Menjelang akhir tahun 2023, lanskap keamanan siber dipenuhi dengan laporan dan analisis. Di antaranya, Tinjauan Tahunan Keamanan Siber NSA 2023 telah menarik perhatian. Xygeni, di tahun yang penuh gejolak ini, bertujuan untuk berkontribusi pada pemahaman dan mitigasi ancaman terhadap rantai pasokan perangkat lunak. Di era di mana kompleksitas perangkat lunak sangat besar, ketergantungan kita pada komponen sumber terbuka dan evolusi DevSecOps serta pendekatan cloud-native telah mencapai tingkat yang baru. Sekilas pandang ini Laporan Xygeni memberikan wawasan mengenai tantangan-tantangan utama yang dihadapi oleh software supply chain security pada tahun 2023 dan menawarkan strategi untuk mengatasinya pada tahun 2024.
Daftar Isi
Jaringan Kompleks Software Supply Chain Security
Dalam kondisi saat ini SSCSAncaman siber semakin besar, menimbulkan kekhawatiran signifikan bagi perusahaan dan individu. Lonjakan kerja jarak jauh dan peningkatan ketergantungan pada layanan berbasis cloud telah memperluas permukaan serangan, menjadikan pengamanan rantai pasokan perangkat lunak sebagai tantangan yang lebih berat. Kesadaran bahwa rantai pasokan telah menjadi vektor serangan yang disengaja perlahan-lahan mulai muncul di industri perangkat lunak. Muncul pertanyaan: Bagaimana kita mengamankan jaringan yang rumit ini? Dapatkah kita mempercayai perangkat lunak dari komunitas sumber terbuka dan penyedia komersial? Bagaimana organisasi dapat menanamkan kepercayaan pada konsumen perangkat lunak mereka mengenai tidak adanya kerentanan atau malware?
Apa yang Akan Diungkap oleh Laporan Xygeni
Laporan Xygeni bertujuan untuk menjelaskan peristiwa dan tren yang mendefinisikan software supply chain security pada tahun 2023 dan menawarkan gambaran awal tentang apa yang mungkin terjadi pada tahun 2024. Laporan ini akan mencakup:
Sorotan: “Berdasarkan Angka-Angka”
Disebut sebagai tahun kebakaran hutan digitalTahun 2023 menyaksikan insiden-insiden yang menarik perhatian media, termasuk yang memengaruhi PyTorch, 3CX, dan MOVEit Transfer. Realitas suramnya adalah bahwa 82% dari organisasi Saat ini, sistem-sistem tersebut rentan terhadap serangan rantai pasokan perangkat lunak, dengan jumlah rata-rata komponen yang rentan dalam rantai pasokan meningkat lebih dari 50% setiap tahunnya. NTT Ltd melaporkan bahwa sektor teknologi adalah industri yang paling banyak menjadi sasaran, menyumbang 28% dari semua serangan rantai pasokan.
Perangkat lunak sumber terbuka, yang terdiri dari 70% hingga 90% dari tumpukan aplikasi kontemporer, menghadapi lonjakan paket berbahaya di registri publik – angka yang mengejutkan yaitu 245,032 kasus, dua kali lipat dari angka tahun-tahun sebelumnya.
Lanskap Serangan
Pada tahun 2023, serangan siber meningkat, dengan Badan Keamanan Siber Uni Eropa Tercatat 2,580 insiden keamanan, 220 di antaranya secara khusus menargetkan beberapa negara anggota. Serangan ransomware dan penolakan layanan mendominasi, tetapi serangan yang ditargetkan pada rantai pasokan perangkat lunak juga diamati. Yang perlu diperhatikan, chatbot AI memasuki lanskap ancaman keamanan siber, menimbulkan kekhawatiran tentang 'barang palsu murah' dan manipulasi informasi yang didukung AI.
Teknik Serangan di Tahun 2023
Para penyerang terus memanfaatkan teknik-teknik yang sudah dikenal seperti spear phishing dan rekayasa sosial, pencurian kredensial, dan serangan ketergantungan seperti paket typosquat. Namun, tahun 2023 menyaksikan peningkatan metode-metode yang lebih canggih, termasuk mencari (Phishing Suara) menggunakan pesan tiruan suara yang dihasilkan AI. Paket berbahaya yang disebarkan di registri publik mencapai angka yang mengkhawatirkan, yaitu 245,032 kasus, yang menekankan perlunya langkah-langkah pencegahan yang kuat.
Aktor Ancaman Tingkat Lanjut
Geopolitik memengaruhi operasi siber, dengan APT yang didukung negara terlibat dalam disinformasi, spionase, dan sabotase. Perang Ukraina menjadi titik fokus, yang menunjukkan operasi siber oleh aktor Rusia, Iran, dan Korea Utara. China memperkuat posisinya sebagai kekuatan siber global, sementara kejahatan siber terus berkembang, yang dicontohkan oleh serangan "Panda Penghindar" China yang menargetkan sebuah LSM internasional.
