Google tyrėjas infiltravosi į įsilaužėlių grupę: tiekimo grandinė gauna pamoką
Google grėsmių žvalgyba turėjo žmogų įsilaužėlių grupės viduje. Tiekimo grandinės saugumui tai primena seną tiesą: vien skenerių neužtenka.
Šiame straipsnyje · 4 dalys
- Kas yra tiekimo grandinės ataka? Tai ataka per programinę įrangą, tiekėją ar priklausomybę, kuria įmonė jau pasitiki.
- Kodėl atviro kodo paketai tampa taikiniu? Jie plačiai naudojami, todėl vienas užkrėstas paketas gali pasiekti daug organizacijų.
- Kaip DI padeda saugume? DI gali greičiau pastebėti anomalijas ir ryšius tarp incidentų, bet sprendimams vis tiek reikia žmonių kontrolės.
Tiekimo grandinės saugumas šią savaitę gavo istoriją, kuri skamba beveik kaip filmas. Ars Technica rašo, kad Google grėsmių žvalgybos komanda turėjo slaptą tyrėją įsilaužėlių grupės TeamPCP vidiniame rate.
Svarbu ne vien pati intriga. Svarbu tai, ką ši istorija pasako apie šiuolaikinį kibernetinį saugumą: automatika reikalinga, bet kartais žmogus vis dar pamato tai, ko nemato joks skeneris.
Kas nutiko
TeamPCP siejama su atakomis prieš atviro kodo programas, kūrėjų paskyras ir programinės įrangos tiekimo grandinę. Tokios atakos pavojingos todėl, kad jos neprašo įmonės atidaryti durų tiesiogiai. Jos ateina per įrankį, biblioteka ar priklausomybę, kuria visi jau pasitiki.
Google tyrėjai, pasak Ars Technica, galėjo stebėti grupės veiksmus iš vidaus, perspėti taikinius ir padėti trukdyti atakoms. Tai nėra įprastas antivirusinės pranešimas. Tai žvalgyba, kuriai reikia kantrybės ir konteksto.
Kodėl tai svarbu įmonėms
Daug komandų vis dar galvoja: jei naudojame populiarius įrankius, esame saugūs. Deja, būtent populiarūs įrankiai dažnai tampa patraukliausiu taikiniu.
Vienas užkrėstas paketas gali pasiekti šimtus įmonių. Viena pavogta kūrėjo paskyra gali atverti kelią į projektus, kurių niekas nelaikė rizikingais. Čia DI gali padėti aptikti modelius, bet jis nepakeičia atsakingo programų tiekimo valdymo.
Klausimas vadovui paprastas: ar žinome, kokias priklausomybes naudojame? Ne teoriškai. Realiai, šiandien.
Pamoka be dramos
Nereikia panikuoti ir užsidaryti nuo atviro kodo. Tai būtų kaip nebevažiuoti keliu, nes kažkas padarė avariją. Reikia tvarkos.
Verslui verta turėti priklausomybių sąrašą, atnaujinimų politiką, atskirtas kūrėjų prieigas ir aiškų planą, ką darome, jei naudojama biblioteka pasirodo esanti pažeista.
Tai ne blizgantis darbas. Bet būtent tokie darbai dažniausiai išgelbsti nuo didžiausių galvos skausmų.
Rašome apie dirbtinį intelektą lietuviškai. Kiekvienas straipsnis parengtas pagal nurodytą šaltinį, o nuorodą į originalą rasite kortelėje „Šaltinis“.
