Seperti yang telah kita bahas dalam konten sebelumnya tentang software supply chain securityKami mengeksplorasi konsep serangan rantai pasokan dan potensi dampaknya terhadap organisasi. Serangan ini sering kali mengeksploitasi kerentanan di seluruh siklus pengembangan perangkat lunak (SDLC), yang menimbulkan risiko signifikan di setiap tahap. Hari ini, kita akan membahas yang paling umum terjadi. software supply chain security ancaman yang muncul selama tahap sumber.
Pertama dan terpenting, sangat penting untuk mendefinisikan serangan rantai pasokan dan hal-hal spesifik yang terkait. Software Supply Chain Security Ancaman yang muncul selama tahap sumber.
Definisi Serangan Rantai Pasokan Perangkat Lunak
Institut Nasional AS StandardIlmu Pengetahuan dan Teknologi (NIST) mendefinisikan serangan rantai pasokan perangkat lunak “Serangan siber terjadi ketika pelaku ancaman siber menyusup ke jaringan vendor perangkat lunak dan menggunakan kode berbahaya untuk membahayakan perangkat lunak sebelum vendor mengirimkannya ke pelanggan mereka. Perangkat lunak yang telah disusupi kemudian membahayakan data atau sistem pelanggan. Perangkat lunak yang baru diperoleh mungkin telah disusupi sejak awal, atau penyusupan dapat terjadi melalui cara lain seperti patch atau hotfix. Dalam kasus ini, penyusupan tetap terjadi sebelum patch atau hotfix masuk ke jaringan pelanggan. Jenis serangan ini memengaruhi semua pengguna perangkat lunak yang disusupi dan dapat memiliki konsekuensi yang luas bagi pemerintah, infrastruktur penting, dan pelanggan perangkat lunak sektor swasta.”"
Tahap Sumber Software Supply Chain Security Ancaman
Tahap sumber dalam siklus hidup rantai pasokan perangkat lunak mencakup fase-fase awal pengembangan perangkat lunak, mulai dari ide hingga pembuatan kode sumber. Tahap ini melibatkan pemilihan alat, pustaka, dan komponen, serta pengembangan dan implementasi fungsi inti perangkat lunak.
Software supply chain security Ancaman pada Tahap Kode Sumber mengacu pada kerentanan keamanan yang dapat dieksploitasi untuk memasukkan perubahan yang tidak sah atau berbahaya ke dalam kode sumber. Ini termasuk ancaman dari individu yang tidak berwenang maupun individu yang berwenang yang memasukkan perubahan yang tidak sah.
Contoh Ancaman dari Sumber
Kirim kode yang salah
Mengirimkan kode yang buruk mengacu pada praktik commitMenyisipkan kode ke repositori sumber yang berisi cacat, kesalahan, atau kerentanan. Ini dapat berupa kode berbahaya yang sengaja dimasukkan untuk membahayakan integritas atau keamanan perangkat lunak, hingga kode yang tidak disengaja yang menimbulkan bug atau kerentanan karena praktik pengkodean yang buruk atau kurangnya pengujian. Contoh serangan vektor ini adalah... serangan NPM. Pada tahun 2022, seorang peretas menyusup ke repositori kode sumber dari sebuah pustaka perangkat lunak sumber terbuka populer bernama npm. Peretas tersebut memasukkan kode berbahaya ke dalam kode pustaka yang memungkinkan mereka untuk mendapatkan akses tanpa izin ke sistem organisasi yang telah menginstal pustaka tersebut. Kode berbahaya tersebut memungkinkan peretas untuk mencuri data dari sistem yang terpengaruh, menginstal malware, dan mengganggu operasional. Serangan tersebut memengaruhi berbagai organisasi, termasuk lembaga pemerintah, bisnis, dan individu.
Kompromikan repositori sumber
Musuh memperoleh akses tanpa izin ke repositori kode sumber (SCM) dan memperkenalkan perubahan berbahaya atau menghapus kode yang sah. Hal ini dapat dicapai melalui berbagai metode, seperti mengeksploitasi kerentanan pada SCM, membahayakan kredensial pengembang yang memiliki akses ke repositori, atau mendapatkan akses ke infrastruktur yang mendasarinya. SCMSalah satu contoh serangan vektor ini adalah... Serangan PHP. Seorang penyerang berhasil membobol server Git yang dihosting sendiri oleh PHP, yang merupakan repositori aman untuk menyimpan dan mengelola kode sumber bahasa pemrograman PHP. Penyerang tersebut berhasil menyuntikkan dua malware. commitke dalam basis kode utama PHP. Ini commitSerangan tersebut menambahkan pintu belakang (backdoor) yang memungkinkan penyerang mendapatkan akses tidak sah ke instalasi PHP. Pintu belakang tersebut memungkinkan penyerang untuk mengeksekusi kode sembarang pada instalasi PHP apa pun, yang dapat digunakan untuk mencuri data, menginstal malware, atau mengganggu operasi. Serangan ini juga menyebabkan kerusakan reputasi yang besar bagi PHP, karena menimbulkan kekhawatiran tentang keamanan bahasa pemrograman tersebut.
