Software-Lieferkettensicherheit umfasst den Schutz der digitalen Assets eines Unternehmens vor Cyberbedrohungen, die von einer externen Quelle stammen. Der Schwerpunkt liegt auf der Reduzierung von Schwachstellen, die von Drittanbietern, Open-Source-Software und Cloud-Services stammen. Die Sicherung der Software-Lieferkette ist eine wesentliche Praxis zum Schutz einer Organisation vor Cyberangriffen.
Der breitere Begriff „Lieferkette“ bezieht sich auf die große Bandbreite von Organisationen, die erforderlich sind, um ein Produkt oder eine Dienstleistung für den Kunden zu produzieren und bereitzustellen. In der heutigen Welt bezieht sich die Lieferkette häufig auf die Herstellung und den Transport physischer Waren, von denen viele durch die COVID-19-Pandemie, den Krieg in der Ukraine und andere globale Krisen gestört wurden.
Die „Software-Lieferkette“ ist ein schmalerer Teil dieser breiteren Lieferkette, der sich auf die Entwicklung und Bereitstellung von Anwendungen oder digitalen Diensten bezieht. Es ist die Software-Lieferkette und die Risiken, denen Unternehmen entlang der Kette ausgesetzt sind, die wir in diesem Erläuterungsprogramm ausführlich besprechen werden.
Die Software-Lieferkette umfasst zahlreiche Komponenten, darunter:
- Kommerzielle und Open-Source-Unternehmenssoftware
- Cloud-Dienste, einschließlich Software as a Service (SaaS),
Plattform as a Service (PaaS) und Infrastructure as a Service (IaaS)-Anbieter - Lieferanten, Anbieter und Auftragnehmer, die Dienstleistungen
wie IT- und Datenmanagement,
Softwareentwicklungund Cybersicherheit bereitstellen - Alle Parteien in einer Partnerschaft mit den oben genannten Unternehmen
Jede einzelne Verknüpfung in der Software-Lieferkette stellt ein potenzielles Sicherheitsrisiko dar, und zusammen bilden diese Verknüpfungen eine komplexe Bedrohungslandschaft. Der daraus resultierende Mangel an Visibilität in der gesamten Lieferkette macht Unternehmen Sicherheitsschwachstellen ausgesetzt, die überall dort lauern können, wo sie Geschäfte tätigen.
Software-Lieferkettenangriffe umfassen die Ausnutzung einer Sicherheitsschwachstelle bei einem oder mehreren der vertrauenswürdigen externen Softwarepartner und -anbieter eines Unternehmens. Angreifer nutzen diese gehackten Lösungen, um in die IT-Infrastruktur eines Unternehmens einzubrechen. Da diesen Drittunternehmen der Zugriff auf das Netzwerk, die Anwendungen und die Daten einer Organisation gewährt wurde, können Hacker sie verwenden, um zu den sensibelsten Bereichen eines Unternehmensnetzwerks zu gelangen und hochwertige Assets zu stehlen oder die Kontrolle über kritische Systeme zu übernehmen.
Einige der größten und kostspieligsten Datenschutzverletzungen in Unternehmen im letzten Jahrzehnt haben Software-Supply-Chain-Hacks mit sich gebracht. Während der 2013 Target-Kreditkartenverletzung haben Angreifer die Anmeldedaten eines Kältedienstleisters gestohlen, um Zugriff auf das Anbieterportal von Target zu erhalten und letztendlich Malware in seinem Point-of-Sale-System zu installieren. Die Diebe haben 40 Millionen Kreditkartennummern gestohlen und die persönlichen Daten von 70 Millionen Kunden gefährdet. Target musste aufgrund des Verstoßes einen Vergleich von 18,5 Millionen US-Dollar zahlen.
Während des 2020 -SolarWinds-Angriffs haben Hacker bösartigen
Code in die Orion-Infrastrukturüberwachungs- und Managementlösung des Anbieters injiziert, was es Angreifern ermöglichte, mehr als 100 Unternehmen und Regierungsbehörden auszuspionieren, darunter Microsoft,
Intel, Nvidia, das Ministerium für Heimatsicherheit und das
Finanzministerium.
