Mitiga gli attacchi alla catena di fornitura software con SIEM ed EDR

Al Black Hat 2019, Eric Doerr, GM del Microsoft Security Response Center, ha ricordato ai partecipanti l'interconnessione delle catene di fornitura del software aziendale e la loro vulnerabilità agli attacchi. Eric ha evidenziato come i compromessi nella catena di fornitura si presentino in molte forme:

• Manipolazione del codice sorgente e delle dipendenze
• Sostituzione o danneggiamento delle immagini binarie fornite
• Spoofing dei meccanismi di distribuzione e aggiornamento
• Strumenti e ambienti di sviluppo adulterati
• Inclusione di malware mascherato da elementi manifest validi
• Attacchi basati sui servizi

L’elenco dei vettori di attacco alla supply chain è lungo e nefasto e, naturalmente, si applica anche all’hardware: periferiche, apparecchiature di rete, dispositivi IoT e persino server blade.

Le migliori pratiche di sicurezza informatica della catena di fornitura impongono una serie di difese semplici:

• Certificazione del fornitore, che richiede la fornitura da parte del fornitore di report di scansione e distinte base (BOM) sottoposte a controllo incrociato
• Screening del malware in entrata e applicazione di strumenti di analisi della composizione software (SCA) per la gestione delle vulnerabilità
• Controlli pre-distribuzione simili durante test/QA

Ma come ha sottolineato Eric, “Io faccio parte della vostra catena di approvvigionamento e tu probabilmente sei nella mia. Il software e i servizi prodotti da un fornitore possono finire nei manifest e negli stack di altri fornitori, propagandosi in profondità tra fornitori e consumatori. La molteplicità di organizzazioni, codici e servizi in questa cascata di offerta e consumo garantisce quasi l’inclusione di vulnerabilità sfruttabili e codice ostile incorporato.

Oggi, a fronte del sourcing internazionale, della commistione di codice proprietario e open source e dell’enorme variabilità nelle pratiche dei fornitori, garantire la catena di fornitura aziendale rasenta l’impossibile. Quali misure possono adottare i CISO e i team di sicurezza IT per mitigare i rischi derivanti dal software e firmware forniti dai fornitori e dalla comunità?

Il primo passo è sviluppare una strategia. Certamente ha senso seguire e applicare le pratiche di sicurezza della catena di fornitura sopra descritte. Ma come mitigare le minacce che sopravvivono alla sfida fornitore-consumatore? Una volta superate queste protezioni, avendo aggirato in modo efficace le difese perimetrali, gli attacchi alla catena di fornitura possono impazzire sulle vostre reti, all'interno delle vostre applicazioni e dei vostri dati, alla pari con l'escalation dei privilegi e gli attacchi interni di alto livello.

Fino a quando la moderna catena di fornitura del software non ripulirà il suo operato, attraverso l'autoregolamentazione o un mandato governativo, il modo migliore per mitigare il rischio di approvvigionamento è con una gestione completa delle informazioni e degli eventi di sicurezza (SIEM) - che integra monitoraggio della sicurezza, rilevamento e risposta alle minacce, combinato con Endpoint Rilevamento e risposta (EDR). EventTracker SIEM ed EDR di Netsurion affrontano insieme le minacce alla catena di fornitura, come segue:

• Il monitoraggio delle minacce del Security Operations Center (SOC) certificato ISO 24 ore su 24, 7 giorni su 7, rileva e avvisa sulle minacce originate all'interno della rete, inclusi gli attacchi provenienti da software e firmware della catena di fornitura
• Gli avvisi in tempo reale e la risposta agli incidenti generano avvisi basati su regole, inclusa la risposta alle modifiche nei repository del codice sorgente o agli aggiornamenti delle immagini binarie di terze parti
• EventTracker integra feed di dati sulle minacce per il confronto con l'output degli strumenti SCA e i report di scansione dei fornitori
• I sensori degli endpoint rilevano comportamenti sospetti di applicazioni, strumenti, ambienti derivati dalla catena di fornitura, nonché servizi di terze parti e bloccano la copia e il download non autorizzati di file
• Gli strumenti forensi basati su Elastic Search consentono la ricerca e l'analisi forense delle basi software fornite dai fornitori e dalla comunità per individuare le minacce note negli stack di sistemi e applicazioni
• Il dashboard e l'interfaccia utente moderna semplificano l'analisi durante l'ingresso di software di terze parti e i processi di test/QA del software

Nel panorama odierno, caratterizzato da relazioni ecosistemiche intrecciate e da una complessa provenienza di software e firmware, proteggere la catena di fornitura tecnologica può essere un compito scoraggiante o quasi impossibile. I CISO si preoccupano di controllare completamente l’integrità dell’approvvigionamento di software e hardware. Perdono il sonno pensando al potenziale ingresso di codice dannoso e vulnerabile attraverso gli acquisti, lo sviluppo, l'IT e altri punti di ingresso. Con Netsurion SIEM ed EDR, i CISO e i professionisti della sicurezza possono stare tranquilli e gli sviluppatori continuano a sfruttare software e firmware dell'ecosistema di alto valore. Provalo oggi.