การโจมตีห่วงโซ่อุปทานซอฟต์แวร์คืออะไร? #
ในเอกสารอธิบายศัพท์นี้ เราจะมานิยามความหมายของ "การโจมตีห่วงโซ่อุปทานซอฟต์แวร์" และจะยกตัวอย่างการโจมตีห่วงโซ่อุปทานซอฟต์แวร์บางส่วนด้วย
อย่างที่คุณอาจทราบแล้ว การโจมตีห่วงโซ่อุปทานซอฟต์แวร์เป็นรูปแบบเฉพาะของการโจมตีทางไซเบอร์ โดยปกติแล้วจะมุ่งเป้าไปที่ส่วนประกอบซอฟต์แวร์ของบุคคลที่สาม ไลบรารี เครื่องมือพัฒนา หรือโครงสร้างพื้นฐานที่ใช้ในการสร้างและเผยแพร่แอปพลิเคชันซอฟต์แวร์ แทนที่จะโจมตีองค์กรเป้าหมายโดยตรง ผู้โจมตีจะแทรกซึมเข้าไปในซัพพลายเออร์ซอฟต์แวร์หรือผู้ให้บริการที่น่าเชื่อถือ การนำโค้ดที่เป็นอันตรายเข้ามา or แบ็ค ซึ่งจะถูกส่งต่อไปยังผู้ใช้ปลายทางในภายหลังในรูปแบบของการอัปเดตหรือการติดตั้งที่ถูกต้องตามกฎหมาย เนื่องจากการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ใช้ประโยชน์จากความสัมพันธ์ด้านความไว้วางใจโดยปริยายภายในนั้น SDLCซึ่งทำให้การตรวจจับทำได้ยากและซับซ้อนเป็นพิเศษ
ความหมาย:
การโจมตีห่วงโซ่อุปทานซอฟต์แวร์คืออะไร และเหตุใดจึงมีความสำคัญ? #
แตกต่างจากการโจมตีทางไซเบอร์ทั่วไป การโจมตีห่วงโซ่อุปทานซอฟต์แวร์จะทำลายองค์ประกอบพื้นฐานของกระบวนการพัฒนาแอปพลิเคชัน หากประสบความสำเร็จ การโจมตีจะขยายวงกว้างอย่างรวดเร็วและส่งผลกระทบต่อองค์กรหลายพันแห่งในเวลาเดียวกัน การโจมตีประเภทนี้ได้รับความสนใจอย่างมากจากเหตุการณ์สำคัญ เช่น การละเมิดข้อมูลของ SolarWinds (ซึ่งเราจะกล่าวถึงต่อไป) ที่การอัปเดตที่ถูกบุกรุกได้แพร่ระบาดไปยังหน่วยงานภาครัฐและองค์กรต่างๆ จำนวนมาก enterprise ระบบต่างๆ เหตุใดผู้ไม่ประสงค์ดีจึงสนใจ? จุดเด่นเชิงกลยุทธ์อยู่ที่การเข้าถึงในวงกว้างและสิทธิ์พิเศษที่มักพบในส่วนประกอบซอฟต์แวร์ ทำให้การโจมตีเหล่านี้มีประสิทธิภาพและสร้างความเสียหายอย่างร้ายแรง
ลักษณะหลัก #
ลักษณะสำคัญบางประการของการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ ได้แก่:
- การเอาเปรียบความไว้วางใจ: ผู้ไม่ประสงค์ดีมักใช้ประโยชน์จากความสัมพันธ์ที่ไว้วางใจกันระหว่างนักพัฒนาและเครื่องมือของพวกเขา รวมถึงส่วนประกอบจากภายนอกและผู้จำหน่าย
- การชนด้านข้าง: ช่องโหว่เพียงช่องเดียวสามารถแพร่กระจายไปยังเหยื่อหลายรายผ่านช่องทางการเผยแพร่ซอฟต์แวร์
- การลักลอบและความคงอยู่: มัลแวร์มักถูกฝังอยู่ในแพ็กเกจซอฟต์แวร์ที่ลงนามแล้วซึ่งดูเหมือนถูกต้องตามกฎหมาย ทำให้สามารถคงอยู่ได้ในระยะยาว
- การระบุแหล่งที่มาที่ซับซ้อน: เนื่องจากการโจมตีในลักษณะนี้มีต้นกำเนิดมาจากต้นทางของห่วงโซ่อุปทาน การติดตามแหล่งที่มาจึงอาจมีความซับซ้อนและใช้เวลานานมาก
