Tehnologia software a evoluat, iar hackerii au evoluat odată cu ea. Cursa înarmărilor cu răufăcătorii s-a limitat în mare parte la vulnerabilități și atacuri îndreptate asupra software-ului implementat. Atacarea lanțului de aprovizionare cu software, deși nu neobservată, nu a fost ținta principală a răufăcătorilor...
Atacul pe care mulți l-au considerat începutul unei schimbări în modul de operare al Amenințărilor Persistente Avansate (APT) a fost Atacul SolarWindsNu a fost primul, dar a avut un impact atât de mare încât a făcut furori în presă și a luat cu asalt ITsec.
Exemple: SolarWinds, Codecov, Kaseya
SolarWinds este un furnizor important de software care oferă instrumente pentru monitorizarea rețelelor și a infrastructurii. Unul dintre produsele companiei este Orion, o platformă de monitorizare și gestionare a infrastructurii. Aceasta este utilizată de peste 30,000 de organizații publice și private pentru a-și gestiona resursele IT. Orion accesează sistemele IT pentru a obține jurnalele și datele privind performanța sistemului.
În decembrie 2019, hackerii au accesat rețelele, sistemele și datele a mii de clienți SolarWinds. Aceștia au atacat lanțul său de aprovizionare cu software, introducând cod malițios în platformă. Ulterior, SolarWinds a livrat malware-ul backdoor ca o actualizare a software-ului Orion, la care hackerii puteau accesa și se puteau da drept utilizatori și conturi ale organizațiilor victime. Încălcarea de securitate SolarWinds a presupus o trezire a securității cibernetice pentru toate organizațiile care operează în lumea cloud-native.
Acest atac asupra lanțului de aprovizionare a fost urmat de altele, cum ar fi Codecov, un instrument de acoperire a codului software. În ianuarie 2021, un atacatorul a extras o credențială stocate din greșeală în imaginea Docker a Codecov, pe care actorul a folosit-o pentru a modifica un script de încărcare în instrument. Actorul a introdus doar o singură linie de cod care a trimis toate variabilele de mediu ale CI-ului către serverul controlat de atacator atunci când scriptul a fost executat. Timp de luni de zile, atacatorii au obținut acces potențial la sisteme care au folosit scriptul Codecov modificat.
Mai târziu, pe 2 iulie 2021, atac asupra Kaseyei Platforma sa VSA este utilizată de mulți furnizori de servicii gestionate (MSP) care furnizează servicii IT altor companii pentru a gestiona patch-urile și a monitoriza clienții. Hackerii au atacat lanțul de aprovizionare al Kaseya VSA, compromițând infrastructura acesteia și ulterior lansând actualizări malițioase pe serverele locale ale VSA pentru a infecta sistemele companiilor gestionate, criptându-le datele și cerând o răscumpărare. Ransomware prin intermediul unui instrument troian utilizat de MSP-uri pe companiile lor gestionate, care sunt țintele finale. Cât de ingenios!
De la incidentul SolarWinds, au existat tot mai multe atacuri împotriva lanțului de aprovizionare cu software, afectând imaginea și economia unor companii precum Samsung, Uber, Nissan, Nvidia, printre multe altele. Potrivit Gartner, „până în 2025, 45% dintre organizații din întreaga lume vor fi fost supuse unor atacuri asupra lanțurilor lor de aprovizionare cu software, o creștere de trei ori față de 2021”.
O nouă generație de atacuri asupra lanțului de aprovizionare software
Atacarea aplicațiilor proprietare sau a mediilor de producție ale unei companii generează o singură victimă. Acest lucru, coroborat cu faptul că marea majoritate a companiilor au implementat deja protecții AppSec precum AST, SCA sau instrumente WAF, a dus la apariția unei noi generații de atacatori care vizează dezvoltarea de software pipelineAtacurile asupra lanțului de aprovizionare pot afecta mii de companii cu un singur atac simplu: amplificatorul ideal.
