Letztes Jahr wurden mehr als 20 000 häufige Schwachstellen und Expositionen (CVEs) in der National Vulnerability Database (NVD) veröffentlicht. Das sind 10 % mehr als 2020 und stellt ein neues Allzeithoch für das fünfte Jahr in Folge dar. Das Management der Cyberrisiken, die mit diesen Fehlern verbunden sind, wäre zu den besten Zeiten eine Herausforderung. Aber es wird noch schwieriger, wenn Unternehmen ihre digitalen Investitionen ausbauen und selbst entwickelte Softwareprojekte beschleunigen.
Wie der Technologiestratege von Tanium Tim Morris in einem neuen Video erklärt, ist der Schlüssel zur Bewältigung dieser spiralförmigen Lieferkettenkomplexität – und zur Abwehr von Software-Lieferkettenangriffen –, vollständige Transparenz darüber zu erhalten, was läuft, und dann die Kontrolle, um Probleme zu beheben.
Was ist Software Supply Chain Management?
Lieferketten sind ein wesentlicher Kanal, um die Produkte herzustellen, die wir jeden Tag konsumieren. Ob es sich um eine neue Jeans oder eine Flasche Aspirin handelt, es gibt eine Liste von Zutaten oder Materialien, die von Lieferanten bereitgestellt werden. Die Software ist im Gesicht nicht anders. Software wird aus Basiskomponenten zusammengesetzt, und diese Komponenten werden von den mehreren Entwicklern, Teams und Unternehmen erstellt, die die Software-Lieferkette ausmachen. Im Gegensatz zu den meisten hergestellten Waren ist es jedoch unwahrscheinlich, dass die Organisationen, die Software verwenden, eine praktische Liste von Inhaltsstoffen haben, die von ihren Anbietern bereitgestellt werden.
Tatsächlich werden Software-Lieferketten immer komplexer, da immer mehr DevOps-Teams versuchen, Produkte intern mithilfe von Open-Source-Code von Drittanbietern zu entwickeln. Während dies die Amortisierungszeit beschleunigt, schafft es zusätzliche Opazität und könnte die Organisation einem zusätzlichen Risiko aussetzen. Sehen Sie sich einfach das Dienstprogramm Log4j an. Wenn Bugs in „russischen Puppen“ von komprimierten Dateien versteckt werden, wird es schwieriger, CVEs in der Umgebung zu finden und zu beheben, wenn sie ans Licht kommen.
All dies ist ein Magnet für Bedrohungsakteure. Open-Source-Code hat die Angriffsfläche des Unternehmens erheblich erweitert und ihnen mehr Möglichkeiten hinzugefügt, bekannte Fehler im Code auszunutzen und sogar neue in Codebibliotheken einzuspeisen. Das ist nicht alles. Angreifer erhöhen auch die Bemühungen, vertrauenswürdige proprietäre Software zu kompromittieren. Dies wurde beispielsweise mit SolarWinds gemacht.
Die Lieferkettensicherheit beginnt mit dem Sehen der Komponenten innerhalb der Komponenten
All dies geschieht auf dem Endpunkt, was dies zur neuen Frontlinie im Kampf gegen Cyberrisiken macht. Die Herausforderung besteht darin, dass die Sicherheitsteams von heute nicht nur verstehen müssen, welche Anwendungen über diese Endpunkte hinweg laufen, sondern auch, welche Komponenten innerhalb dieser Anwendungen verwendet werden. Was ist, wenn beispielsweise ein versteckter Fehler in einer dieser Komponenten vorhanden ist? Oder wenn die Komponente selbst falsch konfiguriert wurde und jetzt gefährdet ist?
Dies geschieht auch im Kontext einer Endpunktumgebung, die seit Tagen vor der Pandemie erheblich gewachsen ist. Dank einer Explosion bei Remote-Arbeitsgeräten und Cloud-Investitionen war die Angriffsfläche noch nie breiter. Und die Bösewichte brauchen nur einmal Glück.
Zeit für Aktion
Wie sieht also das Best-Practice-Risikomanagement für die Software-Lieferkette aus? Es geht um die wesentlichen Cyber-Hygiene-Prinzipien: kennen, verwalten, sichern. Organisationen können nicht sichern, was sie nicht verwalten, und sie können nicht verwalten, was sie nicht wissen. Der erste Schritt besteht in der Visibilität dessen, was durch umfassendes Asset-Inventar (öffnet sich in einer neuen Registerkarte) und Konfigurationsmanagement läuft.
Tanium hilft, indem es diese Erkenntnisse kontinuierlich in Geschwindigkeit und Größenordnung liefert, sodass Teams Fragen zu ihrer Umgebung stellen, den Inhalt von Anwendungen aufschlüsseln und sofort Maßnahmen ergreifen können, wenn etwas nicht stimmt. Diese umfassende Visibilität unterstützt auch die Art der Echtzeitreaktion auf Vorfälle, die mit Tools wie Extended Detection and Response (XDR) einfach nicht möglich ist. Wenn die Bösewichte in Sekunden und Minuten arbeiten, können wir es uns nicht leisten, auf Vorfälle Tage später zu reagieren.
Erhalten Sie einen umfassenden Überblick über Ihre Risikolage mit unserer kostenlosen Risikobewertung. Fordern Sie noch heute Ihren Risikobericht an. (öffnet sich in einer neuen Registerkarte)