Lieferkettenangriffe nehmen exponentiell zu, da die IT-Umgebung sich ausweitet, um Remote-Mitarbeiter im Zuge der Pandemie zu unterstützen – sie stiegen um mindestens 300 % von 2020 auf 2021
und infizierten laut zwei Schätzungen schätzungsweise drei von fünf Unternehmen im Jahr 2021. Verizon berichtet , dass mehr als 60 % der Systemintrusion-Vorfälle in 2021 über einen Partner oder ein Software-Update kamen.
Warum sind Software-Lieferketten anfällig?
Große Organisationen können Hunderte oder sogar Tausende von Anwendungen im täglichen Geschäftsverlauf für Dinge wie Enterprise Resource Planning, Business Intelligence und Customer Relationship Management verwenden. Schwachstellen in diesen Unternehmensanwendungen sind mit der zunehmenden Nutzung öffentlich zugänglicher Open-Source-Frameworks wie Struts und Spring als Bausteine für die Softwareentwicklung immer häufiger geworden.
Da Unternehmen wenig Einblick in diese Softwarekomponenten haben und diese kontrollieren, haben Hacker entdeckt, dass sie eine Reihe von Schwachstellen ausnutzen können, die potenziell in Open-Source-Code eingebettet sind.
Und es gibt viele. Gemäß dem Bericht zum Status der Open-Source-Sicherheit von Contrast Security 2021 enthält die durchschnittliche Anwendung 118 Programmierbibliotheken oder Sammlungen von vordefiniertem Code, mit dem Entwickler Aufgaben automatisieren können. Anwendungen verwenden im Durchschnitt nur 38 % dieser Bibliotheken aktiv. Inaktive Bibliotheken stellen ein großes Sicherheitsrisiko dar, da Hacker potenziell bösartigen Code oder Malware ohne Erkennung in eine Bibliothek einfügen können. Der Bericht ergab auch, dass die durchschnittliche Java-Anwendung 50 Open-Source-Bibliotheksschwachstellen aufweist, was eine Eins-zu-Sechs-Wahrscheinlichkeit einer Schwachstelle schafft, die Angreifer ausnutzen können.
Diese Schwachstellen zu finden ist eine große Hürde für Organisationen. Ein einziger ausnutzbarer Programmierfehler in Java kann beispielsweise in Hunderten von Anwendungen vorhanden sein, da Java als Softwareentwicklungsplattform beliebt ist. Während die meisten Schwachstellenbewertungssysteme Ihnen mitteilen können, dass ein bestimmtes Softwareprogramm veraltet ist, bieten sie normalerweise nicht das Maß an Granularität, das erforderlich ist, um die spezifische Datei oder Komponente zu finden, die die Schwachstelle enthält – obwohl sich dies mit der 2021 Executive Order von Präsident Biden zur Verbesserung der Cybersicherheit der Nation ändern könnte, die von Anbietern verlangt, die der Bundesregierung Software zur Verfügung stellen, um eine Software-Materialliste (SBOM) für alles in ihren Produkten aufzunehmen.
[Lesen Sie auch: ICYMI—Top-Unternehmen diskutieren über die neuen Cyberregeln der SEC]
Um das Ausmaß der Herausforderung zu verstehen, berücksichtigen Sie die Analogie eines staatlichen Rückrufs eines Lebensmittelprodukts. Ein Lebensmittelgeschäft kann Details über sein gesamtes Inventar an Mac und Käse bereitstellen. Das Geschäft kann sogar bestimmte Chargennummern innerhalb dieses Inventars aufschlüsseln. Aber wenn eine Regierungsbehörde jedes Produkt im Geschäft zurückrufen wollte, das die künstliche Lebensmittelfarbe FD&C Yellow #5 enthält, hätte das Geschäft wahrscheinlich keine effektive Möglichkeit, all diese Produkte zu identifizieren.
Dies ist im Wesentlichen das Problem, mit dem Unternehmen bei der Sicherung ihrer Software-Lieferketten konfrontiert sind. Nur wenige verfügen über effektive Tools oder Methoden, um die erforderliche, mikroskopische Ansicht jeder Komponente in jeder Software auf jedem Gerät zu erreichen, die benötigt wird, um ihr Risikoniveau zu verstehen.
