Log4Shell o Solarwinds sono esempi tipici di attacchi alle aziende attraverso la loro catena di fornitura del software. È caratteristico che i criminali informatici non ottengano un accesso diretto all'azienda presa di mira, ma attacchino tramite una backdoor. Un commento da Trend Micro.
Se guardi indietro ad alcuni attacchi recenti (specialmente Solarwinds o Log4Shell), noterai che stanno giocando sempre più "sulle bande". Ciò significa che gli aggressori non attaccano più direttamente le aziende bersaglio, ma attraverso la loro catena di fornitura (del software). Sia che le vittime vengano attaccate tramite aggiornamenti di Solarwinds compromessi o lacune in Log4Shell, in entrambi i casi la catena di fornitura del software è anche la catena dell'infezione.
Infezioni della filiera
Ciò significa che la questione dell'integrità della catena di fornitura sta diventando sempre più esplosiva. Ciò significa principalmente: conosco tutti i fornitori/prestatori di servizi nella mia catena di approvvigionamento? E non solo le dipendenze dirette, ma anche transitorie! L'intera catena di fornitura è documentata in modo tale che, in caso di lacuna nelle librerie utilizzate, si possa dire direttamente se il proprio software è interessato? Sia perché usi la libreria direttamente tu stesso o una delle dipendenze transitorie.
L'"integrità della catena di approvvigionamento" viene rapidamente messa al centro dell'attenzione, soprattutto durante gli incidenti di sicurezza. In tali casi, si cerca di limitare i danni il più rapidamente possibile. A seconda dell'ambiente, ci sono anche varie soluzioni tecniche per questo: patch (virtuali), aggiornamenti delle dipendenze software, SLA con fornitori di servizi e molto altro. Sfortunatamente, come spesso accade quando il dolore acuto è passato, l'interesse per esso svanisce rapidamente una volta che il peggio è passato.
Gestisci la catena di fornitura in modo efficiente
Dovrebbe essere chiaro a tutti che l'integrità della catena di fornitura non è qualcosa che dovrebbe essere affrontato sempre rapidamente con un "cerotto" tecnico. Piuttosto, si tratta di stabilire processi appropriati (e anche procedure tecniche) che vi aiutino a gestire in modo efficiente l'integrità della vostra catena di approvvigionamento. Questo di solito si traduce in una superficie di attacco più piccola e almeno in un database migliore che riduce l'indagine manuale in caso di incidente di sicurezza.
Sfortunatamente, stabilire processi per mantenere l'integrità della propria catena di fornitura software è spesso noioso. Tanto più che non si tratta solo di aspetti tecnici di protezione, ma c'è anche una componente umana e amministrativa. Inoltre, rispetto alla sicurezza informatica tecnica, le conoscenze e il personale specializzato sono scarsi.
Suggerimenti dal Dipartimento del Commercio degli Stati Uniti
La nuova versione del Pubblicazione speciale NIST SP800-161r1 ("Pratiche di gestione del rischio della catena di approvvigionamento di sicurezza informatica per sistemi e organizzazioni"). Questo contiene un'introduzione completa al background, ai contributori e all'implementazione di catene di fornitura software sicure. Le procedure e gli scenari di esempio in esso documentati forniscono una visione eccellente dell'implementazione, ma anche dei vantaggi delle catene di fornitura di software sicure.
Ciò rende la pubblicazione del NIST una risorsa molto preziosa per chiunque cerchi di migliorare l'integrità della propria catena di fornitura di software. E questo dovrebbe essere importante per tutti! L'esperienza mostra che gli aggressori si concentrano su modelli di attacco che funzionano. E quella prova è sicuramente lì per gli attacchi alla catena di approvvigionamento. Pertanto, ora ci si dovrebbe occupare della protezione e della documentazione della catena di approvvigionamento, perché la prossima volta sarà troppo tardi. In altre parole, si è così impegnati con la difesa che i processi comunque non giocano alcun ruolo. E così il dilemma ricomincia.
Altro su TrendMicro.com
Informazioni su TrendMicro In qualità di uno dei principali fornitori mondiali di sicurezza IT, Trend Micro contribuisce a creare un mondo sicuro per lo scambio di dati digitali. Con oltre 30 anni di esperienza nella sicurezza, ricerca sulle minacce globali e costante innovazione, Trend Micro offre protezione per aziende, agenzie governative e consumatori. Grazie alla nostra strategia di sicurezza XGen™, le nostre soluzioni beneficiano di una combinazione intergenerazionale di tecniche di difesa ottimizzate per ambienti all'avanguardia. Le informazioni sulle minacce in rete consentono una protezione migliore e più rapida. Ottimizzate per carichi di lavoro cloud, endpoint, e-mail, IIoT e reti, le nostre soluzioni connesse forniscono visibilità centralizzata in tutta l'azienda per un rilevamento e una risposta più rapidi alle minacce.