Поделиться через

Атаки на цепочки поставок

  • Статья

Атаки на цепочку поставок — это новые угрозы, нацеленные на разработчиков программного обеспечения и поставщиков. Цель — получить доступ к исходным кодам, процессам сборки или механизмам обновления путем заражения допустимых приложений для распространения вредоносных программ.

Как работают атаки на цепочку поставок

Злоумышленники ищут небезопасные сетевые протоколы, незащищенные серверные инфраструктуры и небезопасные методы написания кода. Они прерывают, изменяют исходные коды и скрывают вредоносные программы в процессах сборки и обновления.

Так как программное обеспечение создается и выпускается доверенными поставщиками, эти приложения и обновления подписываются и сертифицированы. При атаках на цепочку поставок программного обеспечения поставщики, скорее всего, не знают, что их приложения или обновления заражены вредоносным кодом при их публикации для общественности. Затем вредоносный код выполняется с тем же доверием и разрешениями, что и приложение.

Число потенциальных жертв является значительным, учитывая популярность некоторых приложений. Произошел случай, когда бесплатное приложение сжатия файлов было отравлено и развернуто для клиентов в стране или регионе, где оно было лучшим служебным приложением.

Типы атак в цепочке поставок

  • Скомпрометированные средства создания программного обеспечения или обновленная инфраструктура

  • Украденные сертификаты для подписи кода или подписанные вредоносные приложения с помощью удостоверения компании разработчика

  • Скомпрометированный специализированный код, поставляемый в компоненты оборудования или встроенного ПО

  • Предварительно установленные вредоносные программы на устройствах (камеры, USB, телефоны и т. д.)

Чтобы узнать больше об атаках на цепочку поставок, прочитайте эту запись блога под названием атака начала: скомпрометированные цепочки поставок в цепочке поставок представляют новые риски.

Защита от атак цепочки поставок

  • Разверните надежные политики целостности кода, чтобы разрешить запуск только авторизованных приложений.

  • Используйте решения для обнаружения конечных точек и реагирования, которые могут автоматически обнаруживать и устранять подозрительные действия.

Для поставщиков и разработчиков программного обеспечения

  • Поддерживайте высокозащищенную инфраструктуру сборки и обновления.

    • Немедленно примените исправления для системы безопасности для ОС и программного обеспечения.
    • Реализуйте обязательные элементы управления целостностью, чтобы обеспечить выполнение только доверенных средств.
    • Требовать многофакторную проверку подлинности для администраторов.

  • Создание безопасных средств обновления программного обеспечения в рамках жизненного цикла разработки программного обеспечения.

    • Требовать SSL для каналов обновления и реализовывать закрепление сертификата.
    • Подпишите все, включая файлы конфигурации, скрипты, XML-файлы и пакеты.
    • Проверьте наличие цифровых подписей и не позволяйте средству обновления программного обеспечения принимать универсальные входные данные и команды.

  • Разработка процесса реагирования на инциденты для атак в цепочке поставок.

    • Раскрывать инциденты цепочки поставок и уведомлять клиентов точной и своевременной информацией

Более общие советы по защите систем и устройств см. в статье Предотвращение заражения вредоносными программами.