Was ist ein Beispiel für eine Sicherheitsverletzung der Software-Lieferkette?
Bei einem hypothetischen Software-Lieferkettenangriff zielt ein Hacker auf eine Open-Source-Komponente ab, die in einem bestimmten Anwendungsentwicklungsprojekt eines Unternehmens verwendet wird. Der Hacker identifiziert die Entwickler der Organisation, die nicht an diesem Projekt arbeiten, und kompromittiert die GitHub -Konten, die zur Zusammenarbeit an der Softwareentwicklung verwendet werden, und fügt dann einen harmlos aussehenden Code ein, der eine Hintertür zum Projekt enthält.
„Ein einziger ausnutzbarer Programmierfehler in Java kann beispielsweise in Hunderten von Anwendungen vorhanden sein, da Java als Softwareentwicklungsplattform beliebt ist.“
Unwissentlich wird die Hintertür in die nächste Version der Software eingepackt. Wenn die Anwendung aktualisiert wird, enthält sie die kompromittierte Open-Source-Komponente, die dem Hacker einen Einstiegspunkt in das Netzwerk der Organisation gibt.
Angemessene Sicherheitskontrollen könnten jedoch einen solchen Angriff abschwächen, indem sie anomales Verhalten identifizieren – wie z. B. einen Entwickler, der auf ein Projekt zugreift, an dem er nicht gearbeitet hat – oder sogar die Multifaktor-Authentifizierung verwenden, um den Versuch eines Hackers zu verhindern, sich überhaupt beim Konto des Entwicklers anzumelden.
Warum ist die Sicherheit der Software-Lieferkette wichtig?
In modernen Lieferketten haben Lieferanten oft Zugriff auf die Informationssysteme und Daten ihrer Kundenorganisationen. Das macht die Organisation anfällig für Sicherheitsschwachstellen, die an anderer Stelle in der Lieferkette bestehen. Ein Sicherheitsvorfall in einem beliebigen Glieder der Kette kann katastrophale Folgen in einem gesamten Netzwerk von Organisationen haben.
Software-Lieferkettenangriffe sind immer häufiger geworden. In den letzten sechs Monaten von 2021 stiegen die Lieferkettenangriffe um 51 %. Da das Lieferantenrisiko zu einem größeren Problem wird, müssen Unternehmen eine größere Priorität auf das Lieferantenrisikomanagement, umfassende Risikobewertungen, Bedrohungserkennung und -reaktion und ähnliche Maßnahmen legen.
Was sind die Hauptrisiken für die Software-Lieferkette?
Zu den Hauptrisiken für die Lieferkette gehören:
- Schlechte Sichtbarkeit. Die Komplexität der heutigen Software-Lieferketten macht es äußerst schwierig, ein klares und genaues Bild davon zu erhalten, welche Lieferanten Zugangsprivilegien für bestimmte Systeme und Assets sowie für alle Geräte und Dienste haben, die auf ein Netzwerk zugreifen. Ohne umfassende Visibilität ist es unmöglich zu wissen, ob ein Lieferant ein Sicherheitsrisiko darstellt.
- Schwächen des Softwareanbieters. Da Tausende von Organisationen die gleichen Softwarelösungen verwenden, zielen Lieferkettenangreifer oft auf Softwareentwickler und Anbieter ab. Wenn Hacker einzelne Tools und Lösungen kompromittieren, erhalten sie Zugang zu einem höheren Zielvolumen. Hacker können eine Schwachstelle einführen oder Malware in die Software einschleusen, um Zugriff auf sensible Daten zu erhalten, sobald die Software auf dem System einer Organisation installiert ist. Ungepatchte Systeme von Drittanbietern stellen seit Langem ein großes Risiko für Lieferketten dar. Die jüngste Log4j -Schwachstelle hob die Bedeutung starker Patch-Managementprozesse hervor.
- Beeinträchtigte Daten. Vertrauliche Daten, die ein Lieferant speichert, können während eines Angriffs gestohlen, gelöscht oder anderweitig kompromittiert werden. Die Folgen sind die gleichen, als ob Ihr Unternehmen direkt verletzt würde: Betriebsausfall, finanzieller Verlust, Reputationsschaden, rechtliche Folgen und regulatorische Strafen.
