Serangan Rantaian Bekalan Perisian: Patutkah saya risau?

Teknologi perisian berkembang, dan penggodam turut berkembang bersamanya. Perlumbaan senjata dengan pelaku jahat kebanyakannya terhad kepada kelemahan dan serangan yang ditujukan kepada perisian yang digunakan. Menyerang rantaian bekalan perisian, walaupun bukan tanpa disedari, bukanlah sasaran utama penjahat…

Serangan yang ramai pihak anggap sebagai permulaan perubahan dalam modus operandi Ancaman Berterusan Lanjutan (APT) adalah Serangan SolarWindsBukan yang pertama, tetapi dengan impak yang begitu besar sehingga menjadi berita utama dan menggegarkan ITsec.

Contoh: SolarWinds, Codecov, Kaseya

SolarWinds ialah vendor perisian utama yang menyediakan alatan untuk pemantauan rangkaian dan infrastruktur. Salah satu produk syarikat ialah Orion, platform pemantauan dan pengurusan infrastruktur. Ia digunakan oleh lebih 30,000 organisasi awam dan swasta untuk mengurus sumber IT mereka. Orion mengakses sistem IT untuk mendapatkan data log dan prestasi sistem.

Pada Disember 2019, penggodam mengakses rangkaian, sistem dan data beribu-ribu pelanggan SolarWinds. Mereka menyerang rantaian bekalan perisiannya dengan memasukkan kod berniat jahat ke dalam platform. Seterusnya, SolarWinds menghantar perisian hasad pintu belakang sebagai kemas kini kepada perisian Orion, yang boleh diakses oleh penggodam dan menyamar sebagai pengguna dan akaun organisasi mangsa. Pelanggaran SolarWinds itu mendakwa kebangkitan keselamatan siber untuk semua organisasi yang beroperasi di dunia awan asli.

Serangan rantaian bekalan ini diikuti oleh serangan lain seperti Codecov, alat perlindungan kod perisian. Pada Januari 2021, satu penyerang mengekstrak kelayakan disimpan secara tidak sengaja dalam imej Docker Codecov, yang digunakan oleh pelakon untuk mengubah suai skrip pemuat naik dalam alat tersebut. Pelakon itu hanya memasukkan satu baris kod yang menghantar semua pembolehubah persekitaran CI ke pelayan terkawal penyerang apabila skrip dilaksanakan. Selama berbulan-bulan, pelakon jahat itu berpotensi mendapat akses kepada sistem yang menggunakan skrip Codecov yang diubah suai.

Kemudian, pada 2 Julai 2021, serangan ke atas Kaseya berlaku. Platform VSAnya digunakan oleh banyak MSP yang menyediakan perkhidmatan IT kepada syarikat lain untuk melaksanakan pengurusan tampalan dan pemantauan pelanggan. Penggodam menyerang rantaian bekalan Kaseya VSA, menjejaskan infrastrukturnya dan seterusnya mengeluarkan kemas kini berniat jahat pada pelayan tempatan VSA untuk menjangkiti sistem syarikat yang diuruskan, menyulitkan data mereka dan menuntut wang tebusan. Ransomware melalui alat trojan yang digunakan oleh MSP pada syarikat yang diuruskan mereka, yang merupakan sasaran akhir. Betapa bijaknya!

Sejak insiden SolarWinds, terdapat semakin banyak serangan terhadap rantaian bekalan perisian, yang memberi kesan kepada imej dan ekonomi syarikat seperti Samsung, Uber, Nissan, Nvidia, antara lain. Menurut Gartner, “menjelang 2025, 45% organisasi di seluruh dunia akan mengalami serangan terhadap rantaian bekalan perisian mereka, peningkatan tiga kali ganda sejak 2021.”

Generasi Baharu Serangan Rantaian Bekalan Perisian

Menyerang aplikasi proprietari atau persekitaran pengeluaran syarikat hanya menghasilkan satu mangsa. Ini, ditambah pula dengan hakikat bahawa sebahagian besar syarikat telah melaksanakan perlindungan AppSec seperti AST, SCA atau alat WAF, telah membawa kepada kemunculan generasi penyerang baharu yang menyasarkan pembangunan perisian pipelineSerangan rantaian bekalan boleh menjejaskan beribu-ribu syarikat hanya dengan satu serangan mudah: penguat yang ideal.

