Kurwiswa kwesoftware supply chain kuri kuramba kuchipararira uye kuchiparadza. Semuenzaniso, Gartner inofanotaura kuti 45% yemabhizinesi ese achasangana nekutyorwa kwemutemo panosvika gore ra2025. Pamusoro pezvo, Cybersecurity Ventures zvinosimbisa kukura kwenjodzi iyi, zvichiratidza kukuvara kukuru kwemadhora mabhiriyoni zana nemakumi matatu nemasere ($138 bhiriyoni) pagore panosvika gore ra2031. Zvose pamwe chete, fungidziro idzi dzinoratidza kudiwa kukuru kwekuti masangano aise zvinhu zvakakosha pakutanga software supply chain security uye kuisa matanho akasimba ekudzivirira ruzivo rwakakosha, mashandiro, uye mukurumbira.
Nekuti zvemazuva ano pipelineZvichienderana zvakanyanya nezvikamu zvekunze, kuwedzera kwemaraibhurari evamwe, kutenderera kwesoftware nekukurumidza, nzira dzakaoma dzekugovera, kusaonekwa, matekiniki matsva ekurwisa, kushandiswa kweSaaS, uye zviwanikwa zvishoma zvese zviri kukonzera kuwedzera kwehuwandu hwedata. kurwiswa kwecheni yekugovera softwareSaka, masangano anofanira kushandisa nzira yakazara uye inoshanda yekugadzirisa matambudziko aya uye kuchengetedza macheni avo ekupa software.
Chii chinonzi Software Supply Chain Attack?
ENISA inotsanangura a Kurwiswa kweSoftware Supply Chain as "Kubvumirana kwechinhu chakati, semuenzaniso zvivakwa zvemupi wesoftware uye software yekutengeserana, kukuvadza zvisina kunanga chinangwa kana zvinangwa, semuenzaniso vatengi vemupi wesoftware." Nemamwe mashoko, Software Supply Chain Attack chiitiko chine hutsinye chinonangana nesoftware supply chain, chinangwa chiri chekukanganisa nekuisa zvikanganiso kana malware mukugadzirwa nekuparadzira. Nekuda kweizvozvo, rudzi urwu rwekurwisa runoshandisa network yakabatana uye inowanzo kuve yakaoma yemaitiro, maturusi, uye masangano anobatanidzwa mukuvaka nekutumira software.
Zvikamu zvakakosha uye pfungwa dzine chekuita neSoftware Supply Chain Attack
Mabhuku eruzivo rwekutyisidzira paindaneti neruzivo rwezvenhau anowanzo patsanurwa kurwiswa kwecheni yekugovera software muzvikamu zvakasiyana kuti pave nekuongorora nekudzivirira zviri nani. Saka, chikamu chino chinosuma pfungwa shanu dzinokosha dzakatsanangurwa ne Katarogu yeMitere Attack PatternMaumbirwo ekatalogi iyi anopa maitiro ekurwisa cheni kuti zvive nyore kuongorora uchishandisa nzira dzakasiyana-siyana, kusanganisira kutyisidzira kwevavengi kwakaunganidzwa neNIST.
Mutemo weKurwisa: Chii
Chiito chekurwiswa chiito chaicho chinopa mutoro wakaipa kana chinangwa kune imwe system. Nekuda kweizvozvo, chinokonzera kukuvara zvakananga.
- Muenzaniso 1: Malware akaiswa musoftware yesystem panguva yekuvaka.
- Muenzaniso wechipiri: Zvinodiwa zvesystem kana magwaro ekugadzira zvakachinjwa nechisimba.
Kurwisa Vector: Maitiro
Nzira inoshandiswa nevavengi kushandisa zvisizvo kana kusasimba kwemaitiro. Saka, inoratidza kuti vapambi vanosvika sei panzvimbo yekurwiswa uye vanoshandisa zvisizvo.
- Muenzaniso 1: Murwisi anogadzirisa kodhi yekodha mudura rekuchengetedza rakakanganiswa.
- Muenzaniso wechipiri: Murwisi anowana mukana usina mvumo wekuwana magwaro ehunyanzvi emukati.
Ongorora zvakawanda muchikamu chedu Gwaro reVeki yeKurwisa kuti uwane mamwe maonero.
Kurwisa Kwakatangira: The Who
Kwakatangira kunoratidza kwakabva kurwiswa. Nokudaro, kunotsanangura basa remurwisi, chinzvimbo chake, kana hukama hwake nehurongwa hwacho.
