സോഫ്റ്റ്‌വെയർ സപ്ലൈ ചെയിൻ ആക്രമണങ്ങൾ: ഞാൻ വിഷമിക്കേണ്ടതുണ്ടോ?

സോഫ്റ്റ്‌വെയർ സാങ്കേതികവിദ്യ വികസിച്ചു, അതോടൊപ്പം ഹാക്കർമാർ പരിണമിച്ചു. മോശം ആളുകളുമായുള്ള ആയുധ മത്സരം പ്രധാനമായും ദുർബലതകളിലും വിന്യസിച്ചിരിക്കുന്ന സോഫ്റ്റ്‌വെയറിനെ ലക്ഷ്യം വച്ചുള്ള ആക്രമണങ്ങളിലും മാത്രമായി പരിമിതപ്പെടുത്തി. സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലയെ ആക്രമിക്കുക എന്നത്, കാണാത്തതല്ലെങ്കിലും, മോശം ആളുകളുടെ പ്രാഥമിക ലക്ഷ്യമായിരുന്നില്ല...

അഡ്വാൻസ്ഡ് പെർസിസ്റ്റന്റ് ത്രെറ്റ്‌സ് (എപിടി) മോഡസ് ഓപ്പറാൻഡിയിലെ ഒരു മാറ്റത്തിന്റെ തുടക്കമായി പലരും അഭിസംബോധന ചെയ്ത ആക്രമണം, സോളാർ വിൻഡ്സ് ആക്രമണം. ആദ്യത്തേതല്ല, പക്ഷേ അത്രയധികം സ്വാധീനം ചെലുത്തി വാർത്തകളിൽ ഇടം നേടുകയും ITsec-നെ പിടിച്ചുലയ്ക്കുകയും ചെയ്തു.

ഉദാഹരണങ്ങൾ: സോളാർ വിൻഡ്‌സ്, കോഡ്‌കോവ്, കസേയ

നെറ്റ്‌വർക്ക്, ഇൻഫ്രാസ്ട്രക്ചർ നിരീക്ഷണത്തിനുള്ള ഉപകരണങ്ങൾ നൽകുന്ന ഒരു പ്രധാന സോഫ്റ്റ്‌വെയർ വെണ്ടറാണ് സോളാർവിൻഡ്സ്. കമ്പനിയുടെ ഉൽപ്പന്നങ്ങളിലൊന്നാണ് ഇൻഫ്രാസ്ട്രക്ചർ മോണിറ്ററിംഗ് ആൻഡ് മാനേജ്‌മെന്റ് പ്ലാറ്റ്‌ഫോമായ ഓറിയോൺ. 30,000-ത്തിലധികം പൊതു, സ്വകാര്യ സ്ഥാപനങ്ങൾ അവരുടെ ഐടി ഉറവിടങ്ങൾ കൈകാര്യം ചെയ്യാൻ ഇത് ഉപയോഗിക്കുന്നു. ലോഗ്, സിസ്റ്റം പ്രകടന ഡാറ്റ ലഭിക്കുന്നതിന് ഓറിയോൺ ഐടി സിസ്റ്റങ്ങളിലേക്ക് പ്രവേശിക്കുന്നു.

2019 ഡിസംബറിൽ ആയിരക്കണക്കിന് സോളാർവിൻഡ്സ് ഉപഭോക്താക്കളുടെ നെറ്റ്‌വർക്കുകൾ, സിസ്റ്റങ്ങൾ, ഡാറ്റ എന്നിവ ഹാക്കർമാർ ആക്‌സസ് ചെയ്തു. പ്ലാറ്റ്‌ഫോമിലേക്ക് ക്ഷുദ്ര കോഡ് ചേർത്ത് അവർ അതിന്റെ സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലയെ ആക്രമിച്ചു. തുടർന്ന്, ഓറിയോൺ സോഫ്റ്റ്‌വെയറിന്റെ അപ്‌ഡേറ്റായി സോളാർവിൻഡ്സ് ബാക്ക്‌ഡോർ മാൽവെയർ നൽകി, ഇത് ഹാക്കർമാർക്ക് ഉപയോക്താക്കളെയും ഇരകളായ സംഘടനകളുടെ അക്കൗണ്ടുകളെയും ആക്‌സസ് ചെയ്യാനും ആൾമാറാട്ടം നടത്താനും കഴിയും. ക്ലൗഡ്-നേറ്റീവ് ലോകത്ത് പ്രവർത്തിക്കുന്ന എല്ലാ സ്ഥാപനങ്ങൾക്കും സൈബർ സുരക്ഷാ ഉണർവ്വ് നൽകുന്നതാണ് സോളാർവിൻഡ്സ് ലംഘനം.