Infrastructura de dezvoltare este o țintă ușoară pentru atacatori. Suprafața sa extinsă de atac oferă acces la mediul de producție și la datele acestuia. Întreaga infrastructură a instrumentelor DevOps: depozite, sisteme de gestionare a controlului sursei, instrumente de compilare, instrumente de implementare, șabloane de tip Infrastructure as Code, containere, fișiere de scripturi etc., este destul de mare și vulnerabilă. Mai mult, toate aceste instrumente sunt departe de controlul zonei de securitate și sunt gestionate de echipele de dezvoltare și producție. Hackerii știu acest lucru și profită de aceste puncte slabe.
Noua țintă
Adesea, dezvoltatorii scriu secrete în codul sursă, cum ar fi acreditările și cheile, pentru testare în timpul dezvoltării. Acestea sunt stocate în fișiere adesea aflate sub controlul versiunilor și pot fi găsite de atacatori în viitor, chiar dacă fișierele sau secretele sunt eliminate. Acest lucru va permite atacatorilor să instaleze backdoor-uri, să citească codul sursă, să insereze cod rău intenționat, să extragă date sensibile etc. Odată ce actorii rău intenționați au acces valid... login acreditările pe care le pot muta lateral prin SDLCAceste acreditări le permit să treacă la alte instrumente și să obțină privilegii avansate de utilizator pentru a căuta informații cu valoare mai mare.
Hackerii pot folosi acreditările pentru a sparge SDLC, dar pot, de asemenea, să pătrundă în depozite sau instrumente configurate incorect sau lăsate nesigure, ceea ce pune în pericol sistemele și datele.
Atacurile vizează și pachetele open source. Cu toții cunoaștem povești de groază despre atacuri care exploatează vulnerabilități cunoscute, cum ar fi Log4j. Pe de altă parte, atacurile asupra lanțului de aprovizionare sunt diferite: atacatorii injectează cod rău intenționat în pachete open source populare pentru utilizare ulterioară în procesul de construire de către multe organizații din lume.
Pe scurt: hackerii pot exploata accesul privilegiat, configurațiile greșite și vulnerabilitățile din... CI/CD pipeline infrastructura ca vector pentru a introduce programe malware într-un software care ar putea fi utilizat de mulți.
Cum să ne protejăm SDLC din atacurile asupra lanțului de aprovizionare software?
Numărul atacurilor asupra lanțului de aprovizionare este în creștere constantă, iar piața reacționează la acest scenariu. Unele organizații au stabilit cadre pentru a aborda aceste probleme. software supply chain security, cum ar fi Cadrul de dezvoltare software securizat NIST (SSDF) și Nivelurile lanțului de aprovizionare pentru artefactele software (SLSA) de la Google. Cu toate acestea, nu există multe companii care acordă prioritate protejării instrumentelor și infrastructurii DevOps pentru a evita atacurile asupra lanțului lor de aprovizionare. De fapt, 82% dintre directorii IT cred că vor fi vulnerabili la acestea.
Companiile nu trebuie să se preocupe doar de protejarea aplicațiilor lor, ci și de infrastructura software și de artefactele care fac parte din SDLC deoarece actorii rău intenționați vizează lanțul de aprovizionare. Amploarea suprafeței de atac, lipsa de conștientizare din partea echipelor de dezvoltare cu privire la acest tip de atac și lipsa instrumentelor de securitate specializate permit atacatorilor să se concentreze asupra lanțului de aprovizionare software.
Concluzii finale
Protejându-ne pipeline devine din ce în ce mai urgentă pe zi ce trece și o prioritate pentru CISSistemele de operare, care trebuie să se asigure că echipele de securitate acordă atenție lanțului de aprovizionare și lucrează împreună cu echipele Devops pentru a proteja SDLC din acest tip de atac.
Folosirea instrumentelor care ne ajută să ne securizăm SDLC, identificarea backdoor-urilor, a comportamentelor suspecte și oprirea atacurilor asupra lanțului de aprovizionare este necesară pentru a menține mediul nostru DevOps privat și securizat. Primele instrumente pentru a proteja software supply chain security încep să apară. Unele sunt mai concentrate pe partea de dezvoltare, iar altele pe partea de operațiuni. Și unele, cum ar fi Xygeni, au misiunea de a proteja integritatea și securitatea ecosistemului software pe parcursul întregului DevOps.
Pentru a citi mai mult |
|
|
|
|