- Muenzaniso 1: Munhu ane mukana wekuwana maseva ekuvaka anogadzirisa script.
- Muenzaniso wechipiri: Munhu anotyisidzira vanhu ari kunze anoisa pasuru yakavharirwa kurejista yeruzhinji.
Chinangwa chekurwisa: Chikonzero nei
Chinangwa ichi chinotsanangura chikonzero chekurwiswa uku. Kupfuura zvese, chinoratidza zvinodiwa nevavengi.
- Kukanganisa: kumisa mabasa kana kuvaka.
- Uori: kuderedza kuvimbana nekuchinja zvinhu zvakashandiswa kana kodhi yekwakabva.
- Kuburitsa pachena: kuburitsa zvakavanzika zvakavanzika kana pfuma yepfungwa.
Kurwiswa Kwacho: Migumisiro Yacho
Pakupedzisira, mhedzisiro yacho inotsanangura mhedzisiro yekurwiswa, ichiratidza mhedzisiro kune vanopa software nevatengi.
- Muenzaniso 1: Chero purojekiti inoshandisa purogiramu yakaipa ichakanganisika gare gare.
- Muenzaniso wechipiri: Vanhu vanoisa software yakaipa mumasisitimu avo ebasa vasingazive.
Kurwiswa Kwakajairika KweSoftware Supply Chain
Mhando dzakasiyana-siyana dze kurwiswa kwecheni yekugovera software zviripo, uye masangano anofanirwa kuziva nezvezvinhu zvakasiyana-siyana zvinokonzera njodzi padanho rega rega rehupenyu. Zvichibva pane hurongwa hweSLSA, iyo US National Institute of Standards neTekinoroji (NIST), uye Sangano reCybersecurity and Infrastructure Security Agency (CISA), njodzi idzi dzinogona kuiswa muzvikamu zvina: tsime, kuvaka, kurongedza, uye njodzi dzekuvimba.
Kurwiswa kweSoftware Supply Chain muChikamu Chekutanga
- Tumira kodhi yakaipa → ona kuti sei Chikumbiro cheFlask. tora zvisizvo or zvikanganiso zvekusachengetedzwa kweruzivo rwezvinhu gadzira nzvimbo dzekurwiswa zvakananga.
- Repo yemhedzisiro yekubvumirana
- Vaka kubva pane yakagadziriswa sosi
- Nyora kodhi isina kuchengetedzeka
- Kukanganisa mafaira akakosha → sezvakatsanangurwa mu chmod 777 kuongorora kwemusuwo wekumashure.
Kurwiswa kweSoftware Supply Chain muBuild Stage
Mu Kuvaka Danho, vagadziri vanounganidza uye vanosanganisa kodhi kuita shanduro inoshanda. nekuti Chikamu chino chakakosha zvikuru, njodzi dzinosanganisira kusvetuka kuongororwa kwekuchengetedza mu CI/CD pipeline, kuchinja kodhi mushure mekudzora shanduro, kana kukanganisa maitiro ekuvaka. Naizvozvo, kodhi yakaipa inogona kupinda muzvinhu zvisiri pachena.
- Bypass CI/CD → yakabatana ne GitHub inotanga malware.
- Chinja kodhi mushure mekudzora kwesource
- Maitiro ekuvaka zvikanganiso → akaderedzwa ne Kuonekwa kwekutanga kweyambiro yeDevSecOps.
- Nzvimbo yekuchengetedza zvinhu zvechinyakare
Kurwiswa kweSoftware Supply Chain muPackage Stage
The Danho rePakeji ndipo patinobatanidza kodhi yese kuti tigadzire chigadzirwa chekupedzisira. Chikamu ichi chine njodzi nekuti mumwe munhu anogona kushandisa mapakeji asina kunaka kana kuchinja nzvimbo dzepamhepo dzatinoawana. Varwisi vanogona kutoisa mavhezheni ane njodzi emapakeji anozivikanwa kune aya mawebhusaiti.
- Shandisa pasuru yakakanganiswa → yakafukidzwa ne kuongororwa kwe malware scanner.
- Kunyoresa mapakeji ekugadzirisa zvikanganiso
- Isa pasuru yakagadziriswa → yakaongororwa mu Marware ekugadzira fake eNamso-gen.