ഈ സപ്ലൈ ചെയിൻ ആക്രമണത്തെ തുടർന്ന് സോഫ്റ്റ്‌വെയർ കോഡ് കവറേജ് ടൂളായ കോഡ്‌കോവ് പോലുള്ളവയും ആക്രമണം നടത്തി. 2021 ജനുവരിയിൽ, ഒരു ആക്രമണകാരി ഒരു ക്രെഡൻഷ്യൽ പുറത്തെടുത്തു. കോഡ്‌കോവിന്റെ ഡോക്കർ ഇമേജിൽ അബദ്ധത്തിൽ സംഭരിച്ചു, ടൂളിലെ ഒരു അപ്‌ലോഡർ സ്ക്രിപ്റ്റ് പരിഷ്‌ക്കരിക്കാൻ നടൻ ഉപയോഗിച്ചത്. സ്ക്രിപ്റ്റ് എക്സിക്യൂട്ട് ചെയ്യുമ്പോൾ, ആക്രമണകാരിയുടെ നിയന്ത്രിത സെർവറിലേക്ക് CI-യുടെ എല്ലാ പരിസ്ഥിതി വേരിയബിളുകളും അയയ്ക്കുന്ന ഒരു വരി കോഡ് നടൻ ചേർത്തു. മാസങ്ങളോളം, പരിഷ്കരിച്ച കോഡ്‌കോവ് സ്ക്രിപ്റ്റ് ഉപയോഗിക്കുന്ന സിസ്റ്റങ്ങളിലേക്ക് മോശം അഭിനേതാക്കൾക്ക് സാധ്യതയുള്ള ആക്‌സസ് ലഭിച്ചു.

പിന്നീട്, 2021 ജൂലൈ 2-ന്, കസേയയെ ആക്രമിച്ചു സംഭവിച്ചു. പാച്ച് മാനേജ്‌മെന്റും ഉപഭോക്തൃ നിരീക്ഷണവും നടത്താൻ മറ്റ് കമ്പനികൾക്ക് ഐടി സേവനങ്ങൾ നൽകുന്ന നിരവധി എം‌എസ്‌പികൾ ഇതിന്റെ വി‌എസ്‌എ പ്ലാറ്റ്‌ഫോം ഉപയോഗിക്കുന്നു. കസേയ വി‌എസ്‌എയുടെ വിതരണ ശൃംഖലയെ ഹാക്കർമാർ ആക്രമിച്ചു, അതിന്റെ അടിസ്ഥാന സൗകര്യങ്ങളിൽ വിട്ടുവീഴ്ച ചെയ്തു, തുടർന്ന് വി‌എസ്‌എയുടെ പ്രാദേശിക സെർവറുകളിൽ ക്ഷുദ്രകരമായ അപ്‌ഡേറ്റുകൾ പുറത്തിറക്കി മാനേജ്ഡ് കമ്പനികളുടെ സിസ്റ്റങ്ങളെ ബാധിക്കുകയും അവരുടെ ഡാറ്റ എൻക്രിപ്റ്റ് ചെയ്യുകയും മോചനദ്രവ്യം ആവശ്യപ്പെടുകയും ചെയ്തു. എം‌എസ്‌പികൾ അവരുടെ മാനേജ്ഡ് കമ്പനികളിൽ ഉപയോഗിക്കുന്ന ട്രോജനൈസ്ഡ് ടൂൾ വഴി റാൻസംവെയർ, അവയാണ് അന്തിമ ലക്ഷ്യങ്ങൾ. എത്ര ബുദ്ധിപൂർവ്വം!

