A CISA, a Agência de Segurança Nacional (NSA) e o Escritório do Diretor de Inteligência Nacional (ODNI), publicaram a primeira parte de uma série de publicações, Securing Software Supply Chain Series – Recommended Practices for Developers. Esta orientação – criada pelo Enduring Security Framework (ESF), um grupo de trabalho intersetorial público-privado liderado pela NSA e CISA – concentra-se em desenvolvedores de software e fornece práticas sugeridas para garantir uma cadeia de fornecimento de software mais segura.
A CISA incentiva as organizações adquirentes, fornecedores de software e operadoras de rede a revisar as orientações e considerar as recomendações. Consulte a Força-Tarefa de Gerenciamento de Riscos da Cadeia de Suprimentos de TIC da CISA, Biblioteca de Recursos da Cadeia de Suprimentos de TIC, páginas da Web do Centro Nacional de Gerenciamento de Riscos (NRMC) para obter mais informações.
Historicamente, a cadeia de suprimentos de software compromete vulnerabilidades amplamente conhecidas. Embora os agentes de ameaças ainda usem essa tática para comprometer sistemas não corrigidos, um método novo e menos evidente de comprometimento também ameaça o fornecimento de software em cadeia e mina a confiança nos próprios sistemas de correção que são críticos para proteger contra compromissos legados.
Em vez de esperar por divulgações públicas de vulnerabilidades, os agentes de ameaças injetaram proativamente código malicioso em produtos que são, então, legitimamente distribuídos downstream através da cadeia de suprimentos global. Nos últimos anos, esses softwares de última geração fornecem os comprometimentos da cadeia que aumentaram significativamente para software de código aberto e software de produtos comerciais.
Os consumidores de tecnologia geralmente gerenciam downloads de software e atividades da cadeia de suprimentos de software separadamente. Considerando as fases upstream e downstream de software como um componente do gerenciamento de risco da cadeia de suprimentos pode ajudar a identificar problemas e fornecer um caminho melhor em termos de integração de atividades para alcançar a segurança sistêmica. No entanto, também existem algumas diferenças a serem consideradas no caso de produtos de software. UMA O ciclo tradicional da cadeia de suprimentos de software é do ponto de origem ao ponto de consumo e geralmente permite que um cliente devolva um produto com defeito e limite qualquer impacto. Em contrapartida, se um pacote de software é injetado com código malicioso que prolifera para vários consumidores; a escala pode ser mais difícil de confinar e pode causar um impacto exponencialmente maior.
Os métodos comuns de comprometimento usados contra as cadeias de fornecimento de software incluem a exploração de falhas de projeto de software, incorporação de componentes de terceiros vulneráveis em um produto de software, infiltração da rede do fornecedor com código malicioso antes de o produto de software final ser entregue e injeção de software malicioso que é então implantado pelo cliente.
As partes interessadas devem procurar mitigar as preocupações de segurança específicas de sua área de responsabilidade. No entanto, outras preocupações podem exigir uma abordagem de mitigação que imponha uma dependência de outro parte interessada ou uma responsabilidade compartilhada por várias partes interessadas. Dependências que são inadequadamente comunicados ou endereçados podem levar a vulnerabilidades e o potencial para compromisso.
As áreas onde esses tipos de vulnerabilidades podem existir incluem:
• Recursos não documentados ou funcionalidades arriscadas,
• Desconhecido e/ou revisões de premissas contratuais, de funcionalidade ou de segurança entre
avaliação e implantação,
• Mudança de propriedade e/ou geolocalização do Fornecedor, e
• Falta de higiene empresarial ou de desenvolvimento do fornecedor.
Clique aqui para conferir o PDF oficial na íntegra.
Fonte: www.cisa.gov
Posts relacionados: