組織や企業では、アプリケーションとテクノロジーの統合率が高まっています。 少なくとも、従来型のビジネスでさえ、プロフェッショナルなメール サービスが必要です。 もちろん、アプリケーションは、電子メールの送信などの単純なタスクから、マーケティング オートメーションなどの複雑なプロセスまで、さまざまな方法でビジネスを支援します。 サイバー犯罪者は、このソフトウェア サプライ チェーン内の抜け穴を探し、損害を与え続けます。 だから、あなたは学ばなければなりません ソフトウェアサプライチェーンを保護する方法 あなたのビジネスまたは組織によって使用されます。 以下では、ソフトウェア サプライ チェーンの意味、一般的な弱点、およびそれらを保護する方法について説明します。
ソフトウェアサプライチェーンとは？
ソフトウェア サプライの意味は、人々が認識しているよりもはるかに単純です。 はい、その名前は複雑な技術用語のように聞こえます。 W適切な説明があれば、ビジネスのソフトウェア サプライ チェーンとそれを保護する方法について知りたいと思うでしょう。 ソフトウェア サプライ チェーンは、プラグイン、プロプライエタリおよびオープンソースのバイナリ、ライブラリ、コード、構成など、多くのコンポーネントで構成されています。
コンポーネントには、コード アナライザー、コンパイラー、アセンブラー、セキュリティ、監視、リポジトリ、およびロギング ops ツールも含まれます。 それは、プロセス、ブランド、およびソフトウェアの作成に関わる人々にまで及びます。 Apple のようなコンピューター会社は、一部の部品を自社で製造し、一部の部品を他社から入手しています。 たとえば、Apple M シリーズ チップは Apple 製で、Samsung は OLED パネルを供給しています。 特定のソフトウェアと同様に、複数のコード、開発者、構成、およびその他多くのものを使用して構築されています。 ソフトウェアの作成と配布に必要なすべてのプロセスとコンポーネントは、ソフトウェア サプライ チェーンと呼ばれます。
ソフトウェアサプライチェーンのセキュリティとは?
ソフトウェア サプライ チェーンの意味がわかったところで、サイバー犯罪者によるソフトウェアの侵害からソフトウェアを保護することは、ソフトウェア サプライ チェーン セキュリティとして知られています。
企業や組織が使用するソフトウェアにハッカーがアクセスすると、結果として多くのものが損害を受ける可能性があります。 したがって、ソフトウェアのコンポーネントをサイバー攻撃から保護することが必要です。 最近では、ほとんどのソフトウェアはゼロから構築されていません。 これは、元のコードと他のソフトウェア アーティファクトを組み合わせたものです。 サードパーティのコードや構成をあまり制御できないため、脆弱性が存在する可能性があります。 でも、ソフトウェアが必要ですよね？ したがって、ソフトウェア サプライ チェーンのセキュリティは、ビジネスの非常に基本的な責任である必要があります。 データ侵害とサイバー攻撃には長い歴史があり、主にソフトウェア サプライ チェーンの脆弱なリンクが関与しています。
2013年には、 40億XNUMX万のクレジットカード番号 また、Target では 70 万人を超える顧客の詳細が侵害されました。 ターゲットは、サイバー攻撃の和解として、この単一のイベントに対して約 18.5 万ドルを支払わなければなりませんでした。 調査の結果、ハッカーが冷蔵庫請負業者のログイン資格情報を使用してアクセスしたことが判明しました。 サイバー犯罪者が悪用した脆弱なリンクは、冷蔵庫請負業者のログイン資格情報であることがわかりました。 Venafi の調査によると、CIO の約 82% が、会社や組織内のソフトウェア サプライ チェーンが脆弱であると述べています。
Techmonitor はまた、オープンソース ソフトウェア パッケージへの攻撃が 650 年に 2021% 増加したことも報告しています。. このような統計は、ソフトウェア サプライ チェーンをサイバー犯罪者に悪用されないようにすることの重要性を示しています。
ソフトウェア サプライ チェーンがサイバー攻撃に対して脆弱なのはなぜですか?
最初に、ソフトウェア サプライ チェーンにカスタム コードから開発者までのコンポーネントがどのように含まれているかを学びました。 これらの相互接続されたテクノロジー システム内で、サイバー犯罪者はセキュリティの抜け穴を探します。 コンポーネント内に抜け穴を見つけると、それを悪用してデータにアクセスします。 クラウドネイティブのセキュリティ企業である Aqua Security は、2021 年にレポートをリリースし、企業や組織の 90% がクラウド インフラストラクチャの欠陥によりサイバー攻撃のリスクにさらされていることを示しました。
クラウド インフラストラクチャは、ソフトウェア操作に使用される仮想機器です。 それはソフトウェア サプライ チェーンの一部です。 ハッカーがクラウド インフラストラクチャにアクセスできるようになると、そこにバグやマルウェアを挿入できます。 ソフトウェア サプライ チェーンの脆弱性も、コード ベースに起因します。 コード ベースは、通常、ソース管理リポジトリに格納されているソース コードの完全なバージョンです。 Synopsys の報告によると、組織のコード ベースの約 88% に脆弱なオープンソース ソフトウェアが含まれています。
ソフトウェア サプライ チェーンの最も一般的な弱点は何ですか?