ช่องทางโจมตีทั่วไปของห่วงโซ่อุปทานซอฟต์แวร์
#
ส่วนประกอบและส่วนที่เกี่ยวข้องจากภายนอก: ผู้โจมตีสามารถเจาะระบบแพ็กเกจโอเพนซอร์สที่ใช้กันอย่างแพร่หลาย หรือ SDK ที่เป็นกรรมสิทธิ์ ซึ่งมักถูกรวมอยู่ในโครงการพัฒนาโดยไม่รู้ตัว
สร้างระบบและ CI/CD Pipelines: การใช้ประโยชน์จากสภาพแวดล้อมการสร้างที่ตั้งค่าไม่ถูกต้องหรือมีช่องโหว่ เพื่อแทรกสิ่งที่เป็นอันตรายในระหว่างการคอมไพล์หรือการบรรจุซอฟต์แวร์
แหล่งเก็บโค้ด: การเข้าถึงแหล่งเก็บซอร์สโค้ด (เช่น GitHub) โดยไม่ได้รับอนุญาต เพื่อแก้ไขโค้ดที่ถูกต้องด้วยมัลแวร์
กลไกการอัปเดตซอฟต์แวร์และการแก้ไขข้อบกพร่อง: การดักจับหรือดัดแปลงช่องทางการอัปเดตเพื่อส่งมอบซอฟต์แวร์เวอร์ชันที่ถูกบุกรุกซึ่งไม่น่าเชื่อถือ
ต่อไปนี้เรามาดูตัวอย่างกัน หากคุณต้องการข้อมูลเพิ่มเติมเกี่ยวกับเวกเตอร์และประเภทของการโจมตี – การดำน้ำใน!
ตัวอย่างการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ #
- SolarWinds Orion (2020)นี่อาจเป็นหนึ่งในตัวอย่างที่เลวร้ายที่สุด ผู้โจมตีได้แทรกแบ็กดอร์ชื่อ “SUNBURST” เข้าไปในซอฟต์แวร์อัปเดตที่ถูกต้องตามกฎหมาย ซึ่งมีผู้ดาวน์โหลดไปแล้วกว่า 18,000 ราย รวมถึงบริษัทใน Fortune 500 และหน่วยงานรัฐบาลสหรัฐฯ
- Codecov Bash Uploader (2021)ในกรณีนี้ ผู้โจมตีได้แก้ไขสคริปต์ที่ใช้ในระบบ CI pipelineขโมยข้อมูลประจำตัวและตัวแปรสภาพแวดล้อมจากโครงการนับพันโครงการ
- UAParser.js (2021): an NPM ห้องสมุดที่ผู้คนนับล้านใช้ถูกแฮ็กและเผยแพร่ซ้ำพร้อมมัลแวร์ขุดคริปโตและขโมยข้อมูลประจำตัว
- คาเซยะ วีเอสเอ (2021): ในกรณีนี้ ผู้โจมตีใช้ประโยชน์จากช่องโหว่ในแพลตฟอร์มการตรวจสอบระยะไกลเพื่อแพร่กระจายมัลแวร์เรียกค่าไถ่ไปยังผู้ให้บริการจัดการระบบและลูกค้าของพวกเขา
ตัวอย่างการโจมตีห่วงโซ่อุปทานซอฟต์แวร์เหล่านี้แสดงให้เห็นถึงความหลากหลายของเทคนิคและขนาดของผลกระทบที่อาจเกิดขึ้น ซึ่งเน้นย้ำถึงความจำเป็นในการตรวจสอบความสมบูรณ์ของซอฟต์แวร์อย่างรัดกุม
เทคนิคการตรวจจับและการป้องกันบางประการ #
เนื่องจากความซับซ้อนและลักษณะที่ซ่อนเร้นของการโจมตีห่วงโซ่อุปทานซอฟต์แวร์ การป้องกันและการตรวจจับการโจมตีจึงต้องใช้แนวทางการรักษาความปลอดภัยแบบหลายชั้น:
- SBOM (รายการส่วนประกอบซอฟต์แวร์): จัดทำรายการส่วนประกอบของบุคคลที่สามทั้งหมดและเวอร์ชันของส่วนประกอบเหล่านั้นอย่างละเอียด เพื่อตรวจจับการเปลี่ยนแปลงที่ผิดปกติหรือไม่ได้รับอนุญาต
