Þetta er fyrsti þátturinn í greinaröð um algengustu tegund árása í framboðskeðju hugbúnaðar: þær sem (mis)nota opinbera skrá yfir hugbúnaðaríhluti, ætlaða til... opinn uppspretta verkefni að hlaða inn gripum sem hægt væri að deila með öðrum notendum. Þegar illmennin birta þar skaðlegan hugbúnað og nota skrásetninguna sem farartæki til að dreifa spilliforritum, þá gerum við árás í framboðskeðjuna þegar fyrirtækin sem fórnarlömbin eru setja upp eða keyra sýkta hugbúnaðaríhlutinn.
Til að einfalda umræðuna munum við ræða um hugbúnaðarpakkar:, íhlutir í pakkaformi framleiddir af þriðja aðila. Þetta nær ekki aðeins til íhluta sem pakkastjórar eins og NPM eða Poetry nota, heldur einnig íhlutir stýrikerfisins þar á meðal bókasöfn og keyranleg tvíundarskrár, myndir af ílátum, og sýndarvélar, eða verkfæraframlengingar fyrir þróunar-, smíða- og dreifingartól. Við höfum séð illgjarn pakka alls staðar. Netglæpamenn hafa ekkert á móti því: þeir eru himinlifandi með valkostina sem nútíma hugbúnaðarinnviðir bjóða upp á og nota skrásetninguna og tólið sem hentar best fyrirætlunum þeirra. Svo vinsamlegast munið að hugbúnaðarpakka eru skammstöfun fyrir gámamyndir, tvíundarpakka, opna hugbúnaðargeymslur og viðbætur eða viðbætur af öllu tagi (IDE, CI/CD kerfi, smíðaverkfæri). Öll eru þau reglulega undir árásum.
Þáttaröðin verður með 5 þáttum:
- Hvert er vandamálið með opnum hugbúnaðarpökkum? Þetta er þema þessarar færslu. Hvers vegna eru glæpamenn af öllum gerðum að birta illgjarnar pakkar? Hvers vegna ætti ég að hafa áhyggjur?
- Líffærafræði illgjarnra pakka: Hverjar eru þróunin? Í þessum þætti einbeitum við okkur að þeirri ógn sem við fylgjumst með með MEW kerfinu okkar, dag eftir dag. Með miklum bakgrunnshljóðum vegna fjölda illgjarnra pakka sem nota typosquatting eða ósamræmi í tengslum við tengsl, eru minni hluti árása mun lúmskari og fela í sér meiri áhættu. Hvernig hefur hegðun illgjarnra aðila varðandi stýrikerfi breyst að undanförnu? Hverjar eru tölurnar? Hverjar eru taktíkina, aðferðirnar og verklagsreglurnar sem notaðar eru og hvaða skaðlegu aðgerðir hafa sést?
- Vernd gegn skaðlegum pakka frá opnum hugbúnaði: Hvað virkar (virkar ekki)Flestir sérfræðingar sem eru meðvitaðir um öryggi hafa hugmyndir um hvernig eigi að takast á við þessa ógn. Við höfum heyrt öryggisstjóra segja hiklaust að SCA Tól segja þér nú þegar hvenær pakkaútgáfa er spilliforrit. Eða að þau séu háð þekktum, vel metnum hugbúnaðaríhlutum, þar sem spilliforrit yrðu strax greind og fjarlægð. Þau nota opnar minniháttar/uppfærsluútgáfur til að fá sjálfkrafa lagfæringar á veikleikum og að það sé rétta og ráðlagða leiðin til að minnka áhættuna á opnum hugbúnaðartengdum hugbúnaði, samkvæmt meginreglunni „uppfæra snemma, uppfæra oft“. Í þessum þætti munum við fara yfir hvers vegna þessar hugmyndir eru rangar og hvernig slíkar misskilningur stuðlar að vinsældum þessa árásarkerfis og að yfirþyrmandi áhættu sem fyrirtæki upplifa. Við munum enda á því hvað virkar og hver er fyrirhöfnin og úrræðin sem þarf.
