O que esperar do supply chain em 2022?

A supply chain é um vetor de ataque consistente para os atores de ameaça hoje em dia. Ao comprometer um serviço centralizado, plataforma ou software, os atacantes podem realizar ataques à vítima. Isto, pode poupar tempo e dinheiro aos cibercriminosos, uma vez que um ataque bem-sucedido pode abrir a porta a milhares de vítimas ao mesmo tempo.

Um dos exemplos mais famoso dos últimos anos é a violação do SolarWinds, na qual foi implementada uma atualização de software maliciosa para cerca de 18.000 clientes. Os atacantes selecionaram clientes de alto nível, incluindo numerosas agências governamentais dos EUA, Microsoft, e FireEye.  

Numa análise a 24 recentes ataques em cadeia de fornecimento de software, incluindo os experimentados pela Codecov, Kaseya, SolarWinds e Mimecast, a Agência da União Europeia para a Cibersegurança (ENISA) explicou que a fase de planeamento e execução dos ataques em cadeia de abastecimento é geralmente complexa, mas os métodos de ataque muitas vezes não são.

Os ataques em cadeia de fornecimento podem ser realizados através da exploração de vulnerabilidades de software; malware, phishing, certificados roubados, credenciais e contas de funcionários comprometidas, componentes de código aberto vulneráveis e adulteração de firmware, entre outros vetores.

Mas o que podemos esperar da segurança do supply chain em 2022?

Melhorar a proteção

Em declarações à ZDNet, Ilkka Turunen, Field CTO da Sonatype, afirmou que é provável que a atividade da cadeia de fornecimento de software malicioso aumente em 2022 devido à baixa proteção dos métodos de ataque de entrada.

Brian Fox, o CTO da empresa de software, acrescentou que a maioria dos atores de ameaças são hoje imitadores, e os ataques "fad" ou, o "ataque do dia" conduzido por atores de ameaça rápida vão aumentar o número de intrusões de supply chain no próximo ano.

Um perímetro de defesa definido

Num mundo de dispositivos IoT, os antigos modelos de segurança, trabalhando a partir de condições domésticas com configurações híbridas em cloud, e cadeias de fornecimento digital complexas já não são adequados.

De acordo com o CSO George Gerchow da Sumo Logic, as empresas "ainda estão em dificuldades" com o conceito de não terem um perímetro de defesa definido. Apesar de também avançarem com projetos de transformação digital, estão a falhar na contabilização da superfície de ataque expandida que novas apps e serviços podem criar.

"As equipas de segurança dos CISOs e das IT ainda não têm lugar à mesa, e a segurança continua a ser a última etapa do processo. No próximo ano, as equipas de liderança das organizações começarão a acordar para isto. As administrações estão a tornar-se mais conscientes da segurança devido ao perigo de ransomware e de extorsão, o que os obriga a preocuparem-se com problemas de segurança".

As empresas que agora dependem cada vez mais de componentes, plataformas e serviços prestados a diferentes níveis do supply chain também terão de acordar para esta realidade e, consequentemente, a segurança terá de ser verificada e reforçada, incluindo fora das redes próprias de uma empresa.

O aumento do ransomware

O ransomware é hoje um dos aspetos mais lucrativos do mundo cibernético, com elevados pagamentos ilícitos feitos devido às táticas de extorsão utilizadas, incluindo encriptação permanente e a ameaça de divulgação de informação sensível.

Com um pagamento recorde de chantagem feito em 2021 de 40 milhõesde dólares, o ransomware provavelmente começará a ser cada vez mais comum em ataques de supply chain.

"Ao atacar a cadeia de fornecimento, os atacantes podem deter os dados de uma organização para resgate. A pesquisa indica que dois terços dos ataques de ransomware são decretados por cibercriminosos de baixo nível que compram ferramentas de ransomware na Dark Web", afirma o especialista de segurança da Splunk, Ryan Kovar.

Dívida técnica

À medida que as organizações empresariais começam a analisar a cadeia de fornecimento digital para pontos fracos, também terão de lidar com os seus níveis de "dívida técnica", descrita por Stuart Taylor, Diretor Sénior da Forcepoint X-Labs, como a diferença entre "o preço" que um projeto técnico deve custar para ser à prova de futuro e seguro, e o 'preço' que uma organização está disposta a pagar na realidade".

A Forcepoint espera ver um aumento "significativo" dos ataques de imitadores contra o supply chain no próximo ano, pelo que as organizações são instadas a realizar revisões de código frequentes e a manter a segurança em mente durante cada passo no processo de desenvolvimento e implementar.

SBOM

A falta de transparência em torno dos componentes, software e postura de segurança dos players dentro do supply chain também continua a ser um problema para os fornecedores atualmente.

À luz de ataques recentes como é o caso do solarwinds, Gary Robinson, CSO da Uleska, acredita que nos próximos 12 meses, mais empresas exigirão uma Bill of Materials (SBOM) orientada para a segurança, potencialmente como parte da devida diligência em futuros acordos de negócios.

Os SBOM são inventários de software e componentes projetados para impor transparência aberta em torno do uso de software na empresa. Podem incluir listas de fornecedores, licenças e garantias de auditoria de segurança.

"As organizações também vão mudar-se para a Garantia de Segurança Contínua, onde os fornecedores serão obrigados a fornecer relatórios de segurança atualizados", prevê Robinson. "Um relatório de segurança de há seis meses não satisfará as preocupações de segurança de uma atualização entregue ontem. Esta lacuna na segurança está diretamente relacionada com a própria garantia de segurança da empresa, e os fornecedores terão de recuperar".