Hãy hỏi năm kỹ sư bảo mật định nghĩa về “mối đe dọa mạng” và bạn sẽ nhận được năm câu trả lời khác nhau, mỗi câu trả lời mô tả sự cố gần đây nhất khiến họ mất ngủ. Đó chính là vấn đề. Trước đây, các loại mối đe dọa rất đơn giản: lừa đảo trực tuyến, phần mềm độc hại, mật khẩu bị đánh cắp. Ngày nay, bề mặt tấn công bao gồm cả mã nguồn do các nhà phát triển của bạn viết, các gói mã nguồn mở mà họ nhập khẩu, và cả… pipelineNhững công cụ xây dựng và phân phối mã đó, và ngày càng nhiều công cụ AI nằm ngay trong môi trường phát triển tích hợp (IDE).
Bài viết này phân tích các loại mối đe dọa mạng chính mà các tổ chức phần mềm hiện đại đang phải đối mặt, dựa trên cách thức các cuộc tấn công thực sự diễn ra trong suốt vòng đời phát triển phần mềm (SDLC), không phải là một danh sách chung chung được sao chép từ một bảng thuật ngữ đã có từ cả chục năm trước.
Vì sao các loại mối đe dọa mạng cũ không còn phù hợp với các rủi ro hiện nay?
Hầu hết các nội dung về “các loại mối đe dọa mạng” vẫn coi bảo mật là vấn đề ranh giới mạng: tường lửa, thiết bị đầu cuối, email lừa đảo. Cách nhìn nhận đó có lý khi phần mềm chủ yếu được phát triển nội bộ và triển khai chậm. Nhưng nó không còn phù hợp khi:
- Các ứng dụng được xây dựng từ hàng trăm thành phần mã nguồn mở, và bất kỳ thành phần nào trong số đó đều có thể bị xâm phạm.
- Mã di chuyển qua CI/CD pipelineNhững hệ thống hoạt động với quyền hạn rộng rãi và ít sự giám sát của con người.
- Ngày càng nhiều mã nguồn được tạo ra hoặc hỗ trợ bởi trí tuệ nhân tạo, điều này làm thay đổi cả số lượng và bản chất của các lỗi được đưa vào sản phẩm.
Để hiểu được các mối đe dọa hiện nay, cần phải hiểu chúng bắt nguồn từ đâu trong chuỗi cung ứng phần mềm, chứ không chỉ là thiệt hại mà chúng gây ra.
Các loại mối đe dọa mạng chính mà các đội an ninh mạng phải đối mặt hiện nay
Mỗi loại mối đe dọa mạng được giải thích chi tiết.
1. Phần mềm độc hại trong chuỗi cung ứng phần mềm
Mã độc hại không còn chỉ lây lan qua tệp đính kèm email bị nhiễm. Ngày càng nhiều mã độc xâm nhập qua các gói phần mềm mã nguồn mở, GitHub Action bị xâm phạm hoặc các tệp kết xuất bị giả mạo. Kẻ tấn công công bố hoặc chiếm đoạt các gói phần mềm, chèn cửa hậu và mã độc Trojan vào các thư viện phụ thuộc, và chờ các nhà phát triển cài đặt chúng thông qua các thao tác thường xuyên. install lệnh.
Đây là lý do tại sao các cuộc tấn công vào chuỗi cung ứng phần mềm trở thành một trong những loại mối đe dọa phát triển nhanh nhất: chúng lợi dụng lòng tin. Một nhà phát triển tin tưởng vào kho lưu trữ gói phần mềm giống như cách họ tin tưởng vào trình soạn thảo mã của chính mình, và những kẻ tấn công biết điều đó.
2. Rò rỉ bí mật
Mật khẩu, khóa API và mã thông báo được mã hóa cứng vào mã nguồn, tệp cấu hình hoặc CI/CD Nhật ký hệ thống vẫn là một trong những nguyên nhân phổ biến nhất và dễ phòng ngừa nhất dẫn đến vi phạm bảo mật. Một khi bí mật đã bị lộ... commitKhi được lưu trữ vào kho lưu trữ, ngay cả kho lưu trữ riêng tư, nó có thể tồn tại trong lịch sử phiên bản rất lâu sau khi không ai còn nhớ đến sự hiện diện của nó, và các bí mật bị lộ thường vẫn còn hoạt động nhiều ngày sau khi bị rò rỉ.
3. Rủi ro phụ thuộc và rủi ro mã nguồn mở
Ngoài các lỗ hổng CVE đã biết, danh mục này bao gồm các kiểu tấn công nhắm mục tiêu cụ thể vào cách các nhà phát triển (và ngày càng nhiều trợ lý lập trình AI) lựa chọn các gói phần mềm:
- typosquattingPhát hành một gói phần mềm độc hại có tên gọi gây nhầm lẫn với một gói phần mềm phổ biến.