- Illgjarn pakkar í opnum hugbúnaði: Xygeni aðferðinÍ þessum þætti kynnum við þá stefnu sem við hjá Xygeni fylgjum fyrir viðvörunarkerfið okkar um skaðleg hugbúnaðarforrit (MEW). Hvernig virkar þetta fjölþrepa kerfi í rauntíma þegar ný útgáfa af pakka er gefin út, hvernig sönnunargögn eru tekin úr mismunandi áttum, hvernig flokkun er framkvæmd, hvaða flokkunarviðmiðum fylgjum við og hvers vegna handvirk greining er enn nauðsynleg til að staðfesta eðli illgjarns pakka? Hvernig endurgjöf frá innri teymum okkar og skráningarteymum hjálpar kerfinu að læra af fyrri sönnunargögnum sem safnað hefur verið til að lágmarka falskar jákvæðar niðurstöður. Við munum einnig útskýra hvernig við erum að hjálpa NPM, GitHub, PyPI og öðrum lykilinnviðum í opnum hugbúnaðarvistkerfum til að draga úr dvalartíma..
- Að nýta sér opinn hugbúnað: Hvað má búast við frá illmennunum. Þáttaröðin lýkur með því að einbeita sér að nýjustu aðgerðum sem andstæðingarnir eru að grípa til til að gera árásirnar laumulegri, erfiðari að greina, markvissari gegn tilteknum atvinnugreinum og ná meiri ávinningi af þessum flokki árása. Verða ransomware-árásir framkvæmdar með þessu farartæki? Hvernig nýta illmennin sér gervigreindartól til að afhenda flóknari illgjarnar pakka? Eru vinsælustu verkefnin í hættu? Þetta er til að gefa lesendum hugmynd um þetta vopnakapphlaup og hvað má búast við til skamms tíma (seinni hluta ársins 2024) og meðallangs tíma (2025). Við munum læra hvernig árásir eins og nýlegar... XZ-Utils bakdyr, eða árásin á að lifa af landinu rafeindasmiður í mars 2024 sýna að við ættum að vera vakandi fyrir þróun andstæðinganna.
Opnum sviðið með fyrsta þættinum: Hvað er í gangi með illgjarn opinn hugbúnaðarpakka?
Hvert er vandamálið með opnum hugbúnaðarpökkum?
Á undanförnum árum hafa alls kyns afbrotamenn notað opinn hugbúnaðarskrár til að beita illgjörnum athöfnum. Þessi starfsemi er jafn gömul opnum hugbúnaði, en tíðni hennar hefur aukist gríðarlega á síðustu þremur árum.
Að birta skaðlega íhluti í opinberum skrám (árásir sem byggja á ósjálfstæði) er ósamhverfur skæruhernaður sem ógnaraðilar nota til að dreifa spilliforritum og nýta sér traustið sem stofnanir bera á opnum íhlutum sem koma frá óþekktum forriturum (munið eftir ósjálfstæði xkcd teiknimyndasaga?). Þar sem þú treystir pakka og hefur ekkert á móti því að fara handvirkt yfir innihald pakkans og tengsl þeirra, eru þessar árásir einstaklega árangursríkar. Og ósamhverfan stafar af því að þær geta að mestu verið sjálfvirkar og illmennin þurfa ekki að hafa bein samskipti við fórnarlambið. Þeir hlaða einfaldlega pakkanum inn í opinbera skrána og sleppa honum.
