SolarWinds Inbraak Onthult IoT en Supply-Chain Beveiligingskwetsbaarheden

Ongeacht de industrie, lijken cybersecurity inbraken in omvang en schaal te escaleren.

De uitgestrekte hackcampagne die drie maanden geleden door Rusland werd gelanceerd — die zo veel als 18.000 klanten van de Texas-gebaseerde softwaremaker SolarWinds Corp. beïnvloedde — is een flagrant voorbeeld van de verstrekkende impact van een potentiële supply-chain aanval.

De term “supply-chain risico” is een grote paraplu die veel beveiligingsbedreigingen en kwetsbaarheden dekt. In het SolarWinds geval trojaniseerden de dreigingsactoren, die waarschijnlijk namens een vreemde regering werkzaam waren, de software-updates van het populaire hulpmiddel SolarWinds Orion. De aanval liet potentiële backdoor toegangspunten achter bij honderden bedrijven en negen federale instanties. En dat is alleen wat we weten — we zullen de effecten van deze inbraak waarschijnlijk nog jaren lang ontdekken.

Andere supply-chain risico's kunnen zich manifesteren als beveiligingslekken gebakken in elektronische apparaten. Fabrikanten van smartphones, printers, routers, internet-of-things apparaten en kritieke infrastructuur systemen kopen componenten van derden. Deze componenten worden geleverd met ingebouwde firmware die bestaande beveiligingslekken kan hebben. Wat meer is, een deel van die firmware is niet door de fabrikant geschreven, maar komt van open-source code die door vrijwilligers in de I.T. gemeenschap wordt onderhouden.

Hier is wat de bredere supply-chain industrie moet weten over cyberaanvallen.

Verschuilde Software

Er is een groeiende beweging van inkopers die eisen om uitgebreide lijsten van de software binnen een apparaat — maar voor nu is het zeldzaam dat fabrikanten dit leveren. Die lijst, bekend als een software bill of materials (SBOM), is cruciaal voor supply-chain beveiliging, maar het is belangrijk om te noteren dat het geen wondermiddel is. Bijvoorbeeld, een SBOM zou de SolarWinds backdoor niet hebben opgespoord. Wat nodig was, was dat een beveiligingsteamlid de uiteindelijke softwarebestanden zelf analyseerde, voordat het aan klanten werd uitgegeven.

Een Achterste Plekje

Softwareontwikkelaars en apparaatfabrikanten zijn overgegaan op snelle ontwikkelprocessen. Aan de softwarekant duwt dit agile ontwikkelraamwerk talrijke en snelle updates, soms om nieuwe functies toe te voegen, af en toe om beveiligingslekken te repareren. Er is een vergelijkbare druk aan de apparaatkant van de vergelijking — en dit geldt met name voor IoT-apparaten die als commoditeitsproducten in bulk worden verkocht.

In beide gevallen eindigt beveiliging vaak op een achterste plekje. Het is aan de leiderschap van een organisatie om het risico van het niet prioriteren van beveiliging te erkennen, en het is aan ontwikkelteams om proactief te zijn in het mitigeren van die risico's voordat ze kunnen worden uitgebuit. De realiteit is dat aanvallers de industrie goed vooruit zijn. Dat heeft organisaties in een reactieve houding gebracht en geleid tot talrijke regelgeving en standaarden. Het is belangrijker dan ooit voor bedrijven, fabrikanten en inkopers alike, om een proactieve aanpak te hanteren.

Potentieel voor Toegang

Wereldwijde supply chains zijn met name aantrekkelijke doelen geworden vanwege hun grotendeels verbonden en vaak slecht beveiligde systemen. Het is gangbare praktijk om software in meer dan één apparaat te dupliceren — wat betekent dat als een hacker een kwetsbaarheid vindt in een deurbelcamera, het ook mogelijk kan zijn om een ander merk deurbel, een slimme TV, een verbonden koelkast of een huishoudelijke thermostaat te misbruiken.

Voor hackers is een kwetsbaarheid die één apparaat beïnvloedt onbeduidend, omdat het moeilijk is om die typen hacks te monetariseren, maar pervasieve supply-chain kwetsbaarheden kunnen veel meer waard zijn. Voor supply-chain executives is het belangrijk om na te denken over alle apparaten in uw bedrijf die pivots naar andere systemen kunnen mogelijk maken.

De SolarWinds inbraak was een wake-up call voor velen binnen de cybersecurity gemeenschap en daarbuiten. Voor anderen was het een bevestiging van wat we al wisten, en waar we zo hard aan gewerkt hebben om te voorkomen.

De belangrijkste les van deze aanval is dat we de vertrouwen dat we in leveranciers, software en apparaten stellen, moeten herbeoordelen. Ongeacht waar u in de supply chain zit, van een enterprise gebruiker van software tot een OEM tot een softwareleverancier, u plaatst waarschijnlijk een ongelooflijke hoeveelheid vertrouwen in uw leveranciers en hun producten. We moeten nadenken over hoe we die vertrouwensrelaties beoordelen, en het allerbelangrijkste, we moeten begrijpen hoe we de beveiliging van deze software, firmware en hardware door de gehele levenscyclus kunnen verifiëren.

Matt Wyckhouse is oprichter en CEO van Finite State.