Infrastruktur pembangunan merupakan sasaran mudah bagi penyerang. Permukaan serangannya yang besar menyediakan akses kepada persekitaran pengeluaran dan datanya. Keseluruhan infrastruktur alatan DevOps: repositori, sistem pengurusan kawalan sumber, alatan binaan, alatan penggunaan, Infrastruktur sebagai templat Kod, bekas, fail skrip, dan sebagainya, agak besar dan terdedah. Selain itu, semua alatan ini jauh daripada kawalan kawasan keselamatan dan diuruskan oleh pasukan pembangunan dan pengeluaran. Penggodam mengetahui perkara ini dan memanfaatkan kelemahan ini.

Sasaran Baru

Selalunya pembangun menulis rahsia dalam kod sumber seperti kelayakan dan kunci untuk pengujian semasa pembangunan. Ini disimpan dalam fail yang selalunya di bawah kawalan versi dan boleh ditemui oleh penyerang pada masa hadapan, walaupun fail atau rahsia tersebut dialih keluar. Ini akan membolehkan penyerang memasang pintu belakang, membaca kod sumber, memasukkan kod berniat jahat, mengekstrak data sensitif, dan sebagainya… Sebaik sahaja pelaku berniat jahat telah sah login kelayakan yang mereka boleh bergerak secara lateral melalui SDLCKelayakan ini membolehkan mereka beralih ke alat lain dan mendapatkan keistimewaan pengguna lanjutan untuk mencari maklumat bernilai lebih tinggi.

Penggodam boleh menggunakan kelayakan untuk menceroboh SDLC, tetapi ia juga boleh memecah masuk ke dalam repositori atau alat yang dikonfigurasikan secara tidak tepat atau dibiarkan tidak selamat, yang membahayakan sistem dan data.

Serangan juga menyasarkan pakej sumber terbuka. Kita semua tahu kisah seram tentang serangan yang mengeksploitasi kelemahan yang diketahui, seperti Log4j. Sebaliknya, serangan rantaian bekalan adalah berbeza: penyerang menyuntik kod berniat jahat ke dalam pakej sumber terbuka yang popular untuk kegunaan kemudian dalam proses pembinaan oleh banyak organisasi di dunia.

Pendek kata: penggodam boleh mengeksploitasi akses istimewa, salah konfigurasi dan kelemahan dalam CI/CD pipeline infrastruktur sebagai vektor untuk memasukkan perisian hasad dalam perisian yang boleh digunakan oleh ramai orang.

Cara melindungi kita SDLC daripada Serangan Rantaian Bekalan Perisian?

Bilangan serangan rantaian bekalan semakin meningkat dengan stabil, dan pasaran bertindak balas terhadap senario ini. Sesetengah organisasi telah mewujudkan rangka kerja untuk menangani software supply chain security, seperti Rangka Kerja Pembangunan Perisian Selamat NIST (SSDF) dan Tahap Rantaian Bekalan Google untuk Artifak Perisian (SLSA). Walau bagaimanapun, tidak banyak syarikat yang menjadikannya keutamaan untuk melindungi alatan dan infrastruktur DevOps bagi mengelakkan serangan ke atas rantaian bekalan mereka. Malah, 82% CIO berpendapat bahawa mereka akan terdedah kepada mereka.

Syarikat bukan sahaja perlu mengambil berat tentang melindungi aplikasi mereka tetapi juga infrastruktur perisian dan artifak yang merupakan sebahagian daripada aplikasi mereka. SDLC kerana pelaku jahat menyasarkan rantaian bekalan. Keluasan permukaan serangan, kurangnya kesedaran pasukan pembangunan tentang serangan jenis ini dan kekurangan alat keselamatan khusus membolehkan penyerang memberi tumpuan kepada rantaian bekalan perisian.