Illgjarnir pakkar sexfaldaðist árið 2022, og hélt áfram að vaxa um 2.5 sinnum árið 2023. Í fyrra sáust heil 245,000 illgjarnir pakkar, sem er meira en tvöföldun á heildarfjölda fyrri ára samanlagt. Þetta er veldisvöxtur! Frá því að fjarlægja pakka til staðfestra spilliforrita í hundruðum árið 2021 og í þúsundum árið 2022 sáum við miklu meiri bakgrunns„hávaða“ árið 2023, með svipuðum hraða og í ár. Og falið í þeim bakgrunni, af völdum ófullkominna netglæpamanna sem fylgdu „minnstu mótstöðuleiðinni“, náðu minnihluti árása áberandi fyrirsagna, jafnvel í almennum fjölmiðlum.
Hvers vegna er þetta vandamál af þessari stærðargráðu? Það er til staðar of mikið traust um alla keðjuna. Opinn hugbúnaður er dreift með frumkóða sínum og gefinn út undir tilteknu leyfi. Já, hver sem er getur skoðað frumkóðann; en hver gerir það almennt? Hver, eftir að hafa kannað að hugbúnaðurinn innihaldi engan spilliforrit, býr hann til úr frumkóðanum? Hver, áður en pakkaða íhluturinn (einnig þekktur sem ...) er sendur pakki) niðurstreymis í pakkastjórann eða smíðatólið, tryggir að pakkinn sé ekki fullur af spilliforritum og samsvari þeim frumkóða sem hann á að koma úr?
Hvers vegna leyfir innviðirnir svona auðveldar árásir?
Pakkaskrár eru opin og krefjast oft lágmarks staðfestingar á hver útgefandinn er. „Hver sem er er velkominn að birta hugbúnað sinn hér!“ Standardinn fyrir árásarmenn er lágur: þeir nota einnota netföng og einnota GitHubGithub reikninga til að búa til hundruð illgjarnra pakka í stuttum, phishing-líkum herferðum. Aðeins fyrir markvissa þá þarf meiri fágun: Við sáum jafnvel búa til trúverðuga GitHub heimildargagnagrunn með mörgum stjörnum og commitfrá mörgum fölskum framlagsaðilum og öðrum mælikvörðum um vinsældir og viðhald. Að fá stjörnuskoðarar og orðspor vegna falsaðra framlaga er ekki erfitt að gera sjálfvirkan. Við sáum misnotkun á opnum hugbúnaðarinnviðum af öllum gerðum, ekki bara spilliforrit, eins og atvik í te-samskiptareglum.
Pakkastjórar voru hannaðir til að auðvelda notkun en ekki til að tryggja öryggi.Þeir geta keyrt forskriftir fyrir og eftir uppsetningu (stundum er nauðsynlegt að setja saman innfæddan kóða fyrir bókasafn). Einnig, Pakkastjórar setja upp pakka frá mörgum aðilum og stundum er sjálfgefið að nota opinberar skrár. Þeir könnuðu ekki hvort ósamræmi væri á milli lýsigagna í útgáfubeiðninni og lýsigagnanna í pakkanum sjálfum.
Ósjálfstæði eru innfelld og mynda graf. Í ákveðnum vistkerfum eins og Node (JavaScript) safnast smákorna ósjálfstæði saman í hundruðum eða þúsundum. Eitt er að hafa strangt eftirlit með beinum ósjálfstæðum sem hugbúnaðarverkefni mín lýsa yfir, en tímabundnar ósjálfstæðir eru erfiðari að stjórna. Opinn hugbúnaður fylgdi „vinir vina minna eru vinir mínir“. Bræðralag er normið í villta Austurlöndum fjær! Ógnaraðilar vita þetta og fela illgjarna hegðun djúpt í óljósum tengslum sem eru oft óþekkt. Þetta var raunin með viðburðarstraumur atvik sem beinist að Samgreiðsluveski.
