A kormány szoftveranyag-tervezete (SBOM) a…

Az SBOM-ok értelmetlenek, hacsak nem egy nagyobb stratégia részét képezik, amely azonosítja a kockázatokat és a sebezhetőségeket a szoftver-ellátási lánc menedzsment rendszerében.

RIEGELSVILLE, Pa. (PRWEB) Március 13, 2023

A kormányzati szektorok elleni kibertámadások száma világszerte 95%-kal nőtt 2022 második felében 2021 azonos időszakához képest.(1) A kibertámadások globális költsége várhatóan exponenciálisan, a 8.44-es 2022 billió dollárról 23.84 billió dollárra nő. 2027.(2) Az ország kritikus infrastruktúrájának és a szövetségi kormány hálózatainak támogatása érdekében a Fehér Ház 14028 májusában kiadta az 2021. számú végrehajtási rendeletet, „A nemzet kiberbiztonságának javítása”.(3) Az EO meghatározza azokat a biztonsági intézkedéseket, amelyeket minden szoftvernek követnie kell. a szövetségi kormánnyal üzletelő kiadó vagy fejlesztő. Ezen intézkedések egyike megköveteli, hogy minden szoftverfejlesztő biztosítson egy szoftveranyag-jegyzéket (SBOM), amely a szoftveralkalmazást alkotó összetevők és könyvtárak teljes leltárlistája. Walt Szablowski, a társaság alapítója és ügyvezető elnöke Eracent, amely több mint két évtizede teljes betekintést nyújtott nagyvállalati ügyfelei hálózatába, megjegyzi: „Az SBOM-ok értelmetlenek, hacsak nem egy nagyobb stratégia részét képezik, amely azonosítja a szoftver-ellátási lánc menedzsment rendszerében fennálló kockázatokat és sebezhetőségeket.”

Az Országos Távközlési és Információs Hivatal (NTIA) a Szoftveranyag-jegyzéket úgy definiálja, mint „az adott szoftver felépítéséhez szükséges összetevők, könyvtárak és modulok teljes, formálisan strukturált listája, valamint a köztük lévő ellátási lánc kapcsolatok”. 4) Az Egyesült Államok különösen sebezhető a kibertámadásokkal szemben, mivel infrastruktúrájának nagy részét magáncégek irányítják, amelyek esetleg nincsenek felszerelve a támadás meghiúsításához szükséges biztonsági szinttel.(5) Az SBOM-ok fő előnye, hogy lehetővé teszik a szervezetek számára az azonosítást. hogy a szoftveralkalmazást alkotó összetevők bármelyike ​​tartalmazhat-e olyan sebezhetőséget, amely biztonsági kockázatot jelenthet.

Míg az Egyesült Államok kormányzati ügynökségei megbízást kapnak az SBOM-ok elfogadására, a kereskedelmi vállalatok egyértelműen profitálnának ebből az extra biztonsági szintből. 2022-től az Egyesült Államokban egy adatszivárgás átlagos költsége 9.44 millió dollár, a globális átlag pedig 4.35 millió dollár.(6) A Kormányzati Elszámoltathatósági Hivatal (GAO) jelentése szerint a szövetségi kormány három régebbi technológiai rendszert üzemeltet. öt évtized. A GAO figyelmeztetett, hogy ezek az elavult rendszerek növelik a biztonsági réseket, és gyakran olyan hardveren és szoftveren futnak, amely már nem támogatott.(7)

Szablowski kifejti: „Két kulcsfontosságú szempont van, amellyel minden szervezetnek foglalkoznia kell az SBOM-ok használatakor. Először is rendelkezniük kell egy olyan eszközzel, amely gyorsan ki tudja olvasni az SBOM összes részletét, össze tudja egyeztetni az eredményeket az ismert sebezhetőségi adatokkal, és figyelmeztető jelentéseket készít. Másodszor, képesnek kell lenniük arra, hogy automatizált, proaktív folyamatot hozzanak létre, hogy az SBOM-mal kapcsolatos tevékenységek, valamint az egyes összetevők vagy szoftveralkalmazások egyedi mérséklési lehetőségeinek és folyamatainak a csúcsán maradjanak.”

Az Eracent élvonalbeli Intelligens Kiberbiztonsági Platform (ICSP)™ Cyber ​​Supply Chain Risk Management™ (C-SCRM) modulja egyedülálló abban, hogy mindkét szempontot támogatja, hogy további, kritikus szintű védelmet biztosítson a szoftver alapú biztonsági kockázatok minimalizálása érdekében. Ez elengedhetetlen egy proaktív, automatizált SBOM program indításakor. Az ICSP C-SCRM átfogó védelmet kínál azonnali láthatósággal, hogy csökkentse az összetevőszintű sebezhetőségeket. Felismeri az elavult összetevőket, amelyek szintén növelhetik a biztonsági kockázatot. A folyamat automatikusan beolvassa a tételes részleteket az SBOM-on belül, és az egyes felsorolt ​​összetevőket a legfrissebb sebezhetőségi adatokhoz illeszti az Eracent IT-Pedia® IT Product Data Library segítségével – amely egyetlen hiteles forrás a több millió informatikai hardverrel és hardverrel kapcsolatos alapvető adatokhoz. szoftvertermékek.”

