Attacchi à a catena di furnimentu di software: Devu esse preoccupatu?

A tecnulugia di u software hà evolutu, è i pirati informatichi anu evolutu cun ella. A corsa à l'armamentu cù i malfattori era soprattuttu limitata à e vulnerabilità è à l'attacchi diretti à u software implementatu. Attaccà a catena di furnimentu di u software, ancu s'ellu ùn era micca invisibile, ùn era micca l'ubbiettivu principale di i malfattori...

L'attaccu chì parechji anu trattatu cum'è l'iniziu di un cambiamentu in u modus operandi di e Minacce Persistenti Avanzate (APT) era u Attaccu di SolarWindsMicca u primu, ma cù un tale impattu chì hà fattu i tituli è hà pigliatu ITsec per surpresa.

Esempii: SolarWinds, Codecov, Kaseya

SolarWinds hè un fornitore di software impurtante chì furnisce strumenti per u monitoraghju di rete è infrastrutture. Unu di i prudutti di a cumpagnia hè Orion, una piattaforma di monitoraghju è gestione di l'infrastruttura. Hè aduprata da più di 30,000 urganisazioni publiche è private per gestisce e so risorse IT. Orion accede à i sistemi IT per ottene dati di log è di prestazioni di u sistema.

In dicembre 2019, i pirati informàtichi anu accessu à e rete, i sistemi è i dati di millaie di clienti di SolarWinds. Anu attaccatu a so catena di furnimentu di software inserendu codice maliziosu in a piattaforma. In seguitu, SolarWinds hà furnitu u malware backdoor cum'è un aghjurnamentu di u software Orion, à u quale i pirati informàtichi pudianu accede è impersonà l'utilizatori è i conti di l'urganisazioni vittime. A violazione di SolarWinds hà suppostu un risvegliu di a cibersigurtà per tutte l'urganisazioni chì operanu in u mondu cloud-native.

Questu attaccu à a catena di furnimentu hè statu seguitu da altri cum'è Codecov, un strumentu di cupertura di codice software. In ghjennaghju 2021, un l'attaccante hà estrattu una credenziale almacenatu per sbagliu in l'imagine Docker di Codecov, chì l'attore hà utilizatu per mudificà un script di uploader in u strumentu. L'attore hà solu inseritu una sola linea di codice chì hà mandatu tutte e variabili d'ambiente di l'CI à u servitore cuntrullatu da l'attaccante quandu u script hè statu eseguitu. Per mesi, i malfattori anu ottenutu un accessu putenziale à i sistemi chì utilizavanu u script Codecov mudificatu.

Più tardi, u 2 di lugliu di u 2021, u attaccu à Kaseya hè accadutu. A so piattaforma VSA hè aduprata da parechji MSP chì furniscenu servizii IT à altre cumpagnie per fà a gestione di patch è u monitoraghju di i clienti. I pirati informatichi anu attaccatu a catena di furnimentu di Kaseya VSA, cumprumettendu a so infrastruttura è dopu liberendu aghjurnamenti maliziosi nantu à i servitori lucali di VSA per infettà i sistemi di e cumpagnie gestite, criptendu i so dati è dumandendu un riscattu. Ransomware via un strumentu trojanizatu adupratu da i MSP nantu à e so cumpagnie gestite, chì sò l'ubbiettivi finali. Chì astutu!

Dapoi l'incidentu di SolarWinds, ci sò stati sempre più attacchi contr'à a catena di furnimentu di software, chì anu avutu un impattu nant'à l'immagine è l'ecunumia di cumpagnie cum'è Samsung, Uber, Nissan, Nvidia, frà parechje altre. Sicondu Gartner, "da u 2025, u 45% di l'urganisazioni in u mondu sanu averanu subitu attacchi à e so catene di furnimentu di software, un aumentu triplu dapoi u 2021".