Svona hefur opinn hugbúnaður virkað frá upphafi. Það mun ekki breytast mikið. Sumar pakkaskrár krefjast í besta falli tveggja þátta auðkenningar, og oft aðeins fyrir vinsælustu pakkana. Sumar skrár bjóða upp á gildissvið, nafnrými í eigu viðurkenndrar stofnunar, en... hörmulega aðrir styðja það ekki (PyPI) eða gera það valfrjálst (NPM). Það er áhugavert að taka eftir því að jafnvel a einföld skimunaráætlun (byggt á stjórn á DNS eða GitHub geymslunni/stofnuninni sem passar við hópaauðkennið) og gerð Undirskriftir PGP nauðsynlegar Fyrir allar artifacts nema checksums fjarlægir það mest af „hávaðanum“, illgjörnum pakka sem líkjast typosquatting og takmarkar mikið af ruglingur í tengslum við ósjálfstæði. Flóknari árásir eru mögulegar en mun erfiðari, þar sem aðeins fáar eins og sú sem com.github.codingandcoding:maven-þýðandaviðbót þekkt fyrir Maven Central. Og ekki fylgja allar Maven skrár sömu starfsvenjum!
Öryggisstýringar á pakkastjórum geta verið byrði en hindra ekki árásir á ósjálfstæði. Vandamálið með fjölþátta auðkenningu er að fyrir sjálfvirkni eru afleiddar innskráningar eins og aðgangsmerki eða APIapi lyklar búnar til fyrir reikninga sem nota á í APIapi köllum sem gerð eru úr sjálfvirkni forskriftum, án þess að gagnvirkur notandi leggi til annan þátt. Fjölþátta auðkenning er góð til að vernda notendareikninga gegn lykilorðsleka, en aðgangsmerkin eða APIapi lyklarnir sem myndast þurfa að vera verndaðir meðan þeir eru virkir, annars verða eigandi þeirra hermdir eftir af andstæðingum. Stór hluti pakkabundinna framboðskeðjuherferða byrjar með lekum lykli/merki. Munið bara eftir atvikum eins og... Ledger, 3CX, og mörg fleiri, þar sem ógagnvirkum innskráningarupplýsingum var fyrst stolið í undirbúningsinnbroti til að hefja árás í framboðskeðjuna.
Viðbrögðin við þessari ógn voru ekki nógu öflug. Í þriðja þættinum munum við einbeita okkur að því hvað virkaði og því sem mistókst hrapallega. Iðnaðurinn þarf að vinna saman að því að... standards, ferlar, fræðsla og verkfæri til að draga úr áhættu fyrir alþjóðlegar framboðskeðjur. Þetta er ekki vandamál sem ein stofnun getur leyst upp á eigin spýtur.
Til að ljúka þessum kafla, mikilvægur misskilningur: við erum að tala um illgjarn pakkar, ekki viðkvæm Veikleikar stafa af hönnunar- eða kóðunarvillum, sem koma upp fyrir slysni, án ills ásetnings. Veikleikarnir geta verið nýttir, en margir ekki. Illgjarnir pakkar eru alltaf vísvitandi og það er 100% nýtanleiki ef þeir eru keyrðir. Engin sambærileg áhætta! Þess vegna Það er þversagnakennt að sjá hversu mikil vinna er lögð í að greina og draga úr veikleikum, og skort á sambærilegum aðgerðum fyrir skaðlega íhluti..
„Við tökum öryggi alvarlega“
Ímyndum okkur hefðbundið Acme CorporationAcme, stór þjónustuaðili WileCoyote.com, fær megnið af hugbúnaði sínum frá þriðja aðila, þar af meira en 80% úr opnum hugbúnaðarverkefnum. Þeir framleiða hugbúnað fyrir innri notkun, en þeir bjóða einnig upp á hugbúnað fyrir samstarfsaðila sína, þjónustuaðila og viðskiptavini/notendur. Acme býður upp á hugbúnað skrifaðan í Go, JavaScript, Java, C# og Python, og keyrir megnið af hugbúnaði sínum í skýinu, undir Kuberneteskubernetes klösum. Acme smíðar sérsniðnar ímyndir sínar úr grunnmyndum teknum úr Docker Hub og öðrum skrám. Og þeir deila einnig nokkrum bókasöfnum, pakka og gámamyndum í opinberum skrám.