Beralih ke konflik terkini, konfrontasi siber antara Hamas dan Israel melibatkan serangan DDoS timbal balik. Beberapa analis menghubungkan Hamas dengan aktivitas ancaman Iran. APT Agrius yang terkait dengan Iran, juga dikenal sebagai "Agonizing Serpens," yang terkenal karena program penghapus datanya yang merusak, sebagian besar menargetkan organisasi Israel di berbagai sektor dan negara. Pada tahun 2023, upaya Agrius difokuskan pada sektor pendidikan dan teknologi di Israel.
Dampak Serangan
Dampak digital dari serangan siber, seperti kerusakan sistem, korupsi data, dan intrusi, jauh lebih besar daripada dampak finansial dan sosial. Survei Splunk Hal ini menyoroti waktu dan sumber daya yang signifikan yang dihabiskan untuk pembersihan, dengan hanya 4% responden yang melaporkan tidak ada konsekuensi yang signifikan.
Ringkasan Serangan-Serangan Relevan di Tahun 2023
Tahun ini menyaksikan serangan-serangan paradigmatik, termasuk InfoStealer PyTorch nightly, insiden CircleCI, serangan multi-langkah 3CX, pelanggaran data MOVEit Transfer, penangguhan sementara PyPI, NPM Manifest Confusion, serangan JumpCloud, dan kampanye VMConnect. Setiap insiden tersebut menggarisbawahi sifat serangan SSC yang beragam dan terus berkembang.
Evolusi dari Standards dan Peraturan
Kerangka peraturan untuk SSC sedang dalam proses penyusunan. Dengan intensitas yang sangat berbeda di berbagai wilayah, tampaknya AS memiliki kerangka kerja yang paling matang, sementara Uni Eropa tertinggal. Publikasi Strategi Keamanan Siber Nasional dan Peta Jalan Keamanan Perangkat Lunak Sumber Terbuka Peristiwa-peristiwa besar terjadi di AS. Di Uni Eropa, Cyber Resilience Act mencapai kesepakatan politik, tetapi sebagian besar organisasi berfokus pada arahan NIS2 dan Digital Operational Resilience Act (DORA).
Mungkin peristiwa terpenting di seluruh dunia adalah panduan bersama tersebut. Menggeser Keseimbangan Risiko Keamanan Siber: Prinsip dan Pendekatan untuk Perangkat Lunak yang Aman Sejak Awal Perancangan dipimpin oleh CISdan didukung oleh banyak otoritas keamanan siber di seluruh dunia.
Sekilas pandang ke tahun 2024
Laporan tersebut menawarkan beberapa prediksi: Pada tahun 2025, 45% organisasi di seluruh dunia akan mengalami setidaknya satu serangan SSC. Kita akan melihat kelompok kriminal terorganisir terlibat dalam kejahatan siber, memanfaatkan penawaran Cybercrime-as-a-Service yang lebih matang. Regulasi yang mulai berlaku selama tahun ini akan meningkatkan transparansi insiden keamanan, dengan lebih banyak detail serangan dan pelajaran yang dipetik diungkapkan. Asuransi risiko siber akan menunjukkan batasan dan kelebihannya. Dan kemajuan teknologi akan selaras dengan hal tersebut. keamanan berdasarkan desain tren tersebut, dengan beban yang lebih besar di pihak produsen perangkat lunak.
Gelombang AI menarik banyak vendor keamanan selama tahun 2023 untuk menambahkan "sentuhan AI" pada produk mereka. Meskipun demikian, AI diprediksi akan memainkan peran penting di masa depan. software supply chain securityAI akan memainkan peran yang semakin penting di berbagai bidang seperti intelijen ancaman dan penilaian risiko, deteksi anomali dalam repositori kode, penilaian dan prioritas kerentanan, dan Phishing menyerang deteksi, tetapi terutama dalam remediasi cerdas dan otomatisasi tinjauan kode.
Namun, pihak-pihak yang tidak bertanggung jawab mulai mempersenjatai AI, dan kita akan melihat teknik-teknik baru seperti pengintaian berbasis AI, dan serangan tombak yang sangat meyakinkan. Phishing, alat AI untuk membobol sistem keamanan, atau layanan pemecah CAPTCHA.
Kesimpulan
Saat Xygeni bersiap untuk mengungkap laporan komprehensifnya tentang kondisi terkini software supply chain security Pada tahun 2023, tantangan dan ancaman yang dihadapi industri ini sudah terlihat jelas. Rantai pasokan perangkat lunak, yang dulunya dianggap sebagai proses di balik layar, kini telah menjadi target utama bagi para penjahat siber. Respons industri terhadap tantangan ini akan membentuk arah keamanan perangkat lunak di tahun-tahun mendatang. Nantikan laporan lengkapnya saat kami membahas detailnya dan memberikan wawasan yang dapat membantu menavigasi lanskap kompleks ini. software supply chain security.