Una nova generazione d'attacchi à a catena di furnimentu di software

Attaccà l'applicazioni pruprietarie o l'ambienti di pruduzzione di una sucietà genera solu una sola vittima. Questu, accumpagnatu da u fattu chì a grande maggioranza di l'imprese anu digià implementatu prutezioni AppSec cum'è AST, SCA o strumenti WAF, hà purtatu à l'emergenza di una nova generazione d'attaccanti chì miranu u sviluppu di software pipelineL'attacchi à a catena di furnimentu ponu influenzà migliaia d'imprese cù un solu attaccu simplice: l'amplificatore ideale.

L'infrastruttura di sviluppu hè un bersagliu faciule per l'attaccanti. A so grande superficia d'attaccu furnisce accessu à l'ambiente di pruduzzione è à i so dati. Tutta l'infrastruttura di strumenti DevOps: repositori, sistemi di gestione di u cuntrollu di u codice surghjente, strumenti di compilazione, strumenti di implementazione, mudelli Infrastructure as Code, container, fugliali di script, ecc., hè abbastanza grande è vulnerabile. Inoltre, tutti questi strumenti sò luntanu da u cuntrollu di l'area di sicurezza è sò gestiti da e squadre di sviluppu è di pruduzzione. I pirati informatichi sanu questu è prufittanu di queste debulezze.

U Novu Bersagliu

Spessu i sviluppatori scrivenu sicreti in u codice surghjente cum'è credenziali è chjave per i testi durante u sviluppu. Quessi sò almacenati in fugliali spessu sottu cuntrollu di versione, è ponu esse truvati da l'attaccanti in u futuru, ancu s'è i fugliali o i sicreti sò rimossi. Questu permetterà à l'attaccanti d'installà backdoor, leghje u codice surghjente, inserisce codice maliziosu, estrae dati sensibili, ecc. Una volta chì l'attori maliziosi anu validi login credenziali ch'elli ponu spustà lateralmente attraversu u SDLCQueste credenziali li permettenu di passà à altri strumenti è di ottene privilegi d'utilizatore avanzati per circà informazioni di più grande valore.

I pirati informàtichi ponu aduprà credenziali per viulà i dati. SDLC, ma ponu ancu infiltrà repositori o strumenti cunfigurati in modu imprecisu o lasciati insicuri, chì mettenu in periculu i sistemi è i dati.

L'attacchi anu ancu cum'è mira i pacchetti open-source. Tutti cunniscimu storie d'orrore nantu à l'attacchi chì sfruttanu vulnerabilità cunnisciute, cum'è Log4j. D’altronde, l'attacchi à a catena di furnimentu sò diffirenti: l'attaccanti iniettanu codice maliziosu in pacchetti open source populari per un usu dopu in u prucessu di custruzzione da parechje urganisazioni in u mondu.

In breve: i pirati informàtichi ponu sfruttà l'accessu privilegiatu, e cunfigurazioni sbagliate è e vulnerabilità in u CI/CD pipeline l'infrastruttura cum'è vettore per inserisce malware in un software chì puderia esse adupratu da parechji.

Cumu prutege u nostru SDLC da l'attacchi à a catena di furnimentu di software?

U numeru d'attacchi à a catena di furnimentu hè in crescita costante, è u mercatu reagisce à questu scenariu. Alcune urganisazioni anu stabilitu quadri per affruntà software supply chain security, cum'è u NIST Secure Software Development Framework (SSDF) è i Livelli di a Catena di Fornitura per l'Artefatti di Software di Google (SLSA). Tuttavia, ùn ci sò micca assai cumpagnie chì facenu una priorità di prutege l'arnesi è l'infrastruttura DevOps per evità attacchi à a so catena di furnitura. In fatti, 82% di i CIO pensanu ch'elli saranu vulnerabili à elli.

L'imprese ùn devenu micca solu preoccupassi di prutege e so applicazioni, ma ancu di l'infrastruttura software è di l'artefatti chì facenu parte di u so sistema. SDLC postu chì i malfattori anu cum'è mira a catena di furnimentu. L'ampiezza di a superficia d'attaccu, a mancanza di cuscenza da parte di e squadre di sviluppu di stu tipu d'attaccu è a mancanza di strumenti di sicurezza specializati permettenu à l'attaccanti di fucalizza nantu à a catena di furnimentu di u software.