時代遅れのテクノロジー
テクノロジーが時代遅れになると、セキュリティの脆弱性の数が明らかに増えます。 ソフトウェア サプライ チェーンで時代遅れのテクノロジを使用すると、サイバー犯罪者がアクセスしてデータを盗むための窓口となる可能性があります。 テクノロジー バージョンが更新されたソフトウェア サプライ チェーンでは、セキュリティの脆弱性が少なくなります。
ソフトウェアコードの欠陥
サイバー犯罪者がソフトウェア サプライ チェーンのプログラミング ミスを発見すると、データの悪用が発生します。 ハッカーやサイバー犯罪エージェントが攻撃を仕掛ける主な要因は、ソフトウェア コードに欠陥が見つかった場合です。
ソフトウェア プロバイダーの脆弱性
多くの企業は、XNUMX つのソフトウェア プロバイダーを使用して、組織内の活動を実行しています。 たとえば、多くの企業は、パスワードの保存をパスワード管理サービスに依存しています。 サイバー犯罪者は簡単にアプリケーションにマルウェアを挿入し、企業によるインストールを待つことができます。 通常、サイバー攻撃中に利用されるこのような抜け穴は、通常、親ソフトウェア プロバイダーの責任です。
捕鯨
ホエーリングはフィッシングに似ています。 主な違いは、捕鯨には従業員が関与するのに対し、フィッシングはより多くの対象者を対象とすることです。 捕鯨攻撃の過程で、サイバー犯罪者は、社内の著名人を装った従業員に電子メールを送信します。 このような電子メールを使用すると、疑いを持たない従業員が、秘密にしておく必要のある資格情報や情報を簡単に明らかにすることができます. 捕鯨攻撃の対象となる従業員は、通常、マネージャーや CIO (最高情報責任者) など、企業や組織の大物です。
欠陥のある IaC テンプレート
IaC (コードとしてのインフラストラクチャ) を使用すると、インフラストラクチャの仕様を含む構成ファイルを作成できます。 ただし、IaC テンプレートに欠陥があると、企業や組織のソフトウェア サプライ チェーンが侵害される可能性が高くなります。 欠陥のある IaC テンプレートの影響の良い例は、Heartbleed バグにつながった OpenSSL のバージョンです。 欠陥のある IaC テンプレートの非常に悪い影響は、開発者がプロビジョニング プロセス中にそれを検出する可能性が低いことです。
VCS と CI/CD の弱点
VCS (バージョン管理システム) と CI / CD ソフトウェア サプライ チェーンの主要な構成要素です。 サードパーティ ライブラリと IaC モジュールの保存、コンパイル、デプロイは、VCS と CI/CD に基づいています。 そのため、いずれかに構成ミスや弱点がある場合、サイバー犯罪者はその機会を簡単に利用して、ソフトウェア サプライ チェーンのセキュリティを侵害することができます。
ソフトウェア サプライ チェーンを保護する方法
ネットワークのエアギャップを作成する
エアギャップとは、コンピューターとシステムのネットワークに接続されている外部デバイスが切断されていることを意味します。 サイバー犯罪者は、外部接続を使用してソフトウェア サプライ チェーンを攻撃することがあります。 エアギャップによって、その窓からの攻撃の可能性が排除されます。
システムを定期的にスキャンしてパッチを適用する
ソフトウェア サプライ チェーンのセキュリティ侵害は、多くの場合、時代遅れのテクノロジや壊れたコードが原因で発生します。 定期的な更新により、ソフトウェア サプライ チェーン内のテクノロジーが時代遅れになることはありません。
ビジネスで使用するすべてのソフトウェアに関する完全な情報を入手する
定期的にパッチを適用、スキャン、または更新するソフトウェアのシステムを明確に把握するには、組織で使用されているアプリケーションに関する完全な情報が必要です。 この情報を使用して、定期的なチェックと更新が必要なアプリケーションと、毎月の更新が必要なアプリケーションをスケジュールできます。
従業員の意識を高める
従業員は、組織または企業内の侵害の要素および標的でもあります。 従業員が多要素認証やその他のセキュリティ プラクティスの使用方法に敏感であれば、サイバー犯罪者に騙されることはありません。
アップラッピング
ソフトウェア サプライ チェーンには、カスタム コードやソフトウェアの開発者など、相互接続されたテクノロジ システムが含まれています。 いくつかのレポートによると、ソフトウェア サプライ チェーンの侵害の割合が増加しています。 上記では、ソフトウェア サプライ チェーンのセキュリティの原因と、そのような侵害を軽減するために適用できるベスト プラクティスについて説明しました。
