מתקפות על שרשרת אספקה ​​של תוכנה: האם עליי לדאוג?

טכנולוגיית התוכנה התפתחה, וההאקרים התפתחו איתה. מרוץ החימוש עם הרעים הוגבל בעיקר לפגיעויות ולתקיפות המכוונות כלפי התוכנה שנפרסה. תקיפת שרשרת האספקה ​​של התוכנה, למרות שלא הייתה בלתי נראית, לא הייתה המטרה העיקרית של הרעים...

ההתקפה שרבים התייחסו אליה כתחילתו של שינוי בשיטת הפעולה של איומים מתמשכים מתקדמים (APTs) הייתה התקפת SolarWindsלא הראשון, אבל עם השפעה כזו שעלתה לכותרות וכבשה את ITsec בסערה.

דוגמאות: SolarWinds, Codecov, Kaseya

SolarWinds היא ספקית תוכנה גדולה המספקת כלים לניטור רשתות ותשתיות. אחד ממוצרי החברה הוא Orion, פלטפורמה לניטור וניהול תשתיות. היא משמשת יותר מ-30,000 ארגונים ציבוריים ופרטיים לניהול משאבי ה-IT שלהם. Orion ניגשת למערכות IT כדי לקבל נתוני יומן וביצועי מערכת.

בדצמבר 2019, האקרים פרצו לרשתות, למערכות ולנתונים של אלפי לקוחות SolarWinds. הם תקפו את שרשרת אספקת התוכנה שלה והחדירו קוד זדוני לפלטפורמה. לאחר מכן, SolarWinds סיפקה את הנוזקה האחורית כעדכון לתוכנת Orion, אליה יכלו האקרים לגשת ולהתחזות למשתמשים ולחשבונות של ארגונים שהיו קורבנות. הפריצה של SolarWinds סימנה התעוררות בתחום אבטחת הסייבר עבור כל הארגונים הפועלים בעולם הענן.

מתקפה זו על שרשרת האספקה ​​​​לוותה באחרות כמו Codecov, כלי כיסוי קוד תוכנה. בינואר 2021, התוקף שלף אישור אוחסנה בטעות בתמונת Docker של Codecov, בה השתמש הגורם כדי לשנות סקריפט מעלה בכלי. הגורם פשוט הוסיף שורת קוד אחת ששלחה את כל משתני הסביבה של ה-CI לשרת הנשלט על ידי התוקף כאשר הסקריפט בוצע. במשך חודשים, הגורמים הרעים השיגו גישה פוטנציאלית למערכות שהשתמשו בסקריפט Codecov שעבר שינוי.

מאוחר יותר, ב-2 ביולי 2021, ה- התקפה על קסיה אירע. פלטפורמת ה-VSA שלה משמשת ספקי שירותים רבים המספקים שירותי IT לחברות אחרות לניהול תיקונים וניטור לקוחות. האקרים תקפו את שרשרת האספקה ​​של Kaseya VSA, פרצו לתשתית שלה ובהמשך שחררו עדכונים זדוניים בשרתים המקומיים של VSA כדי להדביק את מערכות החברות המנוהלות, להצפין את הנתונים שלהן ולדרוש כופר. תוכנת כופר באמצעות כלי טרויאני בו משתמשים ספקי שירותים בחברות המנוהלות שלהם, שהן המטרות הסופיות. כמה חכם!

מאז תקרית SolarWinds, היו יותר ויותר התקפות נגד שרשרת אספקת התוכנה, מה שמשפיע על התדמית והכלכלה של חברות כמו סמסונג, אובר, ניסאן, אנבידיה, ועוד רבות אחרות. על פי גרטנר, "עד שנת 2025, 45% מהארגונים ברחבי העולם יחוו התקפות על שרשרת אספקת התוכנה שלהם, עלייה פי שלושה מאז 2021."

