ソフトウェアサプライチェーン攻撃：心配すべきでしょうか？

ソフトウェア技術は進化し、ハッカーもそれに合わせて進化してきた。悪意のある攻撃者との軍拡競争は、主に展開済みのソフトウェアに対する脆弱性や攻撃に限定されていた。ソフトウェアサプライチェーンへの攻撃は、全くなかったわけではないものの、悪意のある攻撃者にとって主要な標的ではなかった。

多くの人が高度持続的脅威（APT）の行動様式の変化の始まりと捉えた攻撃は、 SolarWindsの攻撃初めてではないが、その影響は非常に大きく、ニュースの見出しを飾り、ITセキュリティ業界に旋風を巻き起こした。

例：SolarWinds、Codecov、Kaseya

SolarWindsは、ネットワークおよびインフラストラクチャ監視ツールを提供する大手ソフトウェアベンダーです。同社の製品の一つであるOrionは、インフラストラクチャ監視および管理プラットフォームです。30,000万以上の公的機関および民間企業が、ITリソースの管理にOrionを利用しています。OrionはITシステムにアクセスし、ログデータとシステムパフォーマンスデータを取得します。

2019年12月、ハッカーは数千ものSolarWinds顧客のネットワーク、システム、データにアクセスしました。彼らはSolarWindsのソフトウェアサプライチェーンを攻撃し、プラットフォームに悪意のあるコードを挿入しました。その後、SolarWindsはバックドアマルウェアをOrionソフトウェアのアップデートとして配信し、ハッカーはこれを利用して被害組織のユーザーやアカウントになりすますことができました。このSolarWindsへの情報漏洩事件は、クラウドネイティブの世界で事業を展開するすべての組織にとって、サイバーセキュリティに対する意識の高まりを促しました。

このサプライチェーン攻撃に続いて、ソフトウェアコードカバレッジツールであるCodecovなどの攻撃が行われた。2021年1月、 攻撃者が認証情報を抽出した CodecovのDockerイメージに誤って保存されていたファイルを利用して、攻撃者はツール内のアップローダースクリプトを改変しました。攻撃者は、スクリプト実行時にCIの環境変数をすべて攻撃者が制御するサーバーに送信するコードを1行挿入しただけでした。その結果、数ヶ月にわたり、攻撃者は改変されたCodecovスクリプトを使用するシステムへのアクセス権を潜在的に獲得していました。

その後、2021年7月2日に、 カセヤへの攻撃 発生しました。VSAプラットフォームは、パッチ管理や顧客監視を行うために、他の企業にITサービスを提供する多くのMSPによって使用されています。ハッカーはKaseya VSAのサプライチェーンを攻撃し、インフラストラクチャを侵害し、その後VSAのローカルサーバーに悪意のあるアップデートをリリースして、管理対象企業のシステムに感染させ、データを暗号化して身代金を要求しました。MSPが管理対象企業（最終ターゲット）で使用するトロイの木馬化されたツールを介したランサムウェア。なんて巧妙な！

SolarWindsの事件以降、ソフトウェアサプライチェーンに対する攻撃は増加の一途をたどり、Samsung、Uber、Nissan、Nvidiaをはじめとする多くの企業のイメージと経済状況に影響を与えている。Gartnerによると、「2025年までに、世界中の組織の45%がソフトウェアサプライチェーンへの攻撃を経験するだろう。これは2021年と比べて3倍の増加となる」。

新世代のソフトウェアサプライチェーン攻撃

企業の独自アプリケーションや本番環境を攻撃しても、被害者は一人しか生まれません。これに加えて、大多数の企業がすでに AST などの AppSec 保護を導入しているという事実があります。 SCA またはWAFツールは、ソフトウェア開発を標的とする新世代の攻撃者の出現につながった。 pipelineサプライチェーン攻撃は、たった一つの単純な攻撃、すなわち理想的な増幅器によって、数千もの企業に影響を与える可能性がある。

開発インフラは攻撃者にとって格好の標的です。その広大な攻撃対象領域は、本番環境とそのデータへのアクセスを容易にします。リポジトリ、ソースコード管理システム、ビルドツール、デプロイツール、Infrastructure as Codeテンプレート、コンテナ、スクリプトファイルなど、DevOpsツールのインフラ全体は非常に大規模で脆弱です。さらに、これらのツールはすべてセキュリティ部門の管理下から遠く離れており、開発チームと本番チームによって管理されています。ハッカーはこのことを知っており、これらの脆弱性を悪用します。

新しいターゲット

開発者は、開発中のテストのために、認証情報や鍵などの機密情報をソースコードに書き込むことがよくあります。これらはバージョン管理されたファイルに保存されることが多く、ファイルや機密情報が削除されたとしても、将来的に攻撃者に発見される可能性があります。これにより、攻撃者はバックドアをインストールしたり、ソースコードを読み取ったり、悪意のあるコードを挿入したり、機密データを抽出したりすることが可能になります。悪意のある攻撃者が有効な情報を入手すれば、 login 認証情報により、横方向に移動できます SDLCこれらの認証情報により、彼らは他のツールに移動したり、より高度なユーザー権限を取得して、より価値の高い情報を検索したりすることが可能になります。

ハッカーは認証情報を使用して侵入することができます SDLCしかし、それらは不正確に設定されたり、セキュリティ対策が不十分なまま放置されたリポジトリやツールに侵入することもあり、システムやデータを危険にさらす可能性があります。

攻撃はオープンソースパッケージも標的としています。Log4jなどの既知の脆弱性を悪用した攻撃に関する恐ろしい事例は誰もが知っています。一方、サプライチェーン攻撃は異なります。攻撃者は、世界中の多くの組織がビルドプロセスで使用するために、人気のあるオープンソースパッケージに悪意のあるコードを注入します。

要するに、ハッカーは特権アクセス、設定ミス、脆弱性を悪用して CI/CD pipeline インフラストラクチャを、多くの人が使用する可能性のあるソフトウェアにマルウェアを挿入するための媒介として利用する。

私たちを守る方法 SDLC ソフトウェアサプライチェーン攻撃によるものか？

サプライチェーン攻撃の件数は着実に増加しており、市場はこの状況に対応している。一部の組織は、これに対処するための枠組みを構築している。 software supply chain securityNISTのセキュアソフトウェア開発フレームワーク（SSDF）やGoogleのソフトウェア成果物サプライチェーンレベル（SLSA）などがある。しかし、サプライチェーンへの攻撃を回避するためにDevOpsツールとインフラストラクチャを保護することを優先している企業は多くない。実際、 CIOの82%は、自分たちがそれらに対して脆弱だと考えている。.

企業は、自社のアプリケーションの保護だけでなく、自社のソフトウェアインフラストラクチャや関連資産の保護についても配慮しなければならない。 SDLC 悪意のある攻撃者がサプライチェーンを標的にしているため、攻撃対象領域の広さ、開発チームにおけるこの種の攻撃に対する認識不足、そして専門的なセキュリティツールの不足が、攻撃者がソフトウェアサプライチェーンに集中することを許している。