Kurwiswa kweSoftware Supply Chain muDanho reKuvimba
Mu Danho reKuvimba, tinowedzera maraibhurari nemapakeji evamwe vanhu kusoftware yedu. Danho iri rine njodzi nekuti chero matambudziko ari muzvikamu izvozvo anogona kupararira zviri nyore uye chinyararire kune zvimwe zvese zvepurojekiti.
- Shandisa Compromised Dependency → yakatsanangurwa ne Njodzi dzeDoS mumatambudziko asina kujeka.
- Kuvimba Nevamwe Kwakare Kana Kuti Kusina Kusimba
- Njodzi dzeKugara Uchivimba Nevamwe
- Marejista eMapakeji Anokuvadza → akaderedzwa ne Zvishandiso zvekuchengetedza zveDevOps uye wechitatu-bato rengozi manejimendi.
Njodzi Dzakajairika dzeKutengesa Zvinhu Padanho Rimwe Nerimwe re SDLC
| Stage | Zvinotyisa Zvakajairika | muenzaniso |
|---|---|---|
| mabviro | • Kutumira kodhi ine njodzi kana isina kuchengetedzeka • Kukanganisa mafaira akakosha • Kukanganisa nzvimbo inochengeterwa zvinhu | XcodeGhost (2015): kodhi yakaipa yakapinzwa muApple's Xcode compiler, ichipararira mumaapplication eiOS. |
| Vakai | • Kupfuura CI/CD kuchengetedza cheki • Kugadzirisa kodhi mushure mekudzora kwenzvimbo • Nzvimbo dzekuchengetedza zvinhu zvechinyakare dzinokanganisa kutengeserana | SolarWinds Orion (2020): vapambi vakapinda muchivako pipeline, kuisa backdoor musoftware updates dzakasainwa. |
| nhuri | • Kuisa mapakeji akagadziriswa • Marejisiti emapakeji echepfu • Kugovera zvinhu zvakakanganiswa | Chiitiko cheNPM (2018): murwisi akaisa backdoor mupakeji yakakurumbira yeNPM yakadhawunirodhwa kane zviuru. |
| Kuvimbika | • Kushandisa zvinhu zvekare kana kuti zvisina kusimba • Kushandisa zvinhu zvinochinja-chinja • Kuburitsa mapakeji akafanana neakaipa | XZ Utilities Backdoor (2024): raibhurari yekudzvanya yakatenderedzwa netrojan yakada kutumirwa pasi muLinux distributions. |
Matekiniki Ekurwisa Kushandiswa KweSoftware Yakajairika
Maererano CISMushumo weA neNIST, kurwiswa kwesoftware supply chain kunowanzoiswa muzvikamu zvitatu zvikuru.
Zvisinei, zviitiko zvechangobva kuitika zvinoratidza mamwe mavector ayo vagadziri vemapurogiramu vanofanira kunzwisisa.
Pazasi tinotsanangura matekiniki anonyanya kukosha nemienzaniso inoshanda.
Zvitsva zveKuba
Varwisi vanokanganisa nzira dzekuvandudza dzepamutemo kuti vaparadzire malware.
Semuenzaniso, kurwiswa kweNotPetya muna 2017 kwakashandisa zvisina kunaka server yemitero yeMEDoc yeUkraine, zvichipa
malware inoparadza inopukuta yakavanzika sechigamba. Kuti vadzivirire kubva kunjodzi iyi, zvikwata zvinofanirwa kunyorera kuonekwa kwekutyisidzira uye mhinduro yeDevOps maitiro anoratidza maitiro asina kujairika mukufambiswa kwezvitsva.
Kusawirirana Kusaina Kodhi
Nzira iyi inosanganisira kushandisa zvisizvo kana kuba zvitupa zvekusaina zviri pamutemo kuti kodhi ine njodzi iite seyakakodzera.
Nyaya yakakurumbira yaive CCleaner compromise muna 2017, apo vapambi vakaparadzira software yakasainwa ne trojanized certificates.
Nekuda kweizvozvo, masangano anoda zvidzoro zvakabatana zvekuvimbika zvakaita sezvinotsanangurwa mu mazano epuratifomu yekuchengetedza cybersecurity
Kodhi Yakavhurika Inoisa Panjodzi
Vavengi vanoisa masuo ekumashure mumapakeji anozivikanwa emahara, gare gare vachidhonzwa muzviuru zvemapurojekiti.