സോളാർ വിൻഡ്‌സ് സംഭവത്തിനുശേഷം, സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലയ്‌ക്കെതിരെ കൂടുതൽ കൂടുതൽ ആക്രമണങ്ങൾ ഉണ്ടായിട്ടുണ്ട്, ഇത് സാംസങ്, ഉബർ, നിസ്സാൻ, എൻവിഡിയ തുടങ്ങിയ കമ്പനികളുടെ പ്രതിച്ഛായയെയും സാമ്പത്തിക ശാസ്ത്രത്തെയും ബാധിക്കുന്നു. ഗാർട്ട്നറുടെ അഭിപ്രായത്തിൽ, "2025 ആകുമ്പോഴേക്കും ലോകമെമ്പാടുമുള്ള 45% സ്ഥാപനങ്ങളും അവരുടെ സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലകളിൽ ആക്രമണങ്ങൾ നേരിടേണ്ടിവരും, 2021 മുതൽ മൂന്നിരട്ടി വർദ്ധനവ്."

സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖല ആക്രമണങ്ങളുടെ ഒരു പുതിയ തലമുറ

ഒരു കമ്പനിയുടെ ഉടമസ്ഥതയിലുള്ള ആപ്ലിക്കേഷനുകളെയോ ഉൽപ്പാദന പരിതസ്ഥിതികളെയോ ആക്രമിക്കുന്നത് ഒരൊറ്റ ഇരയെ മാത്രമേ സൃഷ്ടിക്കുന്നുള്ളൂ. ബഹുഭൂരിപക്ഷം കമ്പനികളും ഇതിനകം തന്നെ AST പോലുള്ള AppSec പരിരക്ഷകൾ നടപ്പിലാക്കിയിട്ടുണ്ട് എന്ന വസ്തുതയോടൊപ്പം, SCA അല്ലെങ്കിൽ WAF ടൂളുകൾ, സോഫ്റ്റ്‌വെയർ വികസനം ലക്ഷ്യമിടുന്ന ഒരു പുതിയ തലമുറ ആക്രമണകാരികളുടെ ആവിർഭാവത്തിലേക്ക് നയിച്ചു. pipelineസപ്ലൈ ചെയിൻ ആക്രമണങ്ങൾ ഒരു ലളിതമായ ആക്രമണം കൊണ്ട് ആയിരക്കണക്കിന് കമ്പനികളെ ബാധിക്കും: അനുയോജ്യമായ ആംപ്ലിഫയർ.

ആക്രമണകാരികൾക്ക് എളുപ്പത്തിൽ ഉപയോഗിക്കാവുന്ന ഒരു ലക്ഷ്യമാണ് വികസന അടിസ്ഥാന സൗകര്യങ്ങൾ. ഇതിന്റെ വലിയ ആക്രമണ ഉപരിതലം ഉൽ‌പാദന പരിതസ്ഥിതിയിലേക്കും അതിന്റെ ഡാറ്റയിലേക്കും പ്രവേശനം നൽകുന്നു. DevOps ഉപകരണങ്ങളുടെ മുഴുവൻ അടിസ്ഥാന സൗകര്യങ്ങളും: റിപ്പോസിറ്ററികൾ, ഉറവിട നിയന്ത്രണ മാനേജ്മെന്റ് സിസ്റ്റങ്ങൾ, ബിൽഡ് ടൂളുകൾ, വിന്യാസ ഉപകരണങ്ങൾ, കോഡ് ടെംപ്ലേറ്റുകളായി ഇൻഫ്രാസ്ട്രക്ചർ, കണ്ടെയ്‌നറുകൾ, സ്ക്രിപ്റ്റുകൾ ഫയലുകൾ മുതലായവ - വളരെ വലുതും ദുർബലവുമാണ്. മാത്രമല്ല, ഈ ഉപകരണങ്ങളെല്ലാം സുരക്ഷാ മേഖലയുടെ നിയന്ത്രണത്തിൽ നിന്ന് വളരെ അകലെയാണ്, അവ വികസന, ഉൽ‌പാദന ടീമുകളാണ് കൈകാര്യം ചെയ്യുന്നത്. ഹാക്കർമാർ ഇത് അറിയുകയും ഈ ബലഹീനതകൾ പ്രയോജനപ്പെടുത്തുകയും ചെയ്യുന്നു.

