Как избежать кибератак на цепочку поставок

• Атака на цепочку поставок — это тип кибератаки, использующий доверительные отношения между поставщиком и клиентом.
• Опрос кибербезопасности, проведенный CrowdStrike в 2021 году, показал, что 45% респондентов стали жертвами атак на цепочку поставок за последние 12 месяцев.
• Атаки на цепочку поставок, вероятно, станут более распространенными, поскольку киберпреступники все чаще нацелены на цепочку поставок программного обеспечения. Это может сделать популярные и важные приложения и службы неосознанно вредоносными.
• Эта статья предназначена для владельцев бизнеса и администраторов, которые хотят узнать об атаках на цепочку поставок и о том, как защититься от них.

Кибератаки на цепочки поставок растут, и глобальная экономика, которая становится все более взаимосвязанной, как никогда упрощает злоумышленникам проведение этих атак, которые используют доверие компаний и их партнеров друг к другу.

По данным фирмы кибербезопасности Глобальный опрос отношения к безопасности, проведенный CrowdStrike за 2021 г., 45% респондентов пострадали от атак на цепочку поставок за последние 12 месяцев. Это больше, чем 32% респондентов в 2018 году, что говорит о том, что популярность этого типа изощренных кибератак среди хакеров резко возрастает.

Точно так же Sonatype Состояние цепочки поставок программного обеспечения в 2021 г. Отчет показал, что количество атак на цепочки поставок программного обеспечения увеличилось на 650% по сравнению с прошлым годом с 2020 по 2021 год. Это последовало за увеличением на 430% с 2019 по 2020 год. Это увеличение подчеркивает тот факт, что атаки на цепочки поставок, скорее всего, останутся постоянной угрозой. для предприятий всех размеров во всех отраслях в обозримом будущем.

В свете этих данных очень важно, чтобы предприятия понимали, как происходят атаки на цепочку поставок, и внедряли средства защиты от кибербезопасности и планы реагирования на инциденты, учитывающие такие направления атак.

Что такое атака на цепочку поставок?

Атака на цепочку поставок — это конкретный тип кибератаки это влияет как на стороннего поставщика, так и на клиента. Эти атаки исторически были нацелены на организации в доверенных партнерских отношениях, например, когда киберпреступники нацелились на подрядчика Target HVAC в качестве первого шага в нарушении Target в 2013 году. После нападавших обошел из-за плохой безопасности подрядчика HVAC они смогли получить доступ к системам Target в общей сети.

Однако сегодня угроза цепочки поставок проявляется в форме атак на цепочку поставок программного обеспечения, которая включает в себя все облачное программное обеспечение и услуги, от которых зависит деятельность бизнеса. В подобных атаках злоумышленникам удается вставить вредоносный код в один из многих сторонних компонентов, которые разработчики часто используют в своих приложениях, таких как API или открытый исходный код. Это может привести к тому, что приложение станет непреднамеренно вредоносным или будет иметь черный ход, что позволит злоумышленникам нацелиться на любого, кто устанавливает скомпрометированное приложение.

Термин «атака цепочки поставок» относится к методу атаки, а не к общему воздействию атаки. В нем есть как минимум две атаки — одна на поставщика, а другая на клиента.

Почему число атак на цепочки поставок растет?

Распространение услуг, поставщиков и третьих сторон творит чудеса с эффективностью и бюджетом компании. Рост предложений «программное обеспечение как услуга» (SaaS) и широкое распространение облачного хостинга позволили сотрудникам эффективно работать из любого места, а рост глобальных цепочек поставок позволил предприятиям получать материалы и функции поддержки по конкурентоспособным ценам от глобальная поставка. Компании могут даже передать управление ИТ и безопасностью на аутсорсинг поставщикам управляемых услуг (MSP), чтобы сократить накладные расходы и сократить численность персонала.

Хотя эти сторонние сервисы экономят время и деньги компаний, они могут привести к рискам кибербезопасности. По данным NTT Security Holdings, киберпреступники, стремящиеся максимизировать масштабы своих атак, все чаще нацеливаются на сторонних поставщиков в надежде использовать их в качестве трамплина для нападения на тысячи нижестоящих клиентов в атаках на цепочку поставок. Отчет Global Threat Intelligence за 2022 г.. Согласно отчету, популярность этих типов атак на цепочки поставок, вероятно, будет расти, поскольку киберпреступники копируют и учатся друг у друга.

Как атаки на цепочку поставок могут повлиять на малый и средний бизнес?

Успешная атака на цепочку поставок может иметь многочисленные последствия как для поставщика, так и для любых целевых клиентов. Однако окончательный ущерб от атаки на цепочку поставок зависит от цели злоумышленника. В случае взлома Target в 2013 году злоумышленники использовали компанию HVAC в качестве трамплина для взлома Target и кражи финансовой и личной информации более 100 миллионов клиентов Target. (Ваш бизнес подвергся нападению? Узнайте как уменьшить ущерб от утечки данных малого бизнеса.)

