Nalika pamekaran parangkat lunak maju sapanjang siklus hirup ranté suplai parangkat lunak, tahapan pakét muncul salaku titik penting, ngarobih kode sumber janten artefak anu tiasa dieksekusi anu disiapkeun pikeun distribusi. Nanging, tahapan kritis ieu henteu kebal tina kerentanan, jantenkeun target utama pikeun aktor jahat anu hoyong ngaruksak integritas sareng kaamanan parangkat lunak. Tulisan blog ieu ngabahas ancaman anu nyebar anu tiasa timbul salami fase ieu sareng ngajelaskeun strategi anu efektif pikeun ngiranganana. Eusi ieu janten tuluyan tina séri blog kami anu ngajalajah software supply chain security peuntas SDLC.
Tahap Paket dina Siklus Kahirupan Pangwangunan Parangkat Lunak
Tahap pakét tina siklus hirup ranté suplai parangkat lunak ngawengku prosés ngabungkus sareng nyiapkeun parangkat lunak pikeun disebarkeun ka pangguna. Tahap ieu ngalibatkeun nyiptakeun pakét pamasangan, ngatur dependensi, sareng ngahasilkeun metadata pikeun parangkat lunak.
Ancaman integritas wangunan nyaéta kerentanan anu tiasa ngamungkinkeun panyerang pikeun ngenalkeun parobihan anu teu sah kana parangkat lunak salami prosés pengemasan. Ancaman ieu tiasa diwanohkeun ngalangkungan rupa-rupa metode, sapertos ngaruksak pendaptaran pakét, ngamangpaatkeun kerentanan dina alat pengemasan, atanapi manipulasi dependensi pihak katilu.
Gumantungna total kana komponén sumber terbuka dina parangkat lunak modéren ngajantenkeun tahapan ieu janten tahapan S anu paling seringSCA target. Ngawanohkeun malware siluman dina komponén sumber terbuka anu populér mangrupikeun impian pikeun seueur penjahat siber. Ieu sababna langkung ti 245,000 paket jahat kapanggih salami taun 2023.
Conto tina Software Supply Chain Security Ancaman dina Tahap Paket
Anggo pakét anu kaganggu
Ieu nujul kana tindakan nyebarkeun atanapi nganggo pakét parangkat lunak anu parantos dirusak atanapi dirobih ku musuh.
Ieu tiasa kajantenan saatos pakét kaluar tina pendaptaran pakét resmi, boh ngalangkungan aksés langsung ka sistem pangguna atanapi ngalangkungan taktik rékayasa sosial anu nipu pangguna supados ngaunduh atanapi masang pakét jahat. Conto vektor ieu nyaéta Pangotéktak salah ketik Serang.
Hiji panyerang, anu hoyong ngaruksak sistem Linux sareng Mac, nyusup kana prosés pamekaran perpustakaan Node.js anu populér anu disebut Browserify. Panyerang éta nyelapkeun kode jahat kana kode sumber proyék, niatna pikeun nyebarkeunana ngalangkungan pendaptaran pakét NPM. Sakali pakét Browserify anu tercemar diunggah ka NPM, pamekar anu teu curiga bakal ngaunduh sareng masangna, percanten yén éta mangrupikeun vérsi anu sah. Kode jahat, anu dipasang dina pakét, bakal jalan sacara teu langsung, ngaruksak integritas sistem anu kainféksi. Ieu tiasa nyababkeun maling data, teu stabilna sistem, atanapi bahkan aksés jarak jauh pikeun panyerang.
Pendaptaran pakét kompromi
Registri pakét anu dikompromikeun nyaéta gudang perangkat lunak anu parantos disusupi ku musuh anu parantos kéngingkeun aksés anu teu sah kana antarmuka atanapi infrastruktur administrasi pendaptaran.
Ieu ngamungkinkeun musuh pikeun ngarobih atanapi ngagentos pakét parangkat lunak anu sah ku anu jahat, anu teras tiasa disebarkeun ka pangguna anu dipasang tanpa curiga. Conto tina jinis ancaman ieu nyaéta Serangan kana Eunteung Paket: Saurang panalungtik, kalawan niat ngamajukeun parangkat lunak sumber terbuka, ngaruksak sababaraha pendaptaran pakét anu populér, kalebet Maven Central, NPM, sareng RubyGems. Ku cara kéngingkeun aksés kana pendaptaran ieu, panalungtik tiasa nyiptakeun eunteung, sareng réplika tina repositori aslina, anu nyayogikeun alternatif anu merenah pikeun pamekar pikeun ngaunduh pakét.
Nanging, eunteung-eunteung ieu ngagaduhan tujuan anu jahat. eunteung anu dikompromikeun janten saluran pikeun panalungtik pikeun nyebarkeun pakét jahat. Pakét-pakét ieu ngagentos pakét anu sah, anu teu kadeteksi ku pendaptaran primér, sareng pamekar anu teu curiga tanpa sadar ngaunduh sareng masangna. Sakali dipasang, pakét jahat ieu ngaleupaskeun muatanna, ngajalankeun kode anu teu dihaja, maok data sénsitip, atanapi ngaganggu operasi.