- Walfang. Wie Phishing zielt diese Art von Social Engineering-Angriff auf Unternehmensmitarbeiter ab. Sie erhalten E-Mails oder Textnachrichten, die scheinbar von einer vertrauenswürdigen Quelle stammen, um sie dazu zu bringen, Anmeldedaten oder andere sensible personenbezogene Informationen preiszugeben. Ein Walfangangriff kann die Untersuchung und Identifizierung einer einzelnen Person beinhalten, um einen „großen Fang“ zu erzielen, wie z. B. eine Führungskraft mit hochrangigen Zugangsprivilegien. Phishing stellt jedoch in der Regel ein breiteres Netz dar und zielt auf Hunderte von Menschen ab.
- Alte Technologie. Organisationen haben keine Transparenz in der IT-Infrastruktur ihrer Lieferanten, und es ist nicht ungewöhnlich, dass Drittanbieter ältere Hardware mit alter, nicht gepatchter oder nicht unterstützter Software ausführen. Mit zunehmendem Technologiealter wächst die Anzahl der Sicherheitsschwachstellen, was dies zu einem besonders problematischen Lieferkettenrisiko macht.
- Sicherheitsschwachstellen von Lieferanten. Wenn ein Softwareanbieter die richtigen Sicherheitsmaßnahmen nicht implementiert hat, ist Ihre Organisation verwundbar, unabhängig davon, wie robust die vorhandene Sicherheit ist. Hacker können die Sicherheitsschwächen eines Lieferanten ausnutzen, um potenziell Zugriff auf Ihre Systeme und Daten zu erhalten. Wenn Lieferanten nicht überprüft werden und ihnen Sicherheitserwartungen nicht mitgeteilt werden, können Unternehmen kein grundlegendes Sicherheitsniveau gewährleisten.
Was sind die Elemente der Software-Lieferkettensicherheit?
Sobald ein Angreifer in Ihr Netzwerk gelangt, richtet er sich an die wertvollsten Assets Ihres Unternehmens. Der erste Schritt zur Sicherung der Lieferkette besteht dann darin, zu verstehen, was Sie für diese Hacker schätzen. Beginnen Sie damit, alle Ihre Assets zu identifizieren und dann Ihre „Kronjuwelen“ zu priorisieren – diejenigen, die Sie sich nicht leisten können, kompromittiert zu haben. Alles, was als geschäftskritisch erachtet wird, kann für die meisten Organisationen als hochwertiges Asset angesehen werden und kann Dinge wie proprietären Softwarecode, Finanz- und Kundendaten, Verschlüsselungscodes, Personalinformationen und geistiges Eigentum umfassen.
„Im Wesentlichen ist jedes Softwareunternehmen, mit dem Ihr Unternehmen Geschäfte tätigt, ein potenzielles Risiko.“
Als Teil dieses Schritts müssen Sie auch die Umgebung verstehen, in der sich jedes Asset befindet, und alle Arten, wie darauf zugegriffen werden kann. Dieser Asset-Discovery- und Inventarprozess hilft dabei, zu bestimmen, wie gefährdet Assets gegen einen Verstoß verstoßen werden und wo Sie das Risiko in der Lieferkette begrenzen müssen.
Der zweite Schritt zur Sicherung der Lieferkette besteht darin, Ihre Geschäftspartner und alle schwachen Verbindungen in ihren Systemen zu identifizieren sowie einen starken Lieferantenrisikomanagementprozess zu übernehmen. Diese Partner können Softwareanbieter, Cloud-Dienstanbieter, Point-of-Sale-Unternehmen, Lohnbuchhaltungsprozessoren und sogar Sicherheitsunternehmen umfassen, die alle als Stützpfeiler für Angreifer dienen, um in breitere Unternehmenssysteme einzubrechen. Im Wesentlichen ist jedes Softwareunternehmen, mit dem Ihr Unternehmen Geschäfte tätigt, ein potenzielles Risiko.
