2023-cü il sona çatdıqca, kibertəhlükəsizlik mənzərəsi hesabatlar və təhlillərlə doludur. Bunların arasında, NSA-nın 2023-cü il üçün kibertəhlükəsizlik ili icmalı diqqət çəkib. Xygeni, bu qarışıq ildə proqram təminatı təchizat zəncirinə qarşı təhdidlərin anlaşılmasına və azaldılmasına töhfə verməyi hədəfləyir. Proqram təminatının mürəkkəbliyinin həddindən artıq çox olduğu bir dövrdə açıq mənbəli komponentlərə olan etibarımız və DevSecOps və bulud əsaslı yanaşmaların təkamülü yeni zirvələrə çatıb. Bu qısa məlumat... Xygeni-nin hesabatı üzləşdiyi əsas çətinliklər barədə məlumat verir software supply chain security 2023-cü ildə və 2024-cü ildə onları həll etmək üçün strategiyalar təklif edir.
Mündəricat
Kompleks İnternet Software Supply Chain Security
Hazırkı vəziyyətdə SSCS, kibertəhdidlər böyük əhəmiyyət kəsb edir və şirkətlər və fərdlər üçün ciddi narahatlıqlar yaradır. Uzaqdan işin artması və bulud əsaslı xidmətlərdən asılılığın artması hücum səthini genişləndirib və proqram təminatı təchizat zəncirinin təhlükəsizliyini daha da çətinləşdirib. Təchizat zəncirinin qəsdən hücum vektoruna çevrildiyi anlar proqram təminatı sənayesində yavaş-yavaş özünü göstərir. Suallar ortaya çıxır: Bu mürəkkəb vebi necə təhlükəsiz saxlaya bilərik? Həm açıq mənbəli icmaların, həm də kommersiya təminatçılarının proqram təminatına etibar edə bilərikmi? Təşkilatlar proqram təminatı istehlakçılarına zəifliklərin və ya zərərli proqramların olmaması ilə bağlı necə inam yarada bilərlər?
Xygeni-nin hesabatı nəyi aşkar edəcək
Xygeni-nin hesabatı müəyyən edən hadisələrə və tendensiyalara işıq salmağı hədəfləyir software supply chain security 2023-cü ildə və 2024-cü ilin nə gətirə biləcəyinə dair ilkin bir fikir təqdim edir. Hesabatda aşağıdakılar əhatə olunacaq:
Əsas məqamlar: “Rəqəmlərə görə”
İl adlandırıldı rəqəmsal meşə yanğınları2023-cü ildə PyTorch, 3CX və MOVEit Transfer-ə təsir edən hadisələr də daxil olmaqla, xəbərlərin əsas mövzusuna çevrilən hadisələr baş verdi. Acı reallıq budur ki, Təşkilatların 82% -i hazırda proqram təminatı təchizat zəncirindəki həssas komponentlərin orta sayı ildə 50%-dən çox artır və proqram təminatı təchizat zəncirindəki həssas komponentlərin orta sayı ildə 50%-dən çox artır. NTT Ltd bildirir ki, texnologiya sektoru ən çox hədəf alınan sənayedir və bütün təchizat zəncirindəki hücumların 28%-ni təşkil edir.
Açıq mənbəli proqram təminatı, o cümlədən Müasir tətbiq yığınlarının 70%-dən 90%-ə qədəri, ictimai reyestrlərdə zərərli paketlərin sayında artımla üzləşir - bu, əvvəlki illərlə müqayisədə ikiqat çox olan 245,032 haldır.
Hücum Mənzərəsi
2023-cü ildə kiberhücumlar artmaqda idi, AB Kibertəhlükəsizlik Agentliyi 2,580 təhlükəsizlik hadisəsi qeydə alınıb ki, bunlardan 220-si xüsusilə bir neçə üzv dövləti hədəf alıb. Ransomware və xidmətdən imtina hücumları üstünlük təşkil etsə də, proqram təminatı təchizatı zəncirinə yönəlmiş hücumlar da müşahidə edilib. Xüsusilə, süni intellekt çatbotları kibertəhlükəsizlik təhdidləri mənzərəsinə daxil olaraq "ucuz saxtakarlıqlar" və süni intellektlə məlumatların manipulyasiyası ilə bağlı narahatlıqlar yaradıb.
2023-cü ildə hücum texnikaları
Hücumçular nizə fişinqi və sosial mühəndislik, oğurlanmış etimadnamələr və typosquat paketləri kimi asılılıq hücumları kimi tanış üsullardan istifadə etməyə davam etdilər. Lakin, 2023-cü ildə mürəkkəb metodların, o cümlədən dilək Süni intellekt tərəfindən yaradılan səs təqlid mesajlarından istifadə etməklə (Səsli Fişinq). İctimai reyestrlərdə yerləşdirilən zərərli paketlərin sayı həyəcan verici 245,032-yə çatıb ki, bu da güclü profilaktik tədbirlərin görülməsinə ehtiyac olduğunu vurğulayır.
İnkişaf etmiş Təhdid Aktyorları
Geosiyasət kiber əməliyyatlara təsir göstərdi, dövlət tərəfindən dəstəklənən APT-lər dezinformasiya, casusluq və təxribatla məşğul oldular. Ukrayna müharibəsi Rusiya, İran və Şimali Koreya aktyorlarının kiber əməliyyatlarını nümayiş etdirən əsas məqama çevrildi. Çin qlobal Kiber Güc kimi mövqeyini möhkəmləndirdi, kibercinayətkarlıq isə inkişaf etməyə davam etdi və Çinin beynəlxalq QHT-ni hədəf alan Evasive Panda təşkilatı buna misal ola bilər.
