Ataki na łańcuch dostaw oprogramowania: czy powinienem się martwić?

Technologia oprogramowania ewoluowała, a wraz z nią ewoluowali hakerzy. Wyścig zbrojeń ze złoczyńcami ograniczał się głównie do luk w zabezpieczeniach i ataków skierowanych na wdrożone oprogramowanie. Ataki na łańcuch dostaw oprogramowania, choć nie były niezauważalne, nie były głównym celem złoczyńców…

Atak, który wielu uważa za początek zmiany sposobu działania zaawansowanych trwałych zagrożeń (APT), był Atak SolarWinds. Nie pierwszy raz, ale zrobił takie wrażenie, że trafił na pierwsze strony gazet i szturmem podbił świat ITsec.

Przykłady: SolarWinds, Codecov, Kaseya

SolarWinds to wiodący dostawca oprogramowania, który oferuje narzędzia do monitorowania sieci i infrastruktury. Jednym z produktów firmy jest Orion, platforma do monitorowania i zarządzania infrastrukturą. Jest ona wykorzystywana przez ponad 30 000 organizacji publicznych i prywatnych do zarządzania zasobami IT. Orion umożliwia dostęp do systemów IT w celu uzyskania danych z logów i wydajności systemu.

W grudniu 2019 roku hakerzy uzyskali dostęp do sieci, systemów i danych tysięcy klientów SolarWinds. Zaatakowali łańcuch dostaw oprogramowania, wprowadzając złośliwy kod do platformy. Następnie SolarWinds dostarczył złośliwe oprogramowanie typu backdoor jako aktualizację oprogramowania Orion, do którego hakerzy mogli uzyskać dostęp i podszywać się pod użytkowników oraz konta organizacji, których dotyczą ofiary. Wyciek danych w SolarWinds oznaczał przebudzenie cyberbezpieczeństwa dla wszystkich organizacji działających w chmurze.

Po tym ataku na łańcuch dostaw nastąpiły kolejne, takie jak Codecov, narzędzie do wykrywania pokrycia kodu oprogramowania. W styczniu 2021 r. atakujący wyłudził dane uwierzytelniające Został on omyłkowo zapisany w obrazie Dockera Codecov, którego atakujący użył do modyfikacji skryptu uploadera w narzędziu. Aktor po prostu wstawił pojedynczą linijkę kodu, która wysyłała wszystkie zmienne środowiskowe CI do kontrolowanego przez atakującego serwera podczas wykonywania skryptu. Przez miesiące atakujący uzyskiwali potencjalny dostęp do systemów korzystających ze zmodyfikowanego skryptu Codecov.

Później, 2 lipca 2021 r. atak na Kaseyę Wystąpiło. Platforma VSA jest używana przez wielu dostawców usług zarządzanych (MSP), którzy świadczą usługi IT innym firmom, do zarządzania poprawkami i monitorowania klientów. Hakerzy zaatakowali łańcuch dostaw Kaseya VSA, naruszając jego infrastrukturę, a następnie publikując złośliwe aktualizacje na lokalnych serwerach VSA, aby zainfekować systemy zarządzanych firm, szyfrując ich dane i żądając okupu. Ransomware za pośrednictwem trojańskiego narzędzia używanego przez dostawców usług zarządzanych (MSP) w zarządzanych przez nich firmach, które są docelowymi celami ataku. Sprytne!

Od czasu incydentu z SolarWinds, ataki na łańcuch dostaw oprogramowania stają się coraz częstsze, co negatywnie wpływa na wizerunek i ekonomię firm takich jak Samsung, Uber, Nissan, Nvidia i wielu innych. Według Gartnera, „do 2025 roku 45% organizacji na całym świecie padnie ofiarą ataków na swoje łańcuchy dostaw oprogramowania, co stanowi trzykrotny wzrost w porównaniu z 2021 rokiem”.

