Drie bewezen stappen om uw software supply chain te beveiligen

Computercode is de fundering voor elk stuk technologie, van smartphones tot robots en de netwerken die ze verbinden. In de digitale wereld van vandaag, maakt dat code ook deel uit van de fundering voor veel – zo niet de meeste – bedrijven en diensten.

Hackers erkennen dit feit en benutten het. Een recent, hoogprofiel voorbeeld is de aanval op FireEye die meerdere trojanized updates van SolarWinds software gebruikte. Door softwareleveranciers te targeten, waren hackers in staat om backdoors te installeren in bedrijven die, op hun beurt, hen in staat stelden hun beoogde doelen te bereiken: de overheidsinstanties die diensten ontvingen van die bedrijven.

Deze aanvalsmethode benut ook vertrouwen. Bedrijven, overheden en andere klanten gaan ervan uit dat als een software- of firmware-update van de leverancier komt, het veilig is om te installeren. Sommigen zullen vertrouwen maar verifiëren; ze controleren de website van de leverancier voor de hash-waarde van de update en vergelijken die met de download. Als ze matchen, gaan ze ervan uit dat het vrij is van kwetsbaarheden.

Dit vertrouwen creëert kansen voor kwaadwillende actoren die in staat zijn de broncode tijdens het ontwikkelproces te manipuleren. Als resultaat downloaden gebruikers onwetend een exploit, die vaak weken of maanden stilzwijgend zit terwijl hij zich door een organisatie verspreidt om uiteindelijk een roster van partners, leveranciers of klanten aan te vallen. Hoe kunnen organisaties zich beschermen?

Houd slechte actoren buiten

Een supply chain risk management (SCRM) programma is cruciaal voor het mitigeren van bedreigingen en kwetsbaarheden inherent aan de adoptie en integratie van derde-partij producten en diensten. Het dekt mensen, processen en technologie, en strekt zich over meerdere afdelingen waaronder beveiliging, IT, human resources (HR), inkoop en juridisch. Het is met name belangrijk om een bedrijfs SCRM programma uit te breiden in de software development life cycle (SDLC). In het proces creëert het SCRM programma een cultuur van beveiliging waar iedereen deelnemer is en afgestemd is op hetzelfde doel.

Binnen de SDLC, richt een SCRM programma zich op de mensen die de code en gerelateerde bronnen zoals toolsets hoeven aan te raken. Begrijpelijk, moeten deze werknemers grondig worden gescreend tijdens het wervingsproces, inclusief achtergrondchecks om eventuele banden met criminele activiteiten en/of naties te identificeren.

Bedrijven die uitzendbureaus gebruiken, moeten ervoor zorgen dat het bureau hun unieke en specifieke vereisten begrijpt. Bijvoorbeeld, bedrijven moeten weten wie hun uitzendbureaus zijn en of ze een aanwezigheid hebben in landen met een geschiedenis van state-sponsored cybercrime. Wanneer bedrijven omgaan met proprietaire en vertrouwelijke informatie, willen ze niet dat uitzendbureaus' remote kantoren hen CV's en kandidaten voeden die potentiële insider threat plants zijn. Naties-aanvallers richten zich steeds meer op het krijgen van hun mensen in getargete organisaties. Ze hebben de financiële middelen om mensen te trainen, die gecodeerde vaardigheden en andere gezochte referenties tonen die hun CV's naar de top van de stapel tillen. Dit is iets waar HR-teams en hiring managers zich bewust van moeten zijn.

Het is mogelijk dat sommige slechte actoren door zelfs de meest zorgvuldige screening en wervingsprocessen glijden. Daarom is het belangrijk om werknemersactiviteit te monitoren via een goed gedefinieerd insider threat programma om ongebruikelijke en verdachte gedragingen te identificeren zoals onbevoegde escalatie van privileges en toegang tot systemen, programma's en applicaties.

Een SCRM programma moet ook de identificeren die de code en gerelateerde bronnen zoals toolsets hoeven aan te raken, en dan beveiligingsmaatregelen implementeren om al dat weg te houden van iedereen anders. Eenmaal de code gelicenseerd is, moet het de enige bron zijn voor de geautoriseerde ontwikkelaars, wat betekent dat ze geen extra code van buitensources mogen binnenslepen. Eigenlijk, zodra de code al beoordeeld en gecontroleerd is, willen bedrijven niet dat ontwikkelaars uitgaan om code van nieuwe bronnen te halen die nog niet beoordeeld zijn op beveiligingsrisico's. Deze best practice mitigeert kwetsbaarheden zoals backdoors begraven in onbevoegde code onwetend gebruikt door geautoriseerde ontwikkelaars of ongedocumenteerde portals verborgen door onbevoegde gebruikers.

Onderzoek en controleer

Strakte controle over technologie biedt een extra beschermingslaag. Bijvoorbeeld, zelfs wanneer werknemers intern overplaatsen, overweeg ze een nieuwe laptop te geven met een image specifiek gemaakt voor hun nieuwe rol en afdeling. Schakel ook alle eerder verworven toegang uit die niet meer vereist is. Dit helpt ervoor te zorgen dat data en toegang geprivilegieerd blijft.

De IT-afdeling zou ook brandnieuwe computers moeten re-imagen voordat ze aan ontwikkelaars worden uitgegeven. Het gebruik van de standaard, vendor-geleverde image zou backdoors kunnen creëren als het besturingssysteem en eventuele pre-geïnstalleerde bloatware gecompromitteerde code hebben. In plaats daarvan, creeer een custom, gehardede image voor die apparaten.

Alle nieuwe typen hardware en software moeten initieel voor een bepaalde periode in een sandbox worden geplaatst. Dit geeft de IT-afdeling de tijd om hun gedrag te onderzoeken, zoals het maken van ongevraagde calls naar het internet om data op te halen. Het creëert ook een baseline om plotselinge gedragsveranderingen maanden of jaren later te detecteren die kunnen wijzen op compromittering.

Creëer een cultuur van beveiliging

Dit is veel om te overwegen, wat benadrukt waarom SCRM een cross-organisatie inspanning moet zijn. Bijvoorbeeld, de juridische afdeling moet ervoor zorgen dat leveranciers- en partnercontracten taal bevatten over audits om te waarborgen dat alle vereisten worden gevolgd. Tegenovergesteld, kan HR helpen regels voor het screenen van kandidaten ontwikkelen en afdwingen.

C-level buy-in en leiderschap zijn sleutel voor het bereiken van dit soort teaminspanning en ervoor zorgen dat de middelen beschikbaar zijn om een SCRM programma te implementeren. Dit produceert een cultuur van beveiliging die de hele organisatie overspant en beveiliging transformeert van een nagedachte in een fundamenteel onderdeel van het ontwikkelproces.

Michael Iwanoff is chief information security officer bij iconectiv.