പുതിയ ലക്ഷ്യം

പലപ്പോഴും ഡെവലപ്പർമാർ സോഴ്‌സ് കോഡിൽ ക്രെഡൻഷ്യലുകൾ, കീകൾ തുടങ്ങിയ രഹസ്യങ്ങൾ എഴുതുന്നു, ഉദാഹരണത്തിന് ഡെവലപ്‌മെന്റ് സമയത്ത് പരിശോധനയ്ക്കായി. ഇവ പലപ്പോഴും പതിപ്പ് നിയന്ത്രണത്തിലുള്ള ഫയലുകളിലാണ് സൂക്ഷിക്കുന്നത്, ഭാവിയിൽ ഫയലുകളോ രഹസ്യങ്ങളോ നീക്കം ചെയ്‌താലും ആക്രമണകാരികൾക്ക് അവ കണ്ടെത്താനാകും. ഇത് ആക്രമണകാരികൾക്ക് ബാക്ക്‌ഡോറുകൾ ഇൻസ്റ്റാൾ ചെയ്യാനും സോഴ്‌സ് കോഡ് വായിക്കാനും ക്ഷുദ്ര കോഡ് ചേർക്കാനും സെൻസിറ്റീവ് ഡാറ്റ എക്‌സ്‌ട്രാക്‌റ്റ് ചെയ്യാനും മറ്റും അനുവദിക്കും... ഒരിക്കൽ ക്ഷുദ്രകരമായ അഭിനേതാക്കൾ സാധുവായി login അവർക്ക് ലാറ്ററലായി നീങ്ങാൻ കഴിയുന്ന ക്രെഡൻഷ്യലുകൾ SDLC. ഈ യോഗ്യതാപത്രങ്ങൾ അവരെ മറ്റ് ഉപകരണങ്ങളിലേക്ക് മാറാനും ഉയർന്ന മൂല്യമുള്ള വിവരങ്ങൾക്കായി തിരയുന്നതിന് വിപുലമായ ഉപയോക്തൃ പ്രത്യേകാവകാശങ്ങൾ നേടാനും അനുവദിക്കുന്നു.

ഹാക്കർമാർക്ക് ക്രെഡൻഷ്യലുകൾ ഉപയോഗിച്ച് ലംഘിക്കാൻ കഴിയും SDLC, പക്ഷേ അവ റിപ്പോസിറ്ററികളിലേക്കോ തെറ്റായി കോൺഫിഗർ ചെയ്‌തതോ സുരക്ഷിതമല്ലാത്തതോ ആയ ഉപകരണങ്ങളിലേക്കോ കടന്നുകയറുകയും സിസ്റ്റങ്ങളെയും ഡാറ്റയെയും അപകടത്തിലാക്കുകയും ചെയ്യും.

ഓപ്പൺ സോഴ്‌സ് പാക്കേജുകളെയും ആക്രമണങ്ങൾ ലക്ഷ്യം വയ്ക്കുന്നു. Log4j പോലുള്ള അറിയപ്പെടുന്ന ദുർബലതകളെ ചൂഷണം ചെയ്യുന്ന ആക്രമണങ്ങളെക്കുറിച്ചുള്ള ഭയാനകമായ കഥകൾ നമുക്കെല്ലാവർക്കും അറിയാം. മറുവശത്ത്, സപ്ലൈ ചെയിൻ ആക്രമണങ്ങൾ വ്യത്യസ്തമാണ്: ലോകത്തിലെ പല ഓർഗനൈസേഷനുകളുടെയും നിർമ്മാണ പ്രക്രിയയിൽ പിന്നീട് ഉപയോഗിക്കുന്നതിനായി ആക്രമണകാരികൾ ജനപ്രിയ ഓപ്പൺ സോഴ്‌സ് പാക്കേജുകളിലേക്ക് ക്ഷുദ്ര കോഡ് കുത്തിവയ്ക്കുന്നു.

