De datareis van uw organisatie beveiligen: een strategie voor softwareketens

Wereldwijd doorlopen bedrijven van alle omvang en sectoren een IT-transformatie. Sinds de pandemie is de digitalisering van interne en externe processen met drie tot vier jaar versneld. Hoewel COVID-19 een katalysator was, erkennen leiders ook de strategische waarde van technologie-integratie in hun kernactiviteiten.

Complexiteit van de softwareketen

Veel transformaties worden gedreven door derdensoftware (COTS), SaaS-toepassingen die gevoelige data hosten, en open-source bibliotheken. Deze innovaties brengen wel beveiligingsrisico's met zich mee. De uitbreiding van softwareketens blootstelt bedrijven op nieuwe, complexe manieren, waardoor traditionele verdediging onvoldoende blijkt.

Kwetsbare softwareketens kregen ook de aandacht van de VS-overheid. In mei 2021 werd Executive Order 14028 getekend, met nadruk op de beveiliging van kritieke software die 'transparantie mist, onvoldoende focus heeft op weerbaarheid tegen aanvallen, en onvoldoende controles om manipulatie te voorkomen'.

NIST-richtlijnen: data-centrische beveiliging

Het National Institute of Standards and Technology (NIST) stelde maatregelen op die zich richten op het beschermen van data zelf, niet alleen systemen en netwerken. Deze benadering erkent het onoplosbare probleem van derdenapplicaties en -bibliotheken met directe toegang tot gevoelige data. Recente aanvallen tonen aan dat organisaties rekening moeten houden met leveranciers van leveranciers (nth-party code) om supply-chain-aanvallen echt te mitigeren.

Een complex ecosysteem

Historisch richtten bedrijven zich op directe leveranciers. Die houding is niet meer voldoende: IT-transformatie vergroot de aanvalsoppervlakte en maakt legacy-controles minder effectief. Zelfs met goede beveiliging, garandeert dat niet dat leveranciers in de keten even veilig zijn. Vertrouwen in het ecosysteem is riskant; kwetsbaarheden komen sneller voor. Organisaties hebben een dreigingsmodel nodig dat alle delen van de keten omvat, inclusief nth-party code.

Moderne applicaties draaien op API's, microservices en serverless functies. Met effemere workloads en gedistribueerde architecturen is er geen 'zilveren kogel' voor pre-productie analyse. Zelfs in rigoureuze SDLC's duiken kwetsbaarheden op. Het beschermen van alle paden naar data moet dus de kernstrategie zijn.

Het probleem aanpakken

Eerdere supply-chain-aanvallen tonen aan dat aanvallers ongemerkt de keten in penetreren via kwetsbare derdenverbindingen, lateraal bewegen en uiteindelijk toegang krijgen tot data.

Webapplicatiebeveiliging moet evolueren naar runtime-gedragsanalyse: is derdencode verantwoordelijk voor ongewenste acties? Alleen door onverwacht gedrag te blokkeren, voorkom je nieuwe aanvalsvormen. Dit is cruciaal naarmate enterprise IT evolueert naar diverse, moderne omgevingen.

Applicatiescanners zijn waardevol, maar identificeeren zelden gecompromitteerde derdensoftware in apps. Perimetertools worden bedrogen door schijnbaar onschuldige verkeer totdat handtekeningen gepubliceerd zijn. Endpoint-beveiliging is vaak blind voor applicatie-aanvallen, omdat deze in vroege stadia geen gebruikersapparaten hoeven te raken.

De oplossing: Runtime Application Self-Protection (RASP). Deze technologie, aanbevolen in NIST SP 800-53 Revision 5, detecteert en voorkomt aanvallen in realtime vanuit de applicatie zelf. RASP kan aanvallen terugvoeren tot een exacte coderegel en exploitatie automatisch stoppen, wat organisaties de tijd geeft om patches op eigen planning door te voeren.

Conclusie

Om innovatie en concurrentievoordeel te behouden, moeten organisaties moderniseren, vaak afhankelijk van derdenapplicaties. Softwarekwetsbaarheden zijn fundamentele beveiligingskwesties. Bedrijven moeten hun verdediging versterken, met name de API's die hun digitale transformatie ondersteunen. Met aanvallers die stille routes naar data zoeken, zijn de juiste controles en tools essentieel om data en alle paden ernaartoé daadwerkelijk te beschermen.

Peter Klimek is director of technology, Office of the CTO, bij Imperva.