Взлом SolarWinds 드러내 уязвимости IoT и безопасности цепочек поставок

Независимо от отрасли, кибератаки кажутся растущими в масштабах и сложности.

Масштабная хакерская кампания, запущенная Россией три месяца назад — задевшая до 18 000 клиентов tejasского разработчика ПО SolarWinds Corp. — является эgregиous примером далекой досягаемости потенциальной атаки на цепочку поставок.

Термин «риск цепочки поставок» — это большой зонтик, покрывающий множество угроз безопасности и уязвимостей. В случае SolarWinds злоумышленники, якобы работавшие от имени иностранного правительства, внедрили троян в обновления популярного инструмента SolarWinds Orion. Атака оставила потенциальные закладки для доступа к сотням компаний и девяти федеральным агентствам. И это только то, что мы знаем — мы, вероятно, будем обнаруживать последствия этого взлома еще годами.

Другие риски цепочки поставок могут проявляться как уязвимости безопасности, «запеченные» в электронных устройствах. Производители смартфонов, принтеров, маршрутизаторов, IoT-устройств и систем критической инфраструктуры покупают компоненты у третьих сторон. Эти компоненты поставляются с встроенным микрокодом, в котором могут уже существовать уязвимости. Более того, часть этого микрокода не писалась производителем, а берется из открытого кода, поддерживаемого волонтерами IT-сообщества.

Вот что более широкая индустрия цепочек поставок должна знать о кибератаках.

Скрытое программное обеспечение

Существует растущее движение закупщиков, требующих исчерпывающие списки программного обеспечения внутри устройства — но пока производители редко предоставляют их. Этот список, известный как спецификация программного обеспечения (SBOM), является ключом к безопасности цепочки поставок, но важно отметить, что он не является панацеей. Например, SBOM не كشف бы закладку в SolarWinds. Нужно было, чтобы член команды безопасности проанализировал итоговые файлы ПО самостоятельно, прежде чем они были выпущены клиентам.

Безопасность на заднем плане

Разработчики ПО и производители устройств перешли на процессы быстрой разработки. На стороне ПО эта гибкая структура (agile) толкает многочисленные и быстрые обновления — иногда для добавления функций, иногда для исправления уязвимостей. Подобное давление существует и на стороне устройств — особенно для IoT-устройств, продаваемых как товары массового потребения оптом.

В любом случае, безопасность часто оказывается на заднем плане. От руководства организации зависит признание риска неприоритизации безопасности, а от команд разработки — проактивность в смягчении этих рисков до их эксплуатации. Реальность такова, что злоумышленники опережают индустрию. Это поставило организации в реактивную позу и породило множество регуляций и стандартов. Для компаний, производителей и покупателей важнее чем когда-либо采取 проактивный подход.

Потенциал для доступа

Глобальные цепочки поставок стали особенно привлекательными мишенями из-за их в значительной степени связанных и часто плохо защищенных систем. Обычная практика — дублирование ПО в более чем одном устройстве — означает, что если хакер находит уязвимость в камере дверного звонка, возможно эксплуатация и другого бренда дверного звонка, умного телевизора, подключенного холодильника или домашнего термостата.

Для хакеров уязвимость, затрагивающая одно устройство, незначительна, потому что монетизировать такие взломы трудно, но первазивные уязвимости цепочки поставок могут быть гораздо более ценными. Для руководителей цепочек поставок важно подумать обо всех устройствах в вашем бизнесе, которые могут дать возможность перехода к другим системам.

Взлом SolarWinds стал сигналом тревоги для многих в кибербезопасном сообществе и за его пределами. Для других это было подтверждением того, что мы уже знали и над чем так усердно работали, чтобы предотвратить.

Самый важный урок этой атаки — нам нужно переоценить доверие, которое мы возлагаем на поставщиков, ПО и устройства. Независимо от того, где вы находитесь в цепочке поставок — от корпоративного пользователя ПО до OEM или поставщика ПО — вы, вероятно, кладете невероятное количество доверия в своих вендоров и их продукты. Нам нужно передумать, как мы оцениваем эти отношения доверия, и, что важнее всего, понять, как мы можем верифицировать безопасность этого ПО, микрокода и оборудования на протяжении всего жизненного цикла.

Мэтт Уайкхаус — основатель и CEO Finite State.