Serangan Rantai Pasokan Perangkat Lunak: Haruskah saya khawatir?

Teknologi perangkat lunak berkembang, dan peretas pun ikut berkembang. Perlombaan senjata dengan pelaku kejahatan sebagian besar terbatas pada kerentanan dan serangan yang ditujukan pada perangkat lunak yang telah digunakan. Menyerang rantai pasokan perangkat lunak, meskipun tidak sepenuhnya tersembunyi, bukanlah target utama para penjahat…

Serangan yang oleh banyak pihak disebut sebagai awal dari pergeseran modus operandi Ancaman Berkelanjutan Tingkat Lanjut (APT) adalah Serangan SolarWindsBukan yang pertama, tetapi dampaknya begitu besar sehingga menjadi berita utama dan menggemparkan dunia keamanan TI.

Contoh: SolarWinds, Codecov, Kaseya

SolarWinds adalah vendor perangkat lunak utama yang menyediakan alat untuk pemantauan jaringan dan infrastruktur. Salah satu produk perusahaan adalah Orion, platform pemantauan dan manajemen infrastruktur. Platform ini digunakan oleh lebih dari 30,000 organisasi publik dan swasta untuk mengelola sumber daya TI mereka. Orion mengakses sistem TI untuk mendapatkan data log dan kinerja sistem.

Pada Desember 2019, peretas mengakses jaringan, sistem, dan data ribuan pelanggan SolarWinds. Mereka menyerang rantai pasokan perangkat lunaknya dengan memasukkan kode berbahaya ke dalam platform. Selanjutnya, SolarWinds mengirimkan malware backdoor sebagai pembaruan perangkat lunak Orion, yang dapat diakses peretas dan digunakan untuk menyamar sebagai pengguna dan akun organisasi korban. Pelanggaran keamanan SolarWinds ini seharusnya menjadi peringatan keamanan siber bagi semua organisasi yang beroperasi di dunia cloud-native.

Serangan rantai pasokan ini diikuti oleh serangan lain seperti Codecov, sebuah alat cakupan kode perangkat lunak. Pada Januari 2021, sebuah Penyerang berhasil mengekstrak kredensial. Secara tidak sengaja tersimpan dalam image Docker Codecov, yang digunakan pelaku untuk memodifikasi skrip pengunggah di dalam alat tersebut. Pelaku hanya memasukkan satu baris kode yang mengirimkan semua variabel lingkungan CI ke server yang dikendalikan penyerang saat skrip dieksekusi. Selama berbulan-bulan, pelaku kejahatan mendapatkan akses potensial ke sistem yang menggunakan skrip Codecov yang telah dimodifikasi.

Kemudian, pada tanggal 2 Juli 2021, serangan terhadap Kaseya Terjadi. Platform VSA-nya digunakan oleh banyak MSP yang menyediakan layanan TI kepada perusahaan lain untuk melakukan manajemen patch dan pemantauan pelanggan. Peretas menyerang rantai pasokan Kaseya VSA, membahayakan infrastrukturnya dan kemudian merilis pembaruan berbahaya pada server lokal VSA untuk menginfeksi sistem perusahaan yang dikelola, mengenkripsi data mereka, dan menuntut tebusan. Ransomware melalui alat trojan yang digunakan oleh MSP pada perusahaan yang mereka kelola, yang merupakan target akhir. Sungguh cerdik!

Sejak insiden SolarWinds, semakin banyak serangan terhadap rantai pasokan perangkat lunak, yang berdampak pada citra dan ekonomi perusahaan seperti Samsung, Uber, Nissan, Nvidia, dan banyak lainnya. Menurut Gartner, “pada tahun 2025, 45% organisasi di seluruh dunia akan mengalami serangan terhadap rantai pasokan perangkat lunak mereka, peningkatan tiga kali lipat sejak tahun 2021.”

