Ҳамлаҳо ба занҷираи таъминоти нармафзор: Оё ман бояд хавотир шавам?

Технологияи нармафзор таҳаввул ёфт ва ҳакерҳо бо он таҳаввул ёфтанд. Мусобиқаи мусаллаҳшавӣ бо фаъолони бад асосан ба осебпазириҳо ва ҳамлаҳое, ки ба нармафзори истифодашуда равона карда шуда буданд, маҳдуд буд. Ҳамла ба занҷири таъминоти нармафзор, гарчанде ки ноаён набуд, ҳадафи асосии бачаҳои бад набуд...

Ин ҳамларо бисёриҳо ҳамчун оғози тағйирот дар тарзи амалиёти таҳдидҳои пешрафтаи доимӣ (APTs) баррасӣ карданд, ки ин буд Ҳамлаи SolarWindsНа аввалин, балки бо чунин таъсире, ки дар сархатти хабарҳо қарор гирифт ва ITsec-ро ба ҳайрат овард.

Мисолҳо: SolarWinds, Codecov, Kaseya

SolarWinds як фурӯшандаи бузурги нармафзор аст, ки абзорҳоро барои мониторинги шабака ва инфрасохтор пешниҳод мекунад. Яке аз маҳсулоти ширкат Orion, платформаи мониторинг ва идоракунии инфрасохтор мебошад. Онро беш аз 30,000 ташкилотҳои давлатӣ ва хусусӣ барои идоракунии захираҳои IT-и худ истифода мебаранд. Orion ба системаҳои IT дастрасӣ пайдо мекунад, то маълумоти сабти ном ва фаъолияти системаро ба даст орад.

Дар моҳи декабри соли 2019 ҳакерҳо ба шабакаҳо, системаҳо ва маълумоти ҳазорҳо муштариёни SolarWinds дастрасӣ пайдо карданд. Онҳо ба занҷири таъминоти нармафзори он ҳамла карда, рамзи зарароварро ба платформа ворид карданд. Баъдан, SolarWinds ин нармафзори зараровари пасзаминаро ҳамчун навсозии нармафзори Orion пешниҳод кард, ки ҳакерҳо метавонистанд ба он дастрасӣ пайдо кунанд ва ба ҳисобҳои корбарон ва ташкилотҳои ҷабрдида тақлид кунанд. Ин вайронкунии SolarWinds барои ҳамаи ташкилотҳое, ки дар ҷаҳони абрӣ фаъолият мекунанд, бедории амнияти киберӣ буд.

Пас аз ин ҳамлаи занҷираи таъминот, ҳамлаҳои дигаре ба монанди Codecov, як абзори фарогирии рамзи нармафзор, рух доданд. Дар моҳи январи соли 2021, Ҳамлагар эътимодномаро мусодира кард хато дар тасвири Docker-и Codecov нигоҳ дошта шуд, ки актёр онро барои тағир додани скрипти боркунанда дар асбоб истифода мебурд. Актёр танҳо як сатри рамзро ворид кард, ки ҳангоми иҷро шудани скрипт ҳамаи тағирёбандаҳои муҳити CI-ро ба сервери идорашавандаи ҳамлагар мефиристод. Дар тӯли моҳҳо, актёрҳои бад ба системаҳое, ки скрипти тағирёфтаи Codecov-ро истифода мебурданд, дастрасии эҳтимолӣ пайдо карданд.

Баъдтар, 2 июли соли 2021, ҳамла ба Касея рух дод. Платформаи VSA-и он аз ҷониби бисёр MSP-ҳое истифода мешавад, ки ба дигар ширкатҳо хидматҳои IT пешниҳод мекунанд, то идоракунии патчҳо ва мониторинги муштариёнро анҷом диҳанд. Ҳакерҳо ба занҷираи таъминоти Kaseya VSA ҳамла карда, инфрасохтори онро зери хатар гузоштанд ва баъдан навсозиҳои зарароварро дар серверҳои маҳаллии VSA нашр карданд, то системаҳои ширкатҳои идорашавандаро сироят кунанд, маълумоти онҳоро рамзгузорӣ карданд ва фидя талаб карданд. Нармафзори фидя тавассути абзори троянӣ, ки аз ҷониби MSP-ҳо дар ширкатҳои идорашавандаи худ истифода мешавад, ки ҳадафҳои ниҳоӣ мебошанд. Чӣ қадар оқилона!

Аз замони ҳодисаи SolarWinds, ҳамлаҳо ба занҷири таъминоти нармафзор бештар ва бештар ба амал омадаанд, ки ба обрӯ ва иқтисоди ширкатҳо ба монанди Samsung, Uber, Nissan, Nvidia ва бисёр дигарон таъсир мерасонанд. Тибқи иттилои Gartner, "то соли 2025, 45% ташкилотҳо дар саросари ҷаҳон ҳамлаҳоро ба занҷирҳои таъминоти нармафзори худ аз сар хоҳанд гузаронд, ки ин нисбат ба соли 2021 се маротиба афзоиш ёфтааст."

Насли нави ҳамлаҳо ба занҷираи таъминоти нармафзор

Ҳамла ба барномаҳои хусусии ширкат ё муҳитҳои истеҳсолии он танҳо як қурбониро ба вуҷуд меорад. Ин дар баробари он аст, ки аксарияти кулли ширкатҳо аллакай ҳимояҳои AppSec-ро ба монанди AST татбиқ кардаанд. SCA ё абзорҳои WAF боиси пайдоиши насли нави ҳамлагарон бо ҳадафи таҳияи нармафзор гардид. pipelineҲамлаҳо ба занҷираи таъминот метавонанд ба ҳазорҳо ширкатҳо танҳо бо як ҳамлаи оддӣ таъсир расонанд: тақвиятдиҳандаи беҳтарин.