Während es keinen einheitlichen Ansatz für diesen Schritt gibt, sollte ein guter Prozess Praktiken wie die Durchführung von Lieferantenrisikobewertungen, die Klassifizierung von Lieferanten nach Kritikalität, die Erstellung eines Lieferantenbestands, die Verfolgung kritischer Lieferantenattribute und die Überwachung der Lieferantenleistung und des Risikos im Laufe der Zeit umfassen.
Das Ziel des Anbieterrisikomanagements ist es, sicherzustellen, dass Ihre Anbieter über die entsprechenden Richtlinien und Technologien verfügen, um Ihre sensibelsten Daten zu schützen. Sie kann Ihnen auch helfen, Anbieter mit hohem Risiko zu identifizieren und mit ihnen zusammenzuarbeiten, um Sicherheitsrisiken zu mindern oder zu bestimmen, ob Sie sie durch einen anderen Anbieter ersetzen möchten.
Was sind die größten Sicherheitsherausforderungen der Software-Lieferkette?
Visibilität ist eines der herausforderndsten Elemente des Lieferkettenrisikos, wie bereits erwähnt. Mit physischen Waren können Lieferanten eine Liste von Materialien oder Inhaltsstoffen bereitstellen, die in die Herstellung ihrer Produkte eingeflossen sind. Die modernste Software wird jedoch größtenteils mit Open-Source-Komponenten aufgebaut. Es ist schwierig, eine Aufschlüsselung der Komponenten zu finden, die in eine bestimmte Anwendung eingeflossen sind und wer sie erstellt hat, und die meisten Menschen haben keine effektive Möglichkeit, es
für sich selbst herauszufinden.
Unternehmen stehen auch vor Herausforderungen bei der Prüfung von Projektentwicklern, um sicherzustellen, dass sie sichere Programmierpraktiken befolgen und Schwachstellen schnell beheben. Letztendlich fehlt es ihnen an klarem Verständnis
und Kontrolle über die End-to-End-Lieferkette, die ihrer
IT-Architektur zugrunde liegt.
Welche Best Practices gibt es bei der Sicherheit der Software-Lieferkette?
Sie haben noch nie von Luftgapping gehört? Es ist an der Zeit, dass Sie dies und andere Tipps zur Verbesserung der Sicherheit Ihrer Software-Lieferkette gelernt haben:
- Verstehen Sie Ihre Lieferkette durchgängig. Eine Software-Lieferkette umfasst den gesamten Code, alle Dateien und andere Komponenten, die bei der Erstellung Ihrer Unternehmenssoftware verwendet wurden, sowie den Ursprung und die Autoren. Sie möchten Dinge wissen, wie Produkte auf Sicherheitsrisiken und bekannte Schwachstellen überprüft wurden, die sie enthalten können. Einfach ausgedrückt: Sie müssen alles herausfinden, was Sie über die Anwendungen wissen können, die Ihre Organisation ausführt.
- Luftspalten Sie Ihr Netzwerk. Eine Luftlücke schafft eine Barriere zwischen einem Netzwerk und Angreifern, ganz so, wie ein Graben ein Schloss vor einem Angriff schützt. IT-Mitarbeiter erstellen die „Lücke“, indem sie sensible Assets physisch von netzwerkverbundenen Systemen isolieren oder bestimmte Geräte vom Netzwerk trennen. Das Ziel von Air-Gapping ist es, die Möglichkeit zu eliminieren, dass ein Bedrohungsakteur Ihr System über eine externe Verbindung angreifen kann.
- Testen Sie regelmäßig. Die meisten Unternehmen verstehen nicht, wie ihre Lieferkette anfällig ist, bis ein bestimmter Lieferant angegriffen wird. Sie müssen jedoch nicht warten, um es herauszufinden. Die Durchführung von Schwachstellenscans ermöglicht es Ihnen, grundlegende Sicherheitsprobleme wie Fehlkonfigurationen, schlechte Zugriffsrichtlinien und Produktschwächen zu identifizieren und zu beheben, die Hacker ausnutzen können. Penetrationstests können auch helfen, zu bestimmen, wie einfach es ist, Ihre Daten zu stehlen, indem sie einen Angriff simulieren, um Schwachstellen in Ihrem System aufzudecken und auszunutzen.
Welche Frameworks gibt es für die Sicherheit der Software-Lieferkette?