Dibangun dari sumber yang dimodifikasi
Musuh memperoleh salinan kode sumber dari sumber selain repositori kode sumber resmi dan menggunakannya untuk membangun dan menyebarkan perangkat lunak. Kode sumber yang dimodifikasi ini mungkin berisi kode berbahaya, pintu belakang (backdoor), atau perubahan berbahaya lainnya yang dapat mengganggu integritas, fungsionalitas, atau keamanan perangkat lunak. Contoh serangan vektor ini adalah... Webmin Menyerang. Seorang penyerang memperoleh akses tanpa izin ke infrastruktur pembangunan Webmin, yang bertanggung jawab untuk mengkompilasi dan mengemas perangkat lunak Webmin. Penyerang memodifikasi infrastruktur pembangunan untuk menggunakan file sumber yang tidak ada di repositori sumber resmi Webmin.
Menulis kode yang tidak aman
Praktik pengkodean yang tidak aman, baik disengaja maupun tidak disengaja, dapat menimbulkan kerentanan pada perangkat lunak. Kerentanan ini dapat dieksploitasi oleh penyerang untuk mendapatkan akses tanpa izin, memodifikasi atau mencuri data, atau mengganggu operasional. Contoh serangan vektor ini adalah... Serangan Apache StrutsPada tahun 2003, seorang peretas menyusup ke repositori kode sumber dari pustaka perangkat lunak sumber terbuka yang disebut Apache Struts. Peretas tersebut memasukkan kerentanan ke dalam pustaka yang memungkinkan mereka untuk mendapatkan akses tanpa izin ke sistem organisasi yang menginstal pustaka tersebut. Kerentanan tersebut memungkinkan peretas untuk mengeksekusi kode sembarangan pada sistem yang terpengaruh, yang dapat digunakan untuk mencuri data, menginstal malware, dan mengganggu operasional. Serangan tersebut memengaruhi berbagai organisasi, termasuk lembaga pemerintah, bisnis, dan individu.
Mengubah file-file penting
Mengubah atau memodifikasi file-file penting dalam siklus pengembangan perangkat lunak dapat menimbulkan konsekuensi serius, termasuk masuknya kode berbahaya, terkompromikannya data sensitif, dan terganggunya operasi perangkat lunak. Contoh serangan vektor perusakan ini adalah... Serangan Maven. Pada tahun 2020, peretas menyusup ke repositori kode sumber dari pustaka perangkat lunak sumber terbuka populer bernama Maven. Peretas memasukkan kode berbahaya ke dalam file pom.xml pustaka tersebut, yang digunakan untuk mengkonfigurasi proses pembuatan. Kode berbahaya tersebut memungkinkan peretas untuk menyuntikkan dependensi mereka ke dalam proses pembuatan, yang kemudian disertakan dalam perangkat lunak yang dikompilasi. Dependensi ini berisi pintu belakang (backdoor) yang memungkinkan peretas untuk mendapatkan akses tidak sah ke sistem organisasi yang menginstal perangkat lunak tersebut.
Membuka Jalan: Merampingkan Operasi dengan Pandangan yang Jelas
Melangkah lebih jauh dari ranah keamanan, Anda akan menemukan bahwa memvisualisasikan rantai pasokan Anda lebih dari sekadar pengamanan – ini seperti menyalakan lampu di ruangan gelap, mengungkapkan jalur tercepat dan paling efisien melalui operasi Anda. Ini memberi tim pandangan menyeluruh tentang ekosistem pengembangan, memungkinkan mereka untuk mengidentifikasi aset yang berlebihan dan elemen yang tidak terawat. Kejelasan ini sangat bermanfaat dalam proyek berskala besar di mana banyak unit dan komponen saling terkait.
Keterangan Akhir
Dengan memahami berbagai jenis tahapan sumber software supply chain security Dengan mengantisipasi ancaman dan menerapkan langkah-langkah keamanan yang tepat, organisasi dapat membantu melindungi diri mereka dari serangan-serangan yang menghancurkan ini.
- Serangan rantai pasokan perangkat lunak dapat memasukkan kode berbahaya ke dalam perangkat lunak pada setiap tahap siklus pengembangan, termasuk tahap kode sumber.
- Ancaman pada tahap kode sumber meliputi pengiriman kode yang buruk, kompromi terhadap repositori kode sumber, pembuatan kode dari kode sumber yang dimodifikasi, penulisan kode yang tidak aman, dan perusakan file-file penting.
- Organisasi perlu menerapkan langkah-langkah keamanan komprehensif di seluruh siklus pengembangan perangkat lunak untuk mengurangi risiko serangan rantai pasokan.
Ingin selalu selangkah lebih maju dalam software supply chain security?
Nantikan kami rangkaian blog mendatangDi sini kita akan membahas serangan-serangan paling umum yang terjadi sepanjang siklus pengembangan perangkat lunak. Dari tahap pembangunan Mulai dari implementasi dan seterusnya, kami akan membekali Anda dengan pengetahuan dan strategi untuk melindungi organisasi Anda dari ancaman berbahaya ini.
Jangan lewatkan! Berlangganan blog kami hari ini! dan jadilah orang pertama yang mengetahui wawasan terbaru kami tentang software supply chain security.
Bersama-sama, kita dapat membangun ekosistem perangkat lunak yang lebih tangguh dan aman untuk semua.
Saksikan Demo Video kami