A kereskedelmi és egyedi alkalmazások túlnyomó többsége nyílt forráskódot tartalmaz. A szabványos sebezhetőségelemző eszközök nem vizsgálják az alkalmazásokon belüli egyes nyílt forráskódú összetevőket. Azonban ezen összetevők bármelyike ​​tartalmazhat sebezhetőséget vagy elavult összetevőket, ami növeli a szoftverek kiberbiztonsági incidensekre való hajlamát. Szablowski megjegyzi: „A legtöbb eszköz lehetővé teszi SBOM-ok létrehozását vagy elemzését, de nem alkalmaznak konszolidált, proaktív menedzsment megközelítést – struktúrát, automatizálást és jelentéskészítést. A vállalatoknak meg kell érteniük az általuk használt szoftverek kockázatait, akár nyílt forráskódú, akár szabadalmaztatottak. A szoftverkiadóknak pedig meg kell érteniük az általuk kínált termékekben rejlő lehetséges kockázatokat. A szervezeteknek meg kell erősíteniük kiberbiztonságukat az Eracent ICSP C-SCRM rendszere által nyújtott fokozott védelemmel.”

Eracentről

Walt Szablowski az Eracent alapítója és ügyvezető elnöke, valamint az Eracent leányvállalatainak elnöke (Eracent SP ZOO, Varsó, Lengyelország; Eracent Private LTD Bangalore-ban, India; Eracent Brazília). Az Eracent segít ügyfeleinek abban, hogy megfeleljenek az IT-hálózati eszközök, a szoftverlicencek és a kiberbiztonság kezelésével kapcsolatos kihívásoknak a mai összetett és fejlődő informatikai környezetekben. Az Eracent vállalati ügyfelei jelentősen megtakarítják éves szoftverköltségeiket, csökkentik az auditálási és biztonsági kockázataikat, és hatékonyabb vagyonkezelési folyamatokat alakítanak ki. Az Eracent ügyfélbázisa magában foglalja a világ néhány legnagyobb vállalati és kormányzati hálózatát és informatikai környezetét – az USPS, a VISA, a US Airforce, a brit védelmi minisztérium –, és több tucat Fortune 500 vállalat támaszkodik az Eracent megoldásaira hálózataik kezelésében és védelmében. Látogatás https://eracent.com/. 

Referenciák:
1) Venkat, A. (2023, január 4.). Cloudsek szerint 95 utolsó felében 2022%-kal megugrottak a kormányok elleni kibertámadások. KSH Online. Letöltve 23. február 2023-án, innen: csoonline.com/article/3684668/cyberrattacks-against-governments-jumped-95-in-last-half-of-2022-cloudsek saka.html#:~:text=The%20number%20of %20támadások%20célzás,AI%2Dalapú%20cybersecurity%20company%20CloudSek
2) Fleck, A., Richter, F. (2022, december 2.). Infografika: A számítástechnikai bûnözés várhatóan az egekbe fog szökni az elkövetkezõ években. Statista Infografika. Letöltve 23. február 2023-án, innen: statista.com/chart/28878/expected-cost-of-cybercrime-until-2027/#:~:text=According%20to%20estimates%20from%20Statista's,to%20%2423.84trill. %20 by%20
3) Végrehajtó rendelet az ország kiberbiztonságának javításáról. Kiberbiztonsági és Infrastruktúra-biztonsági Ügynökség, CISA. (nd). Letöltve 23. február 2023-án a cisa.gov/executive-order-improving-nations-cybersecurity webhelyről
4) A Linux Alapítvány. (2022, szeptember 13.). Mi az az SBOM? Linux Alapítvány. Letöltve 23. február 2023-án a linuxfoundation.org/blog/blog/what-is-an-sbom webhelyről
5) Christofaro, B. (nd). A kibertámadások jelentik a háború legújabb határát, és erősebben csaphatnak le, mint egy természeti katasztrófa. ez az oka annak, hogy az Egyesült Államok nehezen tud megbirkózni, ha eltalálják. Business Insider. Letöltve 23. február 2023-án a businessinsider.com/cyber-attack-us-struggle-taken-offline-power-grid-2019-4 webhelyről
6) Kiadta: Ani Petrosyan, 4, S. (2022, szeptember 4). Adatvédelmi incidens költségei az Egyesült Államokban 2022. Statista. Letöltve 23. február 2023-án, innen: statista.com/statistics/273575/us-average-cost-incurred-a-data-breach/
7) Malone, K. (2021, április 30.). A szövetségi kormány 50 éves technológiát használ – nem terveznek frissítéseket. CIO Dive. Letöltve 23. február 2023-án, innen: ciodive.com/news/GAO-federal-legacy-tech-security-red-hat/599375/

Cikk megosztása közösségi médiában vagy e-mailben