Nowa generacja ataków na łańcuch dostaw oprogramowania

Atak na zastrzeżone aplikacje lub środowiska produkcyjne firmy generuje tylko jedną ofiarę. To, w połączeniu z faktem, że zdecydowana większość firm wdrożyła już zabezpieczenia AppSec, takie jak AST, SCA lub narzędzi WAF, doprowadziło do pojawienia się nowej generacji atakujących, których celem jest rozwój oprogramowania pipelineAtaki na łańcuchy dostaw mogą dotknąć tysiące firm za pomocą jednego prostego ataku: idealnego wzmacniacza.

Infrastruktura programistyczna jest łatwym celem dla atakujących. Jej duża powierzchnia ataku zapewnia dostęp do środowiska produkcyjnego i jego danych. Cała infrastruktura narzędzi DevOps: repozytoria, systemy kontroli wersji, narzędzia do budowania, narzędzia do wdrażania, szablony Infrastruktury jako Kodu (ICO), kontenery, pliki skryptów itp., jest dość rozbudowana i podatna na ataki. Co więcej, wszystkie te narzędzia znajdują się poza kontrolą działu bezpieczeństwa i są zarządzane przez zespoły programistyczne i produkcyjne. Hakerzy zdają sobie z tego sprawę i wykorzystują te słabości.

Nowy cel

Programiści często zapisują w kodzie źródłowym poufne dane, takie jak dane uwierzytelniające i klucze do testowania w trakcie rozwoju oprogramowania. Są one przechowywane w plikach, często objętych kontrolą wersji, i mogą zostać znalezione przez atakujących w przyszłości, nawet jeśli pliki lub poufne dane zostaną usunięte. Umożliwi to atakującym zainstalowanie tylnych furtek, odczytanie kodu źródłowego, wstawienie złośliwego kodu, wydobycie poufnych danych itp. Po uzyskaniu ważnych danych przez atakujących, atakujący mogą… login uprawnienia, którymi można się swobodnie poruszać SDLCDzięki tym danym mogą korzystać z innych narzędzi i uzyskiwać zaawansowane uprawnienia użytkownika, umożliwiające wyszukiwanie informacji o większej wartości.

Hakerzy mogą wykorzystywać dane uwierzytelniające do włamania się do systemu SDLCale mogą również włamać się do repozytoriów lub narzędzi, które są nieprawidłowo skonfigurowane lub niezabezpieczone, co naraża systemy i dane na ryzyko.

Ataki są również wymierzone w pakiety open source. Wszyscy znamy przerażające historie o atakach wykorzystujących znane luki w zabezpieczeniach, takie jak Log4j. Z drugiej strony, ataki na łańcuchy dostaw są inne: atakujący wstrzykują złośliwy kod do popularnych pakietów open source, aby później wykorzystać go w procesie kompilacji w wielu organizacjach na świecie.

Krótko mówiąc: hakerzy mogą wykorzystywać uprzywilejowany dostęp, błędne konfiguracje i luki w zabezpieczeniach CI/CD pipeline infrastruktura jako wektor umożliwiający wstawianie złośliwego oprogramowania do oprogramowania, z którego mogłoby korzystać wiele osób.

Jak chronić nasze SDLC z ataków na łańcuch dostaw oprogramowania?

Liczba ataków na łańcuchy dostaw stale rośnie, a rynek reaguje na ten scenariusz. Niektóre organizacje opracowały ramy reagowania na software supply chain security, takich jak NIST Secure Software Development Framework (SSDF) i Google Supply Chain Levels for Software Artifacts (SLSA). Jednak niewiele firm traktuje priorytetowo ochronę narzędzi i infrastruktury DevOps, aby uniknąć ataków na swój łańcuch dostaw. W rzeczywistości 82% dyrektorów ds. informatyki uważa, że ​​będzie na nie podatnych.

Firmy muszą martwić się nie tylko o ochronę swoich aplikacji, ale także infrastruktury oprogramowania i artefaktów, które są ich częścią. SDLC Ponieważ cyberprzestępcy atakują łańcuch dostaw. Szeroki zakres powierzchni ataku, brak świadomości zespołów programistycznych na temat tego typu ataków oraz brak specjalistycznych narzędzi bezpieczeństwa pozwalają atakującym skupić się na łańcuchu dostaw oprogramowania.