ചുരുക്കത്തിൽ: പ്രിവിലേജ്ഡ് ആക്‌സസ്, തെറ്റായ കോൺഫിഗറേഷനുകൾ, ദുർബലതകൾ എന്നിവ ഹാക്കർമാർക്ക് ചൂഷണം ചെയ്യാൻ കഴിയും. CI/CD pipeline പലർക്കും ഉപയോഗിക്കാൻ കഴിയുന്ന ഒരു സോഫ്റ്റ്‌വെയറിൽ മാൽവെയർ ചേർക്കുന്നതിനുള്ള ഒരു വെക്റ്ററായി ഇൻഫ്രാസ്ട്രക്ചർ.

നമ്മുടെ സംരക്ഷണം എങ്ങനെ ഉറപ്പാക്കാം SDLC സോഫ്റ്റ്‌വെയർ സപ്ലൈ ചെയിൻ ആക്രമണങ്ങളിൽ നിന്നോ?

വിതരണ ശൃംഖലയിലെ ആക്രമണങ്ങളുടെ എണ്ണം ക്രമാനുഗതമായി വർദ്ധിച്ചുകൊണ്ടിരിക്കുകയാണ്, വിപണി ഈ സാഹചര്യത്തോട് പ്രതികരിക്കുന്നു. ചില സംഘടനകൾ പരിഹരിക്കുന്നതിനായി ചട്ടക്കൂടുകൾ സ്ഥാപിച്ചിട്ടുണ്ട് software supply chain security, NIST സെക്യുർ സോഫ്റ്റ്‌വെയർ ഡെവലപ്‌മെന്റ് ഫ്രെയിംവർക്ക് (SSDF), ഗൂഗിളിന്റെ സപ്ലൈ ചെയിൻ ലെവലുകൾ ഫോർ സോഫ്റ്റ്‌വെയർ ആർട്ടിഫാക്‌ട്‌സ് (SLSA) എന്നിവ പോലെ. എന്നിരുന്നാലും, തങ്ങളുടെ വിതരണ ശൃംഖലയിലെ ആക്രമണങ്ങൾ ഒഴിവാക്കാൻ DevOps ഉപകരണങ്ങളും അടിസ്ഥാന സൗകര്യങ്ങളും സംരക്ഷിക്കുന്നതിന് മുൻഗണന നൽകുന്ന കമ്പനികൾ വളരെ കുറവാണ്. വാസ്തവത്തിൽ, 82% സിഐഒമാരും കരുതുന്നത് തങ്ങൾക്ക് ഇവയുടെ സ്വാധീനം ഉണ്ടാകുമെന്നാണ്..

കമ്പനികൾ അവരുടെ ആപ്ലിക്കേഷനുകൾ സംരക്ഷിക്കുന്നതിനെക്കുറിച്ച് മാത്രമല്ല, അവരുടെ ഭാഗമായ സോഫ്റ്റ്‌വെയർ ഇൻഫ്രാസ്ട്രക്ചറും ആർട്ടിഫാക്റ്റുകളും സംരക്ഷിക്കുന്നതിനെക്കുറിച്ച് വിഷമിക്കണം. SDLC കാരണം, ആക്രമണത്തിന്റെ വ്യാപ്തി, വികസന സംഘങ്ങളുടെ ഈ തരത്തിലുള്ള ആക്രമണത്തെക്കുറിച്ചുള്ള അവബോധമില്ലായ്മ, പ്രത്യേക സുരക്ഷാ ഉപകരണങ്ങളുടെ അഭാവം എന്നിവ ആക്രമണകാരികളെ സോഫ്റ്റ്‌വെയർ വിതരണ ശൃംഖലയിൽ ശ്രദ്ധ കേന്ദ്രീകരിക്കാൻ അനുവദിക്കുന്നു.