Chiitiko cheEventStream NPM pamwe neXZ Utils backdoor (2024) zvinoratidza kuti vhekitari iyi yave yakakosha sei.
Vagadziri vanofanira kuongorora zviwanikwa zvakaita se Mibvunzo Inowanzo bvunzwa Nezvekuchengetedzwa kweNPM uye zviitiko zvepakeji zvakadhirowewa kudzidza kudzivirira kudhakwa nezvinhu zvine chepfu.
Kuvhiringidzika Kwekuvimba
Kekutanga kutsanangurwa naAlex Birsan muna 2021, kurwisa uku kunoshandisa mazita ekukonana pakati pemarejisiti emapakeji emukati neeruzhinji, zvichinyengera masisitimu ekuvaka kuti aburitse mavhezheni ane hukasha panzvimbo pemapakeji emukati anovimbwa nawo.
Mapakeji eTyposquatting uye Anokuvadza
Varwisi vanoburitsa mapakeji ane hukasha ane mazita akafanana nemaraibhurari anozivikanwa (semuenzaniso, "requeusts" pachinzvimbo che "zvikumbiro").
Vagadziri vemapurogiramu vanoisa izvi netsaona, vachiisa malware mumapurojekiti avo.
Muenzaniso chaiwo unoongororwa mu Marware eNamso-gen uye pane runyorwa rwedu rwe ma scanner emalware anowanikwa pachena.
Vakai Pipeline Kudzora
Sezvakaratidzwa muSolarWinds Orion compromise, vapambi vanogona kupinda mumaseva ekuvaka kuti vabate kodhi yakaipa panguva yekuunganidza.
Izvi zvinoita kuti cheni yese yezvinhu zvakasainwa isavimbike. Nzira dzekudzivirira dzinosanganisira kutarisa CI/CD kuvimbika ne kukurumidza kuona yambiro uye kuongorora
GitHub inotanga kugadzira ma malware campaigns.
Kurwiswa kweSoftware Supply Chain Kunoita Sei: Nyaya yeSolarWinds
Pamusoro pezvose, kurwiswa kweSolarWinds Orion ndiyo muenzaniso unozivikanwa zvikuru wekutyorwa kwesoftware supply chain. Inoratidza kuti vapambi vanogona kufamba nhanho nhanho mukugadzirwa uye, nekudaro, kuparadzira kodhi inokuvadza kuzviuru zvevashandisi.
Kutanga, vapambi vakapinda mumasevha eSolarWinds.
Mushure meizvozvo, vakawedzera chinyararire kodhi yakaipa muOrion updates.
Nekuti zvinhu izvi zvakasainwa uye zvakatumirwa sesoftware inovimbwa nayo, makambani mazhinji akazviisa asingazive njodzi yacho.
Pamwe chete, masangano anopfuura zviuru gumi nezvisere (18,000) akakanganiswa, uye varwisi vakawana mukana wekushandisa masisitimu anonyanya kuomarara.
Kubva pamaonero emugadziri wezvirongwa, kurwisa uku kunopa zvidzidzo zvitatu zviri nyore:
- Dziviriro yemumativi ese haina kukwana: varwisi vakachinja chimiro pipeline pacharo.
- Kuongorora nguva dzose kwakakosha: chengetedzo build attestations, kuongororwa kwekuvimbika, uye kuonekwa kwezvisina kujairika zvinobatsira kudzivirira kutambwa kwezvinhu.
- Kuvaka kumwe chete kune chepfu kunogona kusvika pasi rose: imwe chete pipeline Kubvumirana kunogona kukonzera dambudziko rekuchengetedzwa kwenyika yose.
Xygeni: Puratifomu Yepamusoro Yese yeAppSec
Nekuti kurwiswa kwesoftware supply chain kunogona kurova padanho rega rega re SDLC,
puratifomu yeAppSec yese-mune imwe chete, Xygeni, inodzivirira nzvimbo, kuvaka, kurongedza, uye kutsamira padanho rekushandisa. Inopa vanogadzira nemapoka ekuchengetedza nzvimbo imwe chete yekudzivirira, kuona, nekugadzirisa njodzi nenzira iri nyore. Nekuda kweizvozvo, hauchafanire kubatanidza maturusi akawanda, Xygeni inovhara hupenyu hwese.
