De paden naar de gegevens van een organisatie beschermen

Over de hele wereld ondergaan bedrijven van elke omvang en in alle sectoren een vorm van IT. transformatie. Bedrijven hebben de digitalisering van hun interne en externe bedrijfsvoering zelfs met drie tot vier jaar versneld sinds een pandemie de wereld op zijn kop zette. Hoewel COVID-19 kan worden beschouwd als een belangrijke versneller voor deze verandering, erkennen organisatieleiders ook het strategische belang van het inbedden van technologie in hun hele bedrijf.

Voor velen zal de transformatie worden aangedreven door de acceptatie van commerciële kant-en-klare software van derden die intern wordt geïmplementeerd, SaaS-applicaties (Software-as-a-Service) die gevoelige gegevens hosten, en open-source bibliotheken van derden die worden gebruikt om software te bouwen. Hoewel de introductie van moderne technologie een teken is van noodzakelijke vooruitgang, mogen bedrijven de potentiële beveiligingsrisico's die met al deze innovatie gepaard gaan, niet over het hoofd zien. Het overwicht van softwaretoeleveringsketens zal nietsvermoedende bedrijven op nieuwe en complexe manieren blootstellen, waardoor de grenzen van traditionele beveiligingsmaatregelen worden verlegd.

Kwetsbare softwaretoeleveringsketens hebben zelfs de aandacht getrokken van de Amerikaanse overheid, wat de urgentie van dit groeiende cyberbeveiligingsrisico bevestigt. In mei hebben regeringsleiders de eerste stap gezet om proactief de potentiële bedreigingen aan te pakken die op de loer liggen in een groeiend ecosysteem van afhankelijkheden van derden. Executive Order 14028 schetst een plan waarin de regering wordt opgeroepen "gedurfde veranderingen en aanzienlijke investeringen aan te brengen om de vitale instellingen te verdedigen die de Amerikaanse manier van leven ondersteunen". De E. O. legt in het bijzonder de nadruk op de beveiliging van kritieke software” die, zo merkt de regering op, “ontbreekt aan transparantie, voldoende focus op het vermogen van de software om aanvallen te weerstaan, en adequate controles om manipulatie door kwaadwillende actoren te voorkomen.”

Het National Institute of Standards and Technology (NIST) schetste de beveiligingsmaatregelen voor het beschermen van kritieke software, met een scherpe focus op de verdedigingen die nodig zijn om gegevens te beschermen, niet alleen de systemen en het netwerk eromheen. Deze benadering, die zich richt op het beschermen van de gegevens en alle paden ernaartoe, erkent het hardnekkige probleem van softwaretoepassingen en bibliotheken van derden die directe toegang hebben tot gevoelige gegevens. Zoals blijkt uit de succesvolle aanvallen die de afgelopen maanden zijn uitgevoerd, moeten bedrijfsorganisaties rekening houden met de leverancier van een leverancier of software van derden die hun applicaties en interfaces ondersteunt, willen we de dreiging van aanvallen op de toeleveringsketen van software echt verminderen.

Een complex ecosysteem

Historisch gezien hebben bedrijven zich gericht op de risico's van hun directe leveranciers en de kritieke software waarop ze vertrouwen. Die houding is niet meer voldoende, want I.T. transformatie verlegt de grenzen van het traditionele netwerk en maakt legacy-besturingselementen minder effectief.

Hoewel een bedrijf mogelijk over de juiste beveiligingsmaatregelen beschikt, betekent dit niet dat zijn leveranciers in de hele softwaretoeleveringsketen dat doen. De beveiligingsstrategie kan niet langer vertrouwen op alles uit het ecosysteem, zelfs niet van partners en leveranciers. De groeiende softwaretoeleveringsketen, samen met de complexiteit van moderne applicaties, betekent dat kwetsbaarheden sneller zullen worden geïntroduceerd. Om de groeiende schaal van aanvallen binnen de levenscyclus van softwareontwikkeling aan te pakken, moeten organisaties een bedreigingsmodel toepassen dat alle onderdelen van de toeleveringsketen omvat, inclusief code van derden.

Moderne applicaties worden aangedreven door een complex ecosysteem van Application Programming Interfaces (API's), microservices en serverloze functies. Met meer kortstondige workloads en gedistribueerde architecturen, is er geen wondermiddel voor pre-productie software-analyse. Zelfs in de meest rigoureuze levenscyclus van softwareontwikkeling (SDLC), betekent de complexiteit van de ontwikkeling dat er kwetsbaarheden worden geïntroduceerd. Dit is opnieuw de reden waarom het beschermen van alle paden naar de gegevens de fundamentele strategie voor organisaties moet zijn.

Het probleem direct aanpakken

Zoals blijkt uit eerdere aanvallen op de softwaretoeleveringsketen, manoeuvreren kwaadwillenden heimelijk binnen de softwareleveringsketen door misbruik te maken van de kwetsbaarheid in een softwareverbinding van derden, deze te gebruiken om lateraal te bewegen en uiteindelijk toegang te krijgen tot de gegevens van het doelwit.

De beveiliging van webtoepassingen moet evolueren en meer gericht zijn op het identificeren van runtime-toepassingsgedrag, bijvoorbeeld of code van derden verantwoordelijk is voor ongewenste acties. Alleen door onverwacht gedrag te blokkeren, kan nieuw aanvalsgedrag worden voorkomen. Dit zal van cruciaal belang zijn aangezien enterprise-IT. evolueert naar diverse, moderne applicatie-omgevingen.

Programma's voor het scannen van toepassingen zijn geweldig, maar het is onwaarschijnlijk dat ze gecompromitteerde software van derden identificeren die is ingebed in toepassingen. Perimetertools kunnen worden misleid door schijnbaar onschuldig verkeer van applicaties totdat de handtekeningen worden gepubliceerd. Ten slotte, hoewel veel bedrijven eindpuntbeveiliging implementeren, is deze technologie vaak blind voor applicatie-aanvallen, omdat ze in de vroege stadia zelden gebruikersapparaten hoeven aan te raken.

In plaats daarvan moeten bedrijven runtime application self-protection (RASP) implementeren om aanvallen in realtime en vanuit een applicatie te detecteren en te voorkomen. Deze technologie, aanbevolen in NIST SP 800-53 Revisie 5, kan aanvallen tot op een exacte coderegel lokaliseren en automatisch misbruik van een kwetsbaarheid stoppen, waardoor organisaties de tijd krijgen die nodig is om kwetsbaarheden volgens hun eigen schema te patchen.

Om innovatie mogelijk te maken en een concurrentievoordeel te behouden, moeten organisaties hun activiteiten moderniseren. Een groot deel van deze transformatie zal afhankelijk zijn van applicaties en services van derden.

Kwetsbaarheden in software en applicaties zijn echter fundamentele beveiligingsproblemen en bedrijven moeten er rekening mee houden. Als zodanig moeten ze de nadruk leggen op hun verdediging, met name de API's die hun digitale transformatie ondersteunen.

Nu aanvallers heimelijke manieren vinden om verdedigingen te omzeilen en toegang te krijgen tot de onderliggende gegevens, is het essentieel dat de juiste controles aanwezig zijn en dat de juiste tools worden gebruikt om gegevens en alle paden ernaartoe echt te beschermen.

Peter Klimek is directeur technologie, Office of the CTO, bij Imperva.