- Sự nhầm lẫn về sự phụ thuộc: Lừa hệ thống biên dịch để nó tải xuống một gói công khai thay vì một gói nội bộ dự định.
- Ngồi xổmĐăng ký tên gói do trợ lý lập trình AI tưởng tượng ra và đề xuất, dẫn đến việc đề xuất "hữu ích" này cài đặt phần mềm độc hại thay vì thư viện thực sự.
4. CI/CD và xây dựng pipeline các cuộc tấn công
PipelineCác chương trình này chạy ở tốc độ máy tính với quyền hạn cao, thường không được xác định rõ ràng và danh tính phi con người, hiếm khi được kiểm toán như tài khoản người dùng. Sự kết hợp đó khiến chúng trở thành mục tiêu hiệu quả cho việc chèn mã trái phép, lạm dụng chuỗi phụ thuộcCác rủi ro như kiểm soát truy cập không đầy đủ và các sản phẩm xây dựng bị xâm phạm là những loại rủi ro được nêu rõ trong các khung tiêu chuẩn như NIST SP 800-204D và OWASP Top 10. CI/CD Rủi ro bảo mật. Một GitHub Action bị xâm nhập có thể ảnh hưởng đến hàng nghìn hệ thống khác. pipelinetrước khi ai đó nhận ra.
5. Cơ sở hạ tầng dưới dạng mã (IaC) cấu hình sai
Các mẫu Terraform, CloudFormation, Kubernetes và Helm định nghĩa cách thức cung cấp cơ sở hạ tầng, điều này có nghĩa là một lệnh độc hại hoặc bất cẩn trong một... IaC Tệp này không chỉ mô tả một lỗi; nó còn sao chép lỗi đó trên quy mô lớn mỗi khi mẫu đó được chạy.
6. Rủi ro từ mã do AI tạo ra
Các trợ lý lập trình AI đang viết ngày càng nhiều mã nguồn sản xuất, và mã nguồn đó chứa nhiều lỗi hơn đáng kể so với mã nguồn được viết mà không có sự hỗ trợ, bao gồm các vấn đề về xác thực và quản lý danh tính và quyền truy cập. Rủi ro không nằm ở chính công cụ AI; mà là mã nguồn được hỗ trợ bởi AI được đưa vào sử dụng nhanh hơn so với tốc độ mà hầu hết các quy trình xem xét được thiết kế để xử lý.
7. Các mối đe dọa từ tác nhân AI và lớp MCP
Khi AI chuyển từ tính năng tự động hoàn thành sang các tác nhân tự động có quyền truy cập công cụ, một lớp đe dọa mới đã xuất hiện: tấn công chèn lời nhắc, đầu độc công cụ (trong đó tác nhân bị đánh lừa bởi mô tả công cụ độc hại khiến họ thực hiện các hành động không mong muốn), và các lỗ hổng trong Giao thức bối cảnh mô hình (MCP) Các máy chủ kết nối các tác nhân với các hệ thống thực. Lớp này vô hình đối với các công cụ bảo mật ứng dụng và điểm cuối truyền thống, vì nó nằm bên trong IDE và chính tác nhân.cisQuá trình tạo ion, không phải trong một tập tin đã quét.
8. Các mối đe dọa nội bộ và sự xâm phạm của người bảo trì
Không phải mọi mối đe dọa đều đến từ bên ngoài. Việc tài khoản người bảo trì bị xâm phạm, sử dụng đặc quyền trái phép và những thay đổi chưa được xem xét từ những người đóng góp đáng tin cậy chiếm một phần đáng kể trong các vụ vi phạm, đó là lý do tại sao việc theo dõi các thay đổi về quyền sở hữu gói và uy tín của người bảo trì lại quan trọng không kém việc quét mã.
Điểm chung giữa các loại mối đe dọa mạng này là gì?
Hãy nhìn vào danh sách ở trên, và một mô hình sẽ hiện ra. Những loại mối đe dọa mạng này không phải là tám vấn đề không liên quan; chúng là cùng một bề mặt tấn công được nhìn từ năm lớp khác nhau. SDLC: mã nguồn do các nhà phát triển viết, các thư viện phụ thuộc mà họ nhập khẩu, pipelineCác yếu tố cấu thành nên và phân phối sản phẩm, các mô hình và tác nhân AI được tích hợp trong quy trình làm việc đó, và chính môi trường phát triển. Kẻ tấn công không cần phải xâm nhập cả năm lớp. Thông thường chỉ cần một lớp yếu là đủ, đó chính là lý do tại sao việc coi chúng là các danh mục riêng biệt, với một công cụ riêng được gắn vào mỗi danh mục, sẽ tạo ra những lỗ hổng giữa chúng.