דור חדש של מתקפות שרשרת אספקה ​​של תוכנה

תקיפת יישומים קנייניים או סביבות ייצור של חברה מייצרת רק קורבן אחד. זאת, יחד עם העובדה שרוב החברות כבר יישמו הגנות AppSec כמו AST, SCA או כלי WAF, הובילו להופעתו של דור חדש של תוקפים המכוונים לפיתוח תוכנה pipelineמתקפות על שרשרת האספקה ​​יכולות להשפיע על אלפי חברות באמצעות מתקפה פשוטה אחת: המגבר האידיאלי.

תשתית הפיתוח היא מטרה קלה לתוקפים. משטח התקיפה הגדול שלה מספק גישה לסביבת הייצור ולנתונים שלה. כל תשתית כלי ה-DevOps: מאגרים, מערכות ניהול בקרת מקורות, כלי בנייה, כלי פריסה, תבניות תשתית כקוד, קונטיינרים, קבצי סקריפטים וכו', היא גדולה למדי ופגיעה. יתר על כן, כל הכלים הללו רחוקים משליטת אזור האבטחה ומנוהלים על ידי צוותי הפיתוח והייצור. האקרים יודעים זאת ומנצלים את החולשות הללו.

המטרה החדשה

לעיתים קרובות מפתחים כותבים סודות בקוד המקור, כגון אישורים ומפתחות, לבדיקה במהלך הפיתוח. אלה מאוחסנים בקבצים, לרוב תחת בקרת גרסאות, וניתן למצוא אותם על ידי תוקפים בעתיד, גם אם הקבצים או הסודות יוסרו. זה יאפשר לתוקפים להתקין דלתות אחוריות, לקרוא את קוד המקור, להכניס קוד זדוני, לחלץ נתונים רגישים וכו'... ברגע שגורמים זדוניים קיבלו גישה חוקית... login אישורים שהם יכולים לנוע לרוחב דרך SDLCאישורים אלה מאפשרים להם לעבור לכלים אחרים ולקבל הרשאות משתמש מתקדמות כדי לחפש מידע בעל ערך גבוה יותר.

האקרים יכולים להשתמש בפרטי גישה כדי לפרוץ את SDLC, אך הם גם יכולים לפרוץ למאגרים או כלים שתצורתם נקבעה בצורה לא מדויקת או שנותרו לא מאובטחים, דבר שמעמיד מערכות ונתונים בסיכון.

התקפות מכוונות גם לחבילות קוד פתוח. כולנו מכירים סיפורי אימה על התקפות המנצלות פגיעויות ידועות, כמו Log4j. מצד שני, התקפות שרשרת אספקה ​​שונות: תוקפים מזריקים קוד זדוני לחבילות קוד פתוח פופולריות לשימוש מאוחר יותר בתהליך הבנייה על ידי ארגונים רבים בעולם.

בקיצור: האקרים יכולים לנצל גישה מועדפת, תצורות שגויות ופגיעויות ב- CI/CD pipeline תשתית כווקטור להחדרת תוכנות זדוניות לתוכנה שיכולה לשמש רבים.

כיצד להגן על שלנו SDLC מהתקפות על שרשרת אספקה ​​של תוכנה?

מספר התקפות שרשרת האספקה ​​גדל בהתמדה, והשוק מגיב לתרחיש זה. ארגונים מסוימים קבעו מסגרות לטיפול. software supply chain security, כמו מסגרת פיתוח תוכנה מאובטחת של NIST (SSDF) ורמות שרשרת האספקה ​​​​של גוגל עבור חפצי תוכנה (SLSA). עם זאת, אין הרבה חברות שמקדמות את ההגנה על כלי ותשתיות DevOps כדי למנוע התקפות על שרשרת האספקה ​​​​שלהן. למעשה, 82% ממנהלי מערכות המידע חושבים שהם יהיו פגיעים אליהם.

חברות צריכות לדאוג לא רק להגנה על היישומים שלהן, אלא גם על תשתית התוכנה והפריטים המהווים חלק מהן SDLC כאשר גורמים פוגעניים מכוונים אל שרשרת האספקה. רוחב משטח התקיפה, חוסר המודעות מצד צוותי הפיתוח לסוג זה של התקפה והיעדר כלי אבטחה ייעודיים מאפשרים לתוקפים להתמקד בשרשרת האספקה ​​של התוכנה.