Dziviriro Yechikamu Chekunobva
Padanho rekutanga, njodzi dzinosanganisira kusachengeteka commits, nzvimbo dzekuchengetedza dzine chepfu, kana mafaira akachinjwa. Xygeni inoskena kodhi panguva chaiyo nezvakadzika SAST uye kuwanikwa kwezvakavanzika.
Inovharawo zvinokuvadza commitKupfuura CI/CD guardrails.
Nenzira iyi, nyaya dzinomiswa dzisati dzambobuda mudura.
Dziviriro Yekuvaka Stage
Munguva yekuvaka, varwisi vanogona kuedza kunzvenga pipelines kana kushandura zvinhu zvekare.
Xygeni inochengetedza maitiro ekuvaka nekutarisa kunoenderana neSLSA, kusimbiswa kwekuvimbika, uye masiginecha asina kiyi. Inotarisawo maitiro asina kujairika mukati CI/CD mabasa. Nekuda kweizvozvo, zvinhu zvakakanganiswa zvinoonekwa ipapo ipapo uye zvinovharwa zvisati zvaburitswa.
Dziviriro yePakeji Stage
Muchikamu chekupakira, marejistri akakanganiswa kana maraibhurari akagadziriswa anowanzo unza malware. Kuona malware eXygeni uye kuongorora rezenisi ongorora chiumbwa chega chega, ukuwo AutoFix inokurudzira nzira dzakachengeteka dzekuvandudza nekuongorora kwayo kweRemediation Risk. Mapakeji akasimbiswa uye anotevedzera mitemo chete ndiwo anoenderera mberi mu pipeline.
Dziviriro Yedanho Rekuvimba
Kodhi yebato rechitatu ndiyo nzvimbo huru yekurwiswa. Kuongorora Kuumbwa kweSoftware yaXygeni (SCA) Inoita zvinopfuura kungonyora maCVE chete, inoongorora kana kodhi ine njodzi inogona kushandiswa zvechokwadi. Inoratidzawo malware yakavanzika uye njodzi dzinochinja. Pamusoro pezvose, izvi zvinoita kuti vagadziri vatumire chete zvinhu zvakachengeteka.
Zvakavanzika uye Kuchengetedzwa kwezvivakwa
Kupfuura kodhi nemapakeji, kurwiswa kunowanzo shandisa zvakavanzika zvakaburitswa kana zvivakwa zvisina kusimba. Xygeni inoskena makiyi akafumurwa, ma tokeni, uye ma certificate mune kodhi, magadzirirwo, uye maDocker layers. Inogona zvakare kusimbisa uye kubvisa otomatiki zvakavanzika zvakaburitswa ne Kugadziriswa kweAutoFix. Panguva imwe, IaC scanning inodzivirira kusarongeka kwemamiriro ezvinhu uko vanorwisa vanogona kushandisa zvisina kunaka gare gare.
Kuwanikwa Kwakangwara uye Kugadziriswa
Zvishandiso zvakawanda zvinomira pazviziviso. Xygeni inoenderera mberi. Injini yayo yeAutoFix inogadzira machira akachengeteka, pull requests, kana gwara renhanho nenhanho zvichienderana nedambudziko. Maonero ayo eRemediation Risk anoratidzawo kuti ndeipi patch version yakachengeteka, saka mapoka anogadzirisa matambudziko pasina kuwedzera matsva.
Puratifomu Imwe Yakabatana
Nekuti Xygeni inobatanidza SAST, SCA, kuonekwa kwemalware, manejimendi yezvakavanzika, IaC kuongorora, kuona zvinhu zvisina kujairika, uye kuchengetedza zvidzoreso zvekuvaka mupuratifomu imwe chete yeAppSec,
inopa kufukidza kwakazara kwese SDLCVagadziri vezvinhu nemapoka ekuchengetedza vanowana chokwadi chimwe chete nekuonekwa kwakajeka, kugadzirisa zvinhu, uye dziviriro yakasimba kubva mukurwiswa kwecheni yezvigadzirwa.
Zvese zvinhu zvinotariswa, Xygeni, chikuva chepamusoro cheAppSec chezvose zviri muchimwe chete, inobatsira mapoka kuvaka nekukurumidza uye kugara akachengeteka. Nekuchengetedza nzvimbo dzinowanikwa, kuvaka, mapakeji, uye kutsamira pazvirongwa, uye nekuwedzera zvigadziriso otomatiki padanho rega rega, zvinoita kuti kurwiswa kwesoftware supply chain kumiswe vasati vasvika pakugadzirwa.