Generasi Baru Serangan Rantai Pasokan Perangkat Lunak

Menyerang aplikasi atau lingkungan produksi milik perusahaan hanya akan menghasilkan satu korban. Hal ini, ditambah dengan fakta bahwa sebagian besar perusahaan telah menerapkan perlindungan AppSec seperti AST, SCA atau alat WAF, telah menyebabkan munculnya generasi baru penyerang yang menargetkan pengembangan perangkat lunak. pipelineSerangan rantai pasokan dapat memengaruhi ribuan perusahaan hanya dengan satu serangan sederhana: penguat yang ideal.

Infrastruktur pengembangan merupakan target mudah bagi penyerang. Permukaan serangannya yang besar memberikan akses ke lingkungan produksi dan datanya. Seluruh infrastruktur alat DevOps: repositori, sistem manajemen kontrol sumber, alat build, alat deployment, template Infrastructure as Code, kontainer, file skrip, dll., cukup besar dan rentan. Terlebih lagi, semua alat ini jauh dari kendali area keamanan dan dikelola oleh tim pengembangan dan produksi. Peretas mengetahui hal ini dan memanfaatkan kelemahan tersebut.

Target Baru

Seringkali pengembang menulis rahasia dalam kode sumber, seperti kredensial dan kunci untuk pengujian selama pengembangan. Rahasia ini disimpan dalam file yang seringkali berada di bawah kendali versi, dan dapat ditemukan oleh penyerang di masa mendatang, bahkan jika file atau rahasia tersebut dihapus. Hal ini memungkinkan penyerang untuk memasang pintu belakang (backdoor), membaca kode sumber, menyisipkan kode berbahaya, mengekstrak data sensitif, dan lain sebagainya. Setelah pelaku jahat memiliki akses yang valid, login kredensial yang memungkinkan mereka untuk bergerak secara lateral di dalam SDLCKredensial ini memungkinkan mereka untuk beralih ke alat lain dan mendapatkan hak akses pengguna tingkat lanjut untuk mencari informasi yang lebih berharga.

Peretas dapat menggunakan kredensial untuk membobol sistem. SDLCNamun, mereka juga dapat membobol repositori atau alat yang dikonfigurasi secara tidak akurat atau dibiarkan tidak aman, yang membahayakan sistem dan data.

Serangan juga menargetkan paket sumber terbuka. Kita semua tahu kisah-kisah mengerikan tentang serangan yang mengeksploitasi kerentanan yang diketahui, seperti Log4j. Di sisi lain, serangan rantai pasokan berbeda: penyerang menyuntikkan kode berbahaya ke dalam paket sumber terbuka populer untuk digunakan kemudian dalam proses pembuatan oleh banyak organisasi di dunia.

Singkatnya: peretas dapat mengeksploitasi akses istimewa, kesalahan konfigurasi, dan kerentanan pada CI/CD pipeline infrastruktur sebagai vektor untuk menyisipkan malware ke dalam perangkat lunak yang dapat digunakan oleh banyak orang.

Bagaimana cara melindungi kita? SDLC Apakah ini berasal dari Serangan Rantai Pasokan Perangkat Lunak?

Jumlah serangan terhadap rantai pasokan terus meningkat, dan pasar bereaksi terhadap skenario ini. Beberapa organisasi telah menetapkan kerangka kerja untuk mengatasinya. software supply chain security, seperti Kerangka Kerja Pengembangan Perangkat Lunak Aman (SSDF) NIST dan Tingkat Rantai Pasokan untuk Artefak Perangkat Lunak (SLSA) Google. Namun, tidak banyak perusahaan yang memprioritaskan perlindungan alat dan infrastruktur DevOps untuk menghindari serangan pada rantai pasokan mereka. Bahkan, 82% CIO berpikir mereka akan rentan terhadap hal tersebut..

Perusahaan tidak hanya perlu mengkhawatirkan perlindungan aplikasi mereka, tetapi juga infrastruktur perangkat lunak dan artefak yang menjadi bagian dari aplikasi tersebut. SDLC Karena pelaku kejahatan menargetkan rantai pasokan. Luasnya area serangan, kurangnya kesadaran dari tim pengembang tentang jenis serangan ini, dan kurangnya alat keamanan khusus memungkinkan penyerang untuk fokus pada rantai pasokan perangkat lunak.