Ein Sicherheitsrahmen ist eine Reihe von Richtlinien und Praktiken zur Einrichtung und Aufrechterhaltung von Cybersicherheitskontrollen. Organisationen können Frameworks verwenden, um ihre Risikostufe zu bewerten, zu verstehen, wie sie potenziell angegriffen werden könnten, und die Fähigkeit ihrer bestehenden Cybersicherheitsprogramme zu ergänzen, die Sicherheit der Software-Lieferkette zu stärken.
Die US-Regierung hat beispielsweise das NIST Risk Management Framework (RMF) entwickelt, um zu adressieren, wie Regierungsorganisationen Systeme zur Verwaltung von Sicherheits-, Datenschutz- und Lieferkettenrisiken entwickeln, sichern und überwachen müssen. Das Framework wird vom National Institute of Standards and Technology (NIST) verwaltet und bietet detaillierte Best Practices zur Bewertung von Risiken und zur Verbesserung der IT-Sicherheit, um Bedrohungen wie Datenschutzverletzungen und Ransomware-Angriffe zu mindern.
Im RMF ist ein siebenstufiger Risikomanagementprozess enthalten, der Organisationen dabei unterstützt, eine bessere Sicherheit in ihre Systeme zu integrieren und schneller auf Sicherheitsprobleme zu reagieren. Die Schritte sind:
- Bereiten Sie sich vor. In diesem Schritt bereitet sich die Organisation auf die Ausführung des RMF vor. Zu den Aktivitäten gehören die Identifizierung wichtiger Risikomanagementrollen, die Bestimmung des Risikotoleranzniveaus der Organisation, die Durchführung einer unternehmensweiten Risikobewertung und die Entwicklung und Umsetzung von Risikomanagementstrategien.
- Kategorisieren. Im zweiten Schritt verwendet die Organisation NIST-Standards, um ihre Informationen und Systeme zu kategorisieren, um ihr Risiko genau einzuschätzen. Die Organisation nimmt eine Bestandsaufnahme aller Daten vor, die sich in ihrer Umgebung befinden, wobei sensible Daten notiert werden, die für unbefugte Benutzer zugänglich sind, und Daten, die von geringem Wert sind. Sie dokumentiert auch die Eigenschaften jedes Systems und wie sie miteinander verbunden sind.
- Wählen Sie aus. Im nächsten Schritt wählt die Organisation die relevanten Sicherheitskontrollen für ihre Systeme basierend auf einem Katalog von Kontrollen im RMF aus. Diese Kontrollen umfassen Überwachungslösungen, Multifaktorauthentifizierung und Richtlinien, die riskante Verhaltensweisen reduzieren und bei der Wiederherstellung von Systemen und Daten im Falle einer Katastrophe helfen. Während dieses Schritts ist es wichtig zu überlegen, wer Zugang zu sensiblen Informationen benötigt und wer nicht.
- Umsetzen. Die Organisation setzt die ausgewählten Sicherheitskontrollen ein. Während dieses Schritts sollte es die Mitarbeiter in den neuen Verfahren und Richtlinien schulen und wie sie in
jedem System verwendet werden sollen. - Bewerten. In diesem Schritt entwickelt und wendet die Organisation geeignete Bewertungsverfahren auf der Grundlage der implementierten Sicherheitskontrollen an. Ziel ist es, sicherzustellen, dass die Organisation sofort auf alle Sicherheitsrisiken reagieren kann.
- Autorisieren. Die Geschäftsleitung bestimmt, ob die ausgewählten Kontrollen angemessen sind, basierend auf der Risikotoleranz des Unternehmens.
- Monitor. In diesem Schritt überwacht die Organisation kontinuierlich Systeme, um die Sicherheit aufrechtzuerhalten und auf alle
Statusänderungen zu reagieren.
Was sind die besten Ressourcen zur Sicherheit der Software-Lieferkette?
Ressourcen für weitere Informationen zur Sicherheit der Software-Lieferkette sind:
- Softwaresicherheit in Lieferketten (NIST)
- Leitfaden zur Lieferkettensicherheit (NCSC)
- Lieferkettensicherheit – Es geht um das Geschäft aller (Mitre)
- ICT Supply Chain Resource Library (CISA)