Từ tám cảnh báo thành một chế độ xem ưu tiên
Xygeni Nền tảng này bảo vệ cả năm lớp phòng thủ đó, thay vì phải sử dụng các công cụ riêng lẻ cho từng loại mối đe dọa. Xygeni's Phòng thủ phần mềm độc hại phát hiện các gói phần mềm độc hại và pipeline Phát hiện các mối đe dọa trong thời gian thực, bao gồm cả các mối đe dọa zero-day chưa có chữ ký nhận dạng, một khả năng mà hầu hết các phần mềm quét không thể cung cấp vì chúng dựa vào việc so khớp với các quy tắc phát hiện hiện có. Bảo mật bí mật Quét hơn 100 loại bí mật và chặn chúng trước khi chúng bị phát tán. committed. CI/CD và Build Security tàn nhân pipelinechống lại việc chèn mã trái phép và các hành vi không an toàn. IaC lệnh. DevAI Nó bảo mật mã khi các trợ lý AI viết ra, trực tiếp trong IDE, mà không cần thêm lời nhắc hay gây trở ngại cho quy trình làm việc của nhà phát triển. Và bởi vì Xygeni... ASPM lớp Nó cũng tiếp nhận các phát hiện từ các công cụ quét của bên thứ ba, và cùng một thuật toán phân loại và ưu tiên dựa trên AI được áp dụng cho dù rủi ro được phát hiện bởi Xygeni hay bởi một công cụ bạn đã sử dụng, vì vậy việc hợp nhất khả năng hiển thị không có nghĩa là phải loại bỏ bất cứ thứ gì.
Kết quả là một cái nhìn ưu tiên về những gì thực sự có thể bị khai thác trong toàn bộ mã nguồn, các phần phụ thuộc, pipelineThay vì tám cảnh báo riêng lẻ tranh giành sự chú ý, chúng ta cần các công cụ AI và môi trường phát triển. Việc đối phó với các loại mối đe dọa mạng này không phải là thêm một công cụ mới cho mỗi loại mối đe dọa mới; mà là thu hẹp khoảng cách giữa các công cụ bạn đã có.
FAQ
Mối đe dọa mạng và lỗ hổng bảo mật khác nhau ở điểm nào?
Lỗ hổng bảo mật là điểm yếu, chẳng hạn như một thư viện phụ thuộc đã lỗi thời hoặc một cấu hình sai. pipelineMối đe dọa mạng là nỗ lực thực sự nhằm khai thác điểm yếu đó. Phần mềm có thể có hàng ngàn lỗ hổng mà không hề bị đe dọa nào, hoặc chỉ một lỗ hổng bị khai thác cũng có thể gây ra vi phạm an ninh. Các nhóm bảo mật chỉ đếm số lỗ hổng sẽ bỏ sót những lỗ hổng nào thực sự đang bị nhắm mục tiêu.
Loại mối đe dọa an ninh mạng phổ biến nhất mà các nhóm phần mềm đang phải đối mặt hiện nay là gì?
Các cuộc tấn công chuỗi cung ứng và rò rỉ bí mật vẫn là hai điểm xâm nhập phổ biến nhất, chủ yếu là do chúng khai thác hành vi thường ngày của nhà phát triển (cài đặt gói phần mềm, commit(mã kiểm tra) thay vì yêu cầu một lỗ hổng bảo mật phức tạp. Kẻ tấn công không cần phải đột nhập nếu quy trình làm việc đáng tin cậy cho phép chúng truy cập dễ dàng.
Trí tuệ nhân tạo (AI) đang thay đổi các loại mối đe dọa mạng mà các đội ngũ an ninh phải đối mặt như thế nào?
Trí tuệ nhân tạo (AI) tạo ra hai bề mặt tấn công mới thay vì thay thế những bề mặt cũ. Thứ nhất, mã do AI tạo ra thường chứa nhiều lỗi hơn so với mã được viết mà không có sự hỗ trợ của AI. Thứ hai, các trợ lý và tác nhân lập trình AI đưa ra các kiểu tấn công hoàn toàn mới, chẳng hạn như tấn công chiếm đoạt tên gói (phần mềm độc hại được cài đặt dưới tên gói do AI tự nghĩ ra) và tấn công làm nhiễm độc công cụ nhắm vào các tác nhân AI có quyền truy cập MCP. Cả hai đều nằm ngoài phạm vi mà các công cụ bảo mật ứng dụng truyền thống được thiết kế để phát hiện.
Liệu một công ty có thể chống lại tất cả các loại mối đe dọa mạng này chỉ bằng một công cụ duy nhất?
Không phải với một trình quét chuyên dụng, vì mỗi loại mối đe dọa (phần mềm độc hại, bí mật, rủi ro phụ thuộc, pipeline Các cuộc tấn công, rủi ro mã AI) thường được ánh xạ đến một công cụ khác. Điều thu hẹp khoảng cách là một nền tảng bao quát tất cả các lớp và ưu tiên các phát hiện trên tất cả chúng, thay vì tám cảnh báo riêng biệt không có ngữ cảnh chung.