Acme tekur öryggi alvarlega. Þeir eru nokkuð meðvitaðir um vandamálið með open source securityog áhættuna sem því fylgir. Allir forritarar, kerfisstjórar og DevOps og DevOps verkfræðingar nota þessa sætu litlu dulritunarlykla sem annars stigs auðkenningu. Allt commits til kóðageymslur eru undirritaðar, útibúsvernd er virkjuð með skyldubundnum kóðayfirferðum, CI/CD læst, leyndarmál geymd í leynigeymslu og með innri skrá sem speglar að hluta til ytri skrár þar sem aðeins leyfilegir íhlutir á hvítlista eru geymdir. Það er krafist að hugbúnaður sem Acme smíðar taki við ósjálfstæði þriðja aðila frá þessari skrá.
Sennilega falla flestir stofnanir undir þennan prófíl. Kæri lesandi, þinn passar svo sannarlega ef þú ert nú þegar kominn hingað, er það ekki?
Svo einn óheppilegan dag, mikilvægur forritari í forgrunni á Acme hljóp npm setja upp acme-cute-lib, gleymdi að @acme/cute-lib var rétta hugbúnaðarumfangið. Nákvæm mistök skipta ekki máli, margt getur farið úrskeiðis jafnvel þótt maður hafi fullkomna stjórn á hugbúnaðarlíftímanum. Forritari okkar vissi ekki að APT hópur var að miða á Acme og birti skaðlegan íhlut undir því nafni, á lævísan hátt þannig að skaðleg hegðun virkjast aðeins þegar hugbúnaðurinn er settur upp á Acme tölvum. Pakkinn fannst ekki í margar vikur eftir birtingu hans.
Keyrt er uppsetningarforrit sem leitar að innskráningarupplýsingum (það voru margir safaríkir aðgangsmerki í fartölvu forritarans okkar), sem veitir aðgang að innri hugbúnaðargeymslum og áðurnefndu innri geymslu, sem er auðvitað aðeins aðgengileg í gegnum VPN. Illgjarni kóðinn tókst að nota núverandi VPN tengingu og birta annars stigs illgjarnan íhlut í innri skrásetninguna, sem hafði áhrif á sameiginlegt hugbúnaðarsafn sem flestir hugbúnaðirnir frá Acme deila.
Vikum síðar fóru aðrar stofnanir sem notuðu verkfæri Acme að sjá undarlega umferð á netum sínum, þar sem umferðin notaði samskiptareglur Acme en var beint á vélar sem líktust Acme léninu. Umferðin var dulkóðuð en kerfiseftirlitsverkfæri fundu aðgang að óvæntum skrám og keyrslu ferla sem líta út eins og kerfisskipanir en enda á því að keyra niðurhalaðar keyrsluskrár.
Restin er saga: Acme neitaði fyrst að slík hegðun væri þeim tengd og að allar öryggisráðstafanir væru til staðar. Það var ekki fyrr en eftir að fjölmiðlar í netöryggismálum fóru að spyrja hvers vegna uppspretta þessarar hegðunar kæmi frá íhlutum Acme, og öryggisgreining sýndi fram á hversu fullir af laumuspilunarforritum væru í þessum íhlutum, að Acme þurfti að viðurkenna atvikið og kalla til fyrirtæki sem sérhæfði sig í viðbragðsaðgerðum. Neikvæð markaðsherferð sem grafaði undan trausti sem þeir höfðu unnið sér inn á augabragði.Acme var einni npm uppsetningu frá disaster„var algeng fyrirsögn. Síðan fylgdu málaferli og samningar felldir í kjölfarið.
Sérðu líkindi við þekkt atvik í fortíðinni? Acme lenti í atviki í framboðskeðjunni í tveimur áföngum, með því að nota blöndu af ruglingur í tengslum við ósjálfstæði/innsláttarvilla Árásir sem notuðu vinnustöð forritara sem leið til að smita íhluti sem lentu í hugbúnaði sem þriðju aðilar notuðu. Hvernig væri hægt að koma í veg fyrir þetta eða draga úr því?
