Hvað er árás á hugbúnaðarframboðskeðju?

Hvað er árás á hugbúnaðarframboðskeðju?

#

Í þessum orðalista ætlum við að skilgreina hvað er árás í hugbúnaðarframboðskeðju og einnig ætlum við að afhjúpa nokkur dæmi um árásir í hugbúnaðarframboðskeðju.

Eins og þú veist kannski nú þegar eru árásir í hugbúnaðarframboðskeðjunni ákveðin tegund netárása. Þær beinast venjulega að hugbúnaðaríhlutum þriðja aðila, bókasöfnum, þróunartólum eða innviðum sem notaðir eru til að smíða og dreifa hugbúnaðarforritum. Í stað þess að ráðast beint á fyrirtækið sem skotmarkið er, komast ógnandi aðilar inn í trausta hugbúnaðarbirgja eða þjónustuaðila, að kynna illgjarnan kóða or Afturvirkt sem síðan eru afhentar notendum sem hluti af lögmætum uppfærslum eða uppsetningum. Þar sem árásir á hugbúnaðarframboðskeðjuna nýta sér óbein traust innan SDLC, það gerir það erfitt og sérstaklega lúmskt og krefjandi að greina.

Helstu eiginleikar #

Sum af helstu einkennum árása í framboðskeðju hugbúnaðar eru:

• Misnotkun trausts: Illgjarnir aðilar notfæra sér oft traust milli forritara og verkfæra þeirra, ósjálfstæðis þriðja aðila og söluaðila.
• Hliðaráhrif: Einstök og einföld málaferli geta smitast yfir marga fórnarlömb í gegnum dreifingarrásir hugbúnaðar
• Laumuspil og þrautseigja: Illgjarn kóði er oft innbyggður í undirrituðum, að því er virðist lögmætum hugbúnaðarpakka, sem gerir kleift að viðhalda langtímaáhrifum.
• Flókin tilvísun: Þar sem árás af þessu tagi á uppruna sinn að ofan í framboðskeðjunni getur það verið mjög flókið og tímafrekt að rekja upprunann.

Algengar árásir í hugbúnaðarframboðskeðju
#

Íhlutir og ósjálfstæði frá þriðja aðila: Árásarmenn geta komist í hættu með víðtæka OSS-pakka eða sérhannaða SDK-einingar, sem eru óafvitandi innifaldar í þróunarverkefnum.

Byggja kerfi og CI/CD Pipelines: að nýta sér rangt stillt eða viðkvæmt byggingarumhverfi til að sprauta inn skaðlegum gripum við hugbúnaðarþjöppun eða pökkun.

Kóðageymslur: óheimill aðgangur að frumkóðageymslum (t.d. GitHub) til að breyta lögmætum kóðagrunnum með skaðlegum gagnamagni

Hugbúnaðaruppfærslur og viðgerðaraðferðir: að stöðva eða stjórna uppfærslurásum til að afhenda útgáfur af traustum hugbúnaði sem hafa orðið fyrir hættu

Við skulum nú skoða nokkur dæmi. Ef þú vilt fá frekari upplýsingar um árásarvigra og gerðir – kafa í!

Dæmi um árásir á hugbúnaðarframboðskeðjuna #

• SolarWinds Orion (2020)Þetta gæti verið eitt það alræmdasta dæmi. Árásarmenn settu inn bakdyr sem nefndust „SUNBURST“ í lögmæta hugbúnaðaruppfærslu sem yfir 18,000 viðskiptavinir, þar á meðal Fortune 500 fyrirtæki og bandarískar ríkisstofnanir, sóttu niður.
• Upphleðsluforrit fyrir Codecov Bash (2021)Í þessu tilviki breyttu ógnaraðilar forskrift sem notuð var í CI pipelines, að stela innskráningarupplýsingum og umhverfisbreytum úr þúsundum verkefna
• UAParser.js (2021): an NPM Bókasafn sem milljónir manna notuðu var rænt og endurútgefið með dulritunarnámuvinnslu og spilliforritum sem steldu persónuskilríkjum
• Kaseya VSA (2021): Hér nýttu árásarmenn sér varnarleysi í fjarstýrðum eftirlitsvettvangi til að dreifa ransomware til þjónustuaðila og viðskiptavina þeirra.

Þessi dæmi um árásir á hugbúnaðarframboðskeðjuna sýna fram á fjölbreytni aðferða og hugsanleg áhrif og leggja áherslu á þörfina fyrir öflugar athuganir á heilleika hugbúnaðar.

Nokkrar aðferðir til að greina og koma í veg fyrir

#

Í ljósi flækjustigs og leynilegrar eðlis hugbúnaðarárása krefst forvarna og uppgötvunar árása í framboðskeðjuna lagskiptra öryggisaðferða:

• SBOM (Efnisyfirlit hugbúnaðar)Halda ítarlegri skrá yfir alla íhluti þriðja aðila og útgáfur þeirra til að greina óeðlilegar eða óheimilar breytingar.
• Undirritun og staðfesting kóða: Gakktu úr skugga um að allir gripir séu dulkóðaðar undirritaðir og staðfestir við smíði og dreifingu
• Keyrslutímaeftirlit: Innleiða EDR og sjálfsvörn keyrslutímaforrita (RASP) til að greina grunsamlega hegðun við keyrslu
• Aðgangsstýringar og endurskoðanir: Herða aðgang að kóðageymslum og CI/CD umhverfi með fjölþátta auðkenningu og hlutverkatengdri aðgangsstýringu
• Stöðug varnarleysisskönnun: Notið sjálfvirk verkfæri til að skanna opinn hugbúnaðarháðleika og greina þekkta veikleika eða rangar stillingar.
• Áhættustýring söluaðila: Metið öryggisstöðu allra þriðja aðila, sérstaklega þeirra sem hafa aðgang að viðkvæmum þróunarumhverfum

Veistu hvaða áhættuþættir þetta hefur fyrir öryggisteymi og DevSecOps?

#

#

Öryggisstjórar, DevOps og DevSecOps teymi verða að endurskipuleggja stefnur sínar til að takast á við áhættu árása á framboðskeðju hugbúnaðar:

DevSecOps samþætting: Öryggi þarf að vera innbyggt í allan hugbúnaðarlíftíma, frá hönnun til dreifingar.

Ógnalíkön: Innifalið ógnir í framboðskeðjunni í áhættumat og æfingar á ógnarlíkönumcises

Þjálfun forritara: Fræða forritara um öruggar kóðunaraðferðir og áhættuna sem fylgir því að samþætta illa yfirfarna íhluti frá þriðja aðila.

Þessar aðferðir draga ekki aðeins úr hættu á brotum heldur stuðla einnig að menningu þar sem öryggi er í fyrirrúmi í þróun og rekstri.

Af hverju ætti þér að vera sama?

#

Það er nauðsynlegt fyrir alla sem þróa hugbúnaðarforrit að skilja hvað árás í framboðskeðju hugbúnaðar er. Þar sem þess konar árásir nýta sér einmitt þá aðferðir sem gera kleift að nýta sér hraða hugbúnaðarnýjungar og breyta traustum tækjum í brotsefni, eru þær mjög hættulegar. Með skjalfestum dæmum um árásir í framboðskeðju og ítarlegum varnaráætlunum er ljóst að til að draga úr þeim þarf: sýnileika, ábyrgð og samþættingu öryggis milli starfsgreina.

Fyrir fyrirtæki sem vilja fylgjast með og tryggja hugbúnaðarframboðskeðjur sínar, Xygeni er svarið. Horfðu á kynningarmyndbandið okkar eða fáðu þér Ókeypis prufuáskrift í dag!