Son münaqişələrə diqqət yetirsək, HƏMAS və İsrail arasındakı kiber qarşıdurma qarşılıqlı DDoS hücumları ilə müşayiət olunurdu. Bəzi analitiklər HƏMAS-ı İranın təhdid fəaliyyəti ilə əlaqələndirirlər. Dağıdıcı təmizləyiciləri ilə tanınan, "Əzab çəkən İlanlar" kimi də tanınan İranla əlaqəli APT Agrius əsasən müxtəlif sektorlar və ölkələrdəki İsrail təşkilatlarını hədəf alır. 2023-cü ildə Agrius-un səyləri İsrailin təhsil və texnologiya sektorlarına yönəlmişdi.
Hücumların təsiri
Kiberhücumların zədələnmiş sistemlər, məlumatların korlanması və müdaxilələr kimi rəqəmsal təsirləri maliyyə və sosial təsirlərdən daha ağır idi. Splunk-un sorğusu təmizliyə sərf olunan xeyli vaxt və resursları vurğulamış, respondentlərin yalnız 4%-i heç bir əhəmiyyətli nəticənin olmadığını bildirmişdir.
2023-cü ildə Müvafiq Hücumların Xülasəsi
İl ərzində PyTorch-un gecəlik InfoStealer, CircleCI hadisəsi, 3CX çoxpilləli hücum, MOVEit Transfer məlumatlarının sızması, PyPI-nin müvəqqəti dayandırılması, NPM Manifest Confusion, JumpCloud hücumu və VMConnect kampaniyası da daxil olmaqla paradiqmatik hücumlar baş verdi. Hər bir hadisə SSC hücumlarının müxtəlifliyini və inkişaf edən təbiətini vurğuladı.
Təkamül Standardvə Qaydalar
DSK üçün tənzimləyici çərçivə qurulmaqdadır. Regionlar arasında intensivliyin çox fərqli olması ilə ABŞ-ın ən yetkin çərçivəyə malik olduğu, Avropa İttifaqının isə geridə qaldığı görünür. Milli Kibertəhlükəsizlik Strategiyası və Açıq Mənbəli Proqram Təminatı Təhlükəsizliyi Yol Xəritəsi ABŞ-da əsas hadisələr idi. AB-də Kiber Davamlılıq Qanunu siyasi razılığa gəldi, lakin əksər təşkilatlar NIS2 direktivi və Rəqəmsal Əməliyyat Davamlılığı Qanunu (DORA) üzərində işlədilər.
Bəlkə də dünya miqyasında ən əhəmiyyətli tədbir birgə bələdçi idi Kibertəhlükəsizlik Risklərinin Balansının Dəyişdirilməsi: Dizayn Proqramı ilə Təhlükəsizliyin Prinsipləri və Yanaşmaları rəhbərlik etmişdir CISA və dünyanın bir çox kibertəhlükəsizlik orqanları tərəfindən qoşulub.
2024-cü ilə nəzər salın
Hesabatda bəzi proqnozlar təqdim olunur: 2025-ci ilə qədər dünya üzrə təşkilatların 45%-i ən azı bir SSC hücumuna məruz qalacaq. Daha yetkin Kibercinayətkarlıq Xidmət kimi təkliflərindən istifadə edərək kibercinayətkarlıqla məşğul olan mütəşəkkil cinayətkar qrupların şahidi olacağıq. İl ərzində qüvvəyə minən qaydalar təhlükəsizlik hadisələri ilə bağlı şəffaflığı artıracaq, daha çox hücum təfərrüatları və əldə edilən dərslər açıqlanacaq. Kiber risk sığortası limitləri və ifratları göstərəcək. Texnoloji irəliləyişlər isə... dizayn üzrə təhlükəsizlik trend, proqram təminatı istehsalçılarının üzərinə daha çox yük düşür.
Süni intellekt dalğası 2023-cü ildə bir çox təhlükəsizlik təchizatçısını məhsullarına bir az "SÜİ toxunuşu" əlavə etməyə cəlb etdi. Buna baxmayaraq, süni intellekt gələcəkdə mühüm rol oynayacaq. software supply chain securitySüni intellekt təhdid kəşfiyyatı və risk qiymətləndirməsi, kod depolarında anomaliyaların aşkarlanması, zəifliklərin qiymətləndirilməsi və prioritetləşdirilməsi kimi sahələrdə artan rol oynayacaq və phishing hücum aşkar, lakin əsasən ağıllı düzəliş və kod icmalının avtomatlaşdırılmasında.
Lakin pis aktyorlar süni intellektdən silahlanmağa başladılar və biz süni intellektlə işləyən kəşfiyyat, yüksək inandırıcı nizə kimi yeni texnikaların şahidi olacağıq. phishing, jailbreaking süni intellekt alətləri və ya CAPTCHA həll xidmətləri.
Nəticə
Xygeni vəziyyəti ilə bağlı əhatəli hesabatını təqdim etməyə hazırlaşarkən software supply chain security 2023-cü ildə sənayenin üzləşdiyi çətinliklər və təhdidlər göz qabağındadır. Bir vaxtlar pərdəarxası proses hesab edilən proqram təminatı təchizatı zənciri kiber rəqiblər üçün əsas hədəfə çevrilib. Sənayenin bu çətinliklərə cavabı gələcək illərdə proqram təminatı təhlükəsizliyinin trayektoriyasını formalaşdıracaq. Təfərrüatları araşdırdıqca və mürəkkəb mənzərədə hərəkət etməyə kömək edə biləcək məlumatlar təqdim etdikcə tam hesabatı izləməyə davam edin. software supply chain security.