Unggah Paket anu Dirobih
Musuh unggah pakét anu dirobih kana gudang atanapi saluran distribusi anu ngandung kode jahat atanapi muatan. Ieu tiasa dilakukeun ku cara ngarobih kode sumber, kemasan, atanapi metadata pakét.
Salah sahiji ancaman anu paling kasohor tina jinis ieu nyaéta Serangan CodeCov dina taun 2021. Panyerang, anu narékahan pikeun ngaruksak proyék parangkat lunak nganggo CodeCov, integrasi kontinyu anu populér sareng pangiriman kontinyu (CI/CD) alat, ngamangpaatkeun kredensial anu bocor pikeun kéngingkeun aksés anu teu sah kana ember Google Cloud Storage (GCS) proyék. Sakali panyerang kéngingkeun aksés kana ember GCS, aranjeunna unggah artefak jahat, vérsi modifikasi tina pakét CodeCov, anu teras disebarkeun ka pangguna ngalangkungan layanan CodeCov. Pamekar anu teu curiga, anu ngandelkeun fitur apdet otomatis, bakal ngaunduh sareng masang pakét jahat, percanten yén éta anu sah. Sakali dipasang, kode jahat bakal jalan sacara teu langsung, ngaruksak integritas sistem anu kainféksi. Ieu tiasa nyababkeun maling data, teu stabilna sistem, atanapi bahkan aksés jarak jauh pikeun panyerang.
Serangan kana pendaptaran pakét téh umum pisan nepi ka sababaraha pola serangan dibéré ngaran:
In Tipe-tipe, aktor jahat unggah kana pendaptaran sababaraha pakét jahat kalayan kasalahan typo sakedik atanapi nami anu sami sareng anu sah sareng populér, kalayan harepan yén pamekar bakal salah ngeja nami pakét anu dimaksud ku anu jahat. Seringna pakét jahat nyamar janten anu sah pikeun lolos tanpa kadeteksi, ningkatkeun kamungkinan katarajang ku ningali béntang.
Kabingungan Gumantungna ngamangpaatkeun cara sababaraha manajer pakét ngarengsekeun pakét anu dipénta ti sababaraha pendaptaran. Nalika hiji organisasi nganggo komponén internal anu diterbitkeun dina pendaptaran internal, panyerang anu terang kanyataanana tiasa nyebarkeun komponén jahat kalayan nami anu sami dina pendaptaran umum. Upami nami anu dianggo pikeun komponén internal henteu dicakup, sababaraha manajer pakét bakal ngajemput komponén jahat tinimbang komponén internal.
jeung Paket Troyan, penjahat siber ieu nyamur malware di antara kode valid anu mangpaat. Ieu tiasa dianggo ku pangarang anu saleresna, atanapi ku kontributor anu nawiskeun dirina pikeun ngajaga pakét. Ieu ogé katelah Pembajakan PaketPara panyerang nganggo seueur téknik pikeun ngabajak pakét anu tos aya, sapertos Pangambilalihan Domain dimana domain kadaluwarsa anu ditinggalkeun dicandak ku panyerang anu teras ngadamel deui email pangurus anu lami sareng ngalaksanakeun pamulihan kecap akses pikeun ngambil alih akun pangurus.
Catatan Akhir
Sabot organisasi beuki ngadopsi metodologi pamekaran perangkat lunak anu ngutamakeun otomatisasi sareng pangiriman anu terus-terusan, pentingna ngamankeun tahapan pakét perangkat lunak teu acan pernah langkung penting. Ku ngalaksanakeun ukuran kaamanan anu kuat sapanjang fase kritis ieu, organisasi tiasa ngirangan résiko kakeunaan serangan jahat anu tiasa ngaruksak integritas sareng kaamanan perangkat lunakna.
Strategi-strategi anu dijelaskeun dina tulisan blog ieu, sareng conto-conto anu disayogikeun, janten panginget anu jelas yén tahapan pakét ngagambarkeun titik anu rentan dina ranté suplai perangkat lunak. Organisasi kedah merhatikeun ancaman ieu sareng ngalaksanakeun ukuran kaamanan anu diperyogikeun pikeun ngajaga perangkat lunakna tina serangan. Ku cara kitu, aranjeunna tiasa ngajamin integritas, kaamanan, sareng reliabilitas perangkat lunakna pikeun pangguna sareng konsuménna.
Gabung dina Perjalanan Kami Menuju Ékosistem Parangkat Lunak anu Aman
Ulah luput kasempetan pikeun tetep saléngkah ka payun dina ranah software supply chain securityLangganan blog kami ayeuna sareng janten salah sahiji anu mimiti nampi wawasan pangénggalna, mastikeun yén organisasi anjeun tetep tahan banting sareng aman di tengah ancaman anu terus berkembang. Babarengan, urang tiasa ngawangun ékosistem perangkat lunak anu langkung kuat sareng aman pikeun sadayana.
Inget, software supply chain security mangrupikeun perjalanan anu terus-terusan, sanés tujuan. Ku cara terus-terusan ngaevaluasi sareng nyaluyukeun prakték kaamanan pikeun ngungkulan ancaman anu muncul, organisasi tiasa ngajaga ranté suplai perangkat lunakna sareng nganteurkeun perangkat lunak anu dipercaya ka pangguna.
Tonton Démo Pidéo kami
