح به، أو تعديل أو سرقة البيانات، أو تعطيل العمليات. ومن الأمثلة على هذا الهجوم المتجهي هجوم هجوم Apache Strutsفي عام 2003، اخترق أحد القراصنة مستودع الكود المصدري لمكتبة البرامج مفتوحة المصدر المسماة Apache Struts. أدخل القراصنة ثغرة أمنية في المكتبة سمحت لهم بالوصول غير المصرح به إلى أنظمة المؤسسات التي قامت بتثبيت المكتبة. سمحت الثغرة للمخترق بتنفيذ تعليمات برمجية عشوائية على الأنظمة المتضررة، والتي يمكن استخدامها لسرقة البيانات وتثبيت البرامج الضارة وتعطيل العمليات. أثر الهجوم على مجموعة واسعة من المنظمات، بما في ذلك الوكالات الحكومية والشركات والأفراد.
التلاعب بالملفات الهامة
إن تغيير أو تعديل الملفات الهامة في دورة حياة تطوير البرامج قد يؤدي إلى عواقب وخيمة، بما في ذلك إدخال أكواد ضارة، واختراق البيانات الحساسة، وتعطيل عمليات البرامج. ومن الأمثلة على هذا الهجوم المتجه للتلاعب هجوم مافن. في عام 2020، تسلل المتسللون إلى مستودع التعليمات البرمجية المصدرية لمكتبة برمجيات مفتوحة المصدر شهيرة تسمى Maven. أدخل المتسللون تعليمات برمجية ضارة في ملف pom.xml الخاص بالمكتبة، والذي يُستخدم لتكوين عملية البناء. سمح الكود الضار للمتسللين بحقن تبعياتهم في عملية البناء، والتي تم تضمينها بعد ذلك في البرنامج المجمّع. تحتوي هذه التبعيات على أبواب خلفية سمحت للمتسللين بالوصول غير المصرح به إلى أنظمة المؤسسات التي قامت بتثبيت البرنامج.
تمهيد المسار: تبسيط العمليات برؤية واضحة
تجاوز عالم الأمان، وستجد أن تصور سلسلة التوريد الخاصة بك يفعل أكثر من مجرد الحماية - فهو يشبه تشغيل الضوء في غرفة مظلمة، والكشف عن المسارات الأسرع والأكثر كفاءة خلال عملياتك. فهو يمنح الفرق رؤية شاملة للنظام البيئي للتطوير، مما يمكنهم من تحديد الأصول الزائدة عن الحاجة والعناصر التي لا يمكن صيانتها. يعد هذا الوضوح مفيدًا بشكل خاص في المشاريع واسعة النطاق حيث تتشابك الوحدات والمكونات المتعددة.
الملاحظات الختامية
من خلال فهم الأنواع المختلفة لمرحلة المصدر software supply chain security من خلال مواجهة التهديدات وتنفيذ التدابير الأمنية المناسبة، يمكن للمنظمات أن تساعد في حماية نفسها من هذه الهجمات المدمرة.
- يمكن أن تؤدي هجمات سلسلة توريد البرامج إلى إدخال تعليمات برمجية ضارة إلى البرامج في أي مرحلة من مراحل دورة حياة التطوير، بما في ذلك مرحلة المصدر.
- تتضمن تهديدات مرحلة المصدر إرسال تعليمات برمجية خاطئة، واختراق مستودعات المصدر، والبناء من مصادر معدلة، وكتابة تعليمات برمجية غير آمنة، والتلاعب بالملفات الهامة.
- تحتاج المؤسسات إلى تنفيذ تدابير أمنية شاملة طوال دورة تطوير البرامج للتخفيف من مخاطر هجمات سلسلة التوريد.
تريد أن تبقى في المقدمة في software supply chain security?
ترقبوا سلسلة المدونة القادمةحيث سنتناول الهجمات الأكثر شيوعًا التي تحدث طوال دورة حياة تطوير البرامج. من مرحلة البناء من مرحلة النشر إلى ما بعد ذلك، سنزودك بالمعرفة والاستراتيجيات اللازمة لحماية مؤسستك من هذه التهديدات الخبيثة.
لا تفوت! اشترك في مدونتنا اليوم وكن أول من يعرف أحدث رؤانا في software supply chain security.
معًا، يمكننا بناء نظام بيئي برمجي أكثر مرونة وأمانًا للجميع.
شاهد عرض الفيديو الخاص بنا