Af hverju eitraðar pakkningar eru svona vinsælar
Þessi tilgáta sýnir að jafnvel með skynsamlegri nálgun á öryggi í opnum hugbúnaði þurfa stofnanir sérstakar ráðstafanir til að forðast að verða fórnarlömb spilliforrita í íhlutum opins hugbúnaðar. Skýringarmynd sýnir að ógnunaraðilinn getur:
- Búðu til nýjan pakka (í samræmi við þekktar aðferðir eins og typosquatting eða ósamræmi í tengslum við hugbúnað, þá er þetta sú leið sem illmennin fara oftast yfir í fjöldanotkun);
- Reyna að smita núverandi forrit, annað hvort með því að sprauta því inn í frumkóðann eða reyna að dylja það sem þátttakanda með því að nota pull requesteða nota félagsverkfræði til að verða viðhaldsaðili (eins og „Jao Tan“ gerði í XZ Backdoor eða hægri9ctrl GitHub notandi gerði í viðburðarstraumur atvikið haustið 2018), eða með því að fá aðgang að opnum hugbúnaðargeymslum og þykjast vera viðhaldsaðili;
- Sprauta inn spilliforritum við smíði pakkans, annað hvort með því að keyra illgjarn smíðaforrit., eða trufla niðurhal pakka með „maður-í-miðju“-hlerunum (sem betur fer er TLS nú alltaf krafist í flestum skráningarkerfum).
- Sprauta pakkaða íhlutnum beint inn í skrásetninguna, venjulega með því að safna skráningarupplýsingum (ákjósanlegur kostur fyrir margar flóknar árásir eins og Acme, þar sem vinnustöðin sem varð fyrir barðinu á skemmdum hafði í fyrsta stigi innri aðgangslykil skrásetningarinnar, t.d. á venjulegum hátt). .NS or ~/.m2/stillingar.xml: ólöglegir aðilar vita hvar á að leita að leyndarmálum). Veikleikar í skránum voru einnig nýttir.
Að eitra skrár með spilliforritum er grundvöllur árása sem valda ósjálfstæði. Ekkert nýtt undir sólinni: útbreiðsla þeirra hefur aukist gríðarlega, en sömu aðferðir virka nú og fyrir fimm árum.
Heimild: Hnífasafnið hjá bakstungunni.
Illgjarn pakkinn getur virkað við uppsetningu, smíði hugbúnaðar eða í keyrslu. Hegðunin getur verið allt frá upplýsingasöfnun, t.d. að draga út leyndarmál fyrir aðra tilraun, til að draga út frumkóða og losa sig við frekari spilliforrit. Í næsta þætti munum við greina illgjarnu pakkana og hvernig þeir eru birtir.
Ítarefni
Næsti þáttur Líffærafræði illgjarnra pakka: Hverjar eru þróunin? Við munum einbeita okkur að raunverulegum tilfellum sem við fylgjumst með með viðvörunarkerfi okkar um spilliforrit, dag eftir dag. Við munum fara yfir hvaða tegundir spilliforrita sáust og hvaða aðferðir, tækni og verklagsreglur eru vinsælastar. Við munum skoða dulritunaraðferðir og hvernig þær reyna að fela sig fyrir hugsanlegum gagnrýnendum, undankomuleiðir til að forðast uppgötvun og hvernig þær þróast með fjarmælingum og hliðarhreyfingum. Vinsamlegast fylgist með!
Heimildir
- Safn hnífa bakstungunnar: Yfirlit yfir árásir á framboðskeðju opins hugbúnaðarM. Ohm o.fl., maí 2020.
- Vörn gegn spilliforritum með opnum hugbúnaðiHvítbók frá Xygeni.
- Software Supply Chain Security Til baka: Að móta öruggara ár 2024Skýrsla frá Xygeni.