- การลงนามและการตรวจสอบรหัส: ตรวจสอบให้แน่ใจว่าสิ่งประดิษฐ์ทั้งหมดได้รับการลงนามและยืนยันด้วยวิธีการเข้ารหัสลับในระหว่างการสร้างและการใช้งาน
- การตรวจสอบขณะทำงาน: นำระบบ EDR และการป้องกันตนเองของแอปพลิเคชันขณะทำงาน (RASP) มาใช้เพื่อตรวจจับพฤติกรรมที่น่าสงสัยระหว่างการทำงาน
- การควบคุมการเข้าถึงและการตรวจสอบ: เพิ่มความปลอดภัยในการเข้าถึงคลังเก็บโค้ด และ CI/CD สภาพแวดล้อมที่มีการตรวจสอบสิทธิ์แบบหลายปัจจัยและการควบคุมการเข้าถึงตามบทบาท
- การสแกนหาช่องโหว่อย่างต่อเนื่อง: ใช้เครื่องมืออัตโนมัติในการสแกนไลบรารีโอเพนซอร์สและตรวจจับช่องโหว่หรือการตั้งค่าที่ไม่ถูกต้องที่ทราบแล้ว
- การจัดการความเสี่ยงของผู้ขาย: ประเมินมาตรการรักษาความปลอดภัยของผู้ให้บริการภายนอกทั้งหมด โดยเฉพาะอย่างยิ่งผู้ที่มีสิทธิ์เข้าถึงสภาพแวดล้อมการพัฒนาที่มีความละเอียดอ่อน
คุณทราบถึงผลกระทบด้านความเสี่ยงสำหรับทีมรักษาความปลอดภัยและ DevSecOps หรือไม่? #
#
ผู้จัดการด้านความปลอดภัย ทีม DevOps และ DevSecOps ต้องปรับกลยุทธ์ใหม่เพื่อรับมือกับความเสี่ยงจากการโจมตีห่วงโซ่อุปทานซอฟต์แวร์:
การบูรณาการ DevSecOps: การรักษาความปลอดภัยจำเป็นต้องถูกผนวกเข้าไว้ตลอดวงจรชีวิตของซอฟต์แวร์ ตั้งแต่การออกแบบจนถึงการใช้งานจริง
การสร้างแบบจำลองภัยคุกคาม: รวมภัยคุกคามในห่วงโซ่อุปทานไว้ในการประเมินความเสี่ยงและการสร้างแบบจำลองภัยคุกคามด้วยcises
การฝึกอบรมสำหรับนักพัฒนา: ให้ความรู้แก่ผู้พัฒนาเกี่ยวกับแนวทางการเขียนโค้ดที่ปลอดภัยและความเสี่ยงของการรวมส่วนประกอบจากบุคคลที่สามที่ไม่ได้ตรวจสอบอย่างถี่ถ้วน
แนวทางปฏิบัติเหล่านี้ไม่เพียงแต่ช่วยลดความเสี่ยงจากการถูกโจมตี แต่ยังส่งเสริมวัฒนธรรมที่ให้ความสำคัญกับความปลอดภัยเป็นอันดับแรกทั้งในด้านการพัฒนาและการดำเนินงานอีกด้วย
ทำไมคุณถึงควรสนใจ? #
การทำความเข้าใจว่าการโจมตีห่วงโซ่อุปทานซอฟต์แวร์คืออะไรนั้นเป็นสิ่งสำคัญสำหรับทุกคนที่พัฒนาแอปพลิเคชันซอฟต์แวร์ เนื่องจากภัยคุกคามประเภทนี้ใช้ประโยชน์จากกลไกที่ช่วยให้เกิดนวัตกรรมซอฟต์แวร์อย่างรวดเร็ว เปลี่ยนเครื่องมือที่เชื่อถือได้ให้กลายเป็นช่องทางในการบุกรุก จึงเป็นอันตรายอย่างยิ่ง จากตัวอย่างการโจมตีห่วงโซ่อุปทานที่บันทึกไว้และกลยุทธ์การป้องกันที่ครอบคลุม ทำให้เห็นได้ชัดว่าในการลดผลกระทบจากภัยคุกคามเหล่านี้ คุณจำเป็นต้องมี: การมองเห็น การตรวจสอบ และการบูรณาการด้านความปลอดภัยข้ามสายงาน
สำหรับองค์กรที่ต้องการตรวจสอบและรักษาความปลอดภัยของห่วงโซ่อุปทานซอฟต์แวร์ของตน ไซเกนี คือคำตอบ รับชมวิดีโอสาธิตของเรา หรือรับ ทดลองใช้ฟรีวันนี้!