Инфрасохтори таҳия ҳадафи осон барои ҳамлагарон аст. Сатҳи калони ҳамлаи он дастрасӣ ба муҳити истеҳсолӣ ва маълумоти онро фароҳам меорад. Тамоми инфрасохтори асбобҳои DevOps: анборҳо, системаҳои идоракунии назорати манбаъ, асбобҳои сохтмон, асбобҳои ҷойгиркунӣ, қолибҳои инфрасохтор ҳамчун рамз, контейнерҳо, файлҳои скриптҳо ва ғайра хеле калон ва осебпазиранд. Ғайр аз ин, ҳамаи ин асбобҳо аз назорати минтақаи амниятӣ дуранд ва аз ҷониби гурӯҳҳои таҳия ва истеҳсолӣ идора карда мешаванд. Ҳакерҳо инро медонанд ва аз ин заъфҳо истифода мебаранд.

Ҳадафи нав

Аксар вақт таҳиягарон дар рамзи сарчашма махфиятҳоро, ба монанди эътимодномаҳо ва калидҳо барои санҷиш ҳангоми таҳия, менависанд. Инҳо дар файлҳо, ки аксар вақт таҳти назорати версия нигоҳ дошта мешаванд ва дар оянда аз ҷониби ҳамлагарон пайдо карда мешаванд, ҳатто агар файлҳо ё махфиятҳо тоза карда шаванд. Ин ба ҳамлагарон имкон медиҳад, ки дарҳои пуштибонро насб кунанд, рамзи сарчашмаро хонанд, рамзи зарароварро ворид кунанд, маълумоти махфиро истихроҷ кунанд ва ғайра... Пас аз он ки фаъолони зараровар эътибор доранд login эътимодномаҳое, ки онҳо метавонанд аз паҳлӯ ба паҳлӯ ҳаракат кунанд SDLCИн эътимодномаҳо ба онҳо имкон медиҳанд, ки ба дигар абзорҳо гузаранд ва барои ҷустуҷӯи маълумоти арзишманд имтиёзҳои пешрафтаи корбарро ба даст оранд.

Ҳакерҳо метавонанд маълумоти махфиро барои вайрон кардани система истифода баранд SDLC, аммо онҳо инчунин метавонанд ба анборҳо ё абзорҳое, ки нодуруст танзим шудаанд ё ноамн гузошта шудаанд, ворид шаванд, ки системаҳо ва маълумотро зери хатар мегузоранд.

Ҳамлаҳо инчунин ба бастаҳои кушодаасос нигаронида шудаанд. Ҳамаи мо ҳикояҳои даҳшатнокро дар бораи ҳамлаҳое медонем, ки аз осебпазириҳои маълум, ба монанди Log4j, истифода мебаранд. Аз тарафи дигар, ҳамлаҳои занҷираи таъминот фарқ мекунанд: ҳамлагарон рамзи зарароварро ба бастаҳои маъмули кушодаасос барои истифодаи минбаъда дар раванди таҳия аз ҷониби бисёр ташкилотҳо дар ҷаҳон ворид мекунанд.

Хулоса: ҳакерҳо метавонанд аз дастрасии имтиёзнок, танзимоти нодуруст ва осебпазириҳо дар CI/CD pipeline инфрасохтор ҳамчун вектор барои ворид кардани нармафзори зараровар ба нармафзоре, ки метавонад аз ҷониби бисёриҳо истифода шавад.

Чӣ тавр моро муҳофизат кунем SDLC аз ҳамлаҳои занҷираи таъминоти нармафзор?

Шумораи ҳамлаҳо ба занҷираи таъминот мунтазам афзоиш меёбад ва бозор ба ин сенария вокуниш нишон медиҳад. Баъзе созмонҳо чаҳорчӯбҳоеро барои ҳалли ин мушкилот таъсис додаанд. software supply chain security, ба монанди Чаҳорчӯбаи таҳияи нармафзори бехатари NIST (SSDF) ва Сатҳҳои занҷираи таъминоти Google барои артефактҳои нармафзор (SLSA). Аммо, ширкатҳое кам ҳастанд, ки ҳифзи абзорҳо ва инфрасохтори DevOps-ро барои пешгирӣ аз ҳамлаҳо ба занҷираи таъминоти худ афзалият медиҳанд. Дар асл, 82% директорони иттилоотӣ фикр мекунанд, ки дар баробари онҳо осебпазир хоҳанд буд.

Ширкатҳо бояд на танҳо дар бораи ҳифзи барномаҳои худ, балки дар бораи инфрасохтор ва артефактҳои нармафзор, ки қисми онҳо мебошанд, низ хавотир шаванд. SDLC зеро фаъолони бад занҷираи таъминотро ҳадаф қарор медиҳанд. Паҳнои сатҳи ҳамла, набудани огоҳӣ аз ҷониби гурӯҳҳои таҳиякунанда аз ин навъи ҳамла ва набудани абзорҳои махсуси амниятӣ ба ҳамлагарон имкон медиҳад, ки ба занҷираи таъминоти нармафзор тамаркуз кунанд.