В то время как атака Target была чистым случаем кражи данных, затронувшей одну конечную компанию, злоумышленники также могут использовать атаки цепочки поставок для других целей, таких как распространение программ-вымогателей. В июле 2021 года злоумышленники скомпрометированные серверы принадлежит Kaseya, поставщику программных услуг и инструментов для MSP. Скомпрометировав Kaseya, злоумышленники затем смогли скомпрометировать MSP, в конечном итоге используя MSP для доставки программ-вымогателей конечным клиентам. В общей сложности эта атака скомпрометировала примерно 1500 клиентов MSP.

Обе описанные выше атаки являются примерами того, как злоумышленники используют доверительные отношения между поставщиком и клиентом. В соответствии с CrowdStrikeОднако более серьезная угроза для бизнеса исходит от атак на цепочку поставок программного обеспечения. Эти атаки вызывают особую озабоченность, поскольку в среднем программный проект имеет 203 зависимости от внешнего кода. Это означает, что если одно популярное приложение или поставщик использует одну вредоносную программную зависимость, это может привести к компрометации этого приложения. Это, в свою очередь, может сделать любой бизнес, полагающийся на это приложение или поставщика, уязвимым для утечки данных.

Поскольку популярные сторонние программные пакеты могут использоваться в самых разных приложениях, успешная компрометация пакета может привести к тому, что злоумышленники смогут скомпрометировать большое количество предприятий с помощью своих программных инструментов.

Атаки на цепочки поставок программного обеспечения, вероятно, станут еще более серьезной проблемой в ближайшие годы. Согласно опросу Global Security Attitude Survey, проведенному CrowdStrike в 2021 году, 84% опрошенных респондентов считают, что эти типы атак на цепочки поставок могут стать одной из самых серьезных киберугроз для бизнеса в течение трех лет. Этот риск еще больше усугубляется, поскольку 59% опрошенных предприятий, подвергшихся атаке на цепочку поставок, не имели стратегии реагирования на момент атаки.

Хотя атаки на цепочку поставок вызывают обеспокоенность, предприятиям важно помнить, что конечные последствия атаки на цепочку поставок такие же, как если бы киберпреступники нацелились непосредственно на бизнес. Разница заключается в том, как киберпреступники в первую очередь нацеливаются на бизнес.

В опросе CrowdStrike Global Security Attitude Survey 45% респондентов заявили, что за последние 12 месяцев они подвергались атакам на цепочку поставок — по сравнению с 32% респондентов в 2018 году.

Хотя предприятия не могут напрямую контролировать безопасность своих поставщиков, они могут предпринять ряд шагов, чтобы не стать жертвой атаки на цепочку поставок. Мы составили следующий учебник, чтобы точно объяснить, что такое атаки на цепочку поставок и как компании могут защититься от них.

Как я могу предотвратить атаки на цепочку поставок?

Атаки на цепочку поставок бывает трудно предотвратить, а также обнаружить, поскольку они используют доверие компаний к своим поставщикам. К счастью, предприятия все еще могут предпринять шаги, чтобы предотвратить атаку на цепочку поставок или смягчить ее воздействие. (Статья по теме: Как улучшить кибербезопасность вашего малого бизнеса за час)

• Тщательно оценивайте поставщиков. Прежде чем вступать в партнерские отношения с поставщиком или использовать какие-либо сторонние инструменты или программное обеспечение, компаниям следует тщательно проверить меры безопасности поставщика. Это включает в себя изучение любых нарушений, с которыми поставщик мог столкнуться в прошлом, а также обращение к поставщику с просьбой подробно описать свои собственные методы обеспечения безопасности.
• Используйте модель нулевого доверия. Когда это возможно, компаниям следует просить свой ИТ-отдел нанять модель нулевого доверия. Это предполагает, что ни одному пользователю или приложению нельзя доверять по умолчанию, что ограничивает типы действий, возможных в сети.
• Используйте инструменты безопасности. Средства безопасности, такие как брандмауэры и антивирусные продукты, не обязательно блокируют атаки на цепочку поставок. Однако они могут предупредить вас о нападении. Например, брандмауэры могут обнаруживать и блокировать большие объемы данных, покидающих сеть, что указывает на нарушение, в то время как антивирусное программное обеспечение может распознавать программы-вымогатели или другие вредоносные программы.
• Придумайте план реагирования на инцидент. Предприятиям следует заранее подготовиться к возможным компрометациям и подготовить план реагирования. Этот план должен включать определение критически важных бизнес-компонентов, четкое разграничение ролей при реагировании на инциденты и реализацию коммуникационной стратегии для информирования клиентов и партнеров о взломе.
• Подготовьтесь вместе со своей ИТ-командой. Независимо от того, используете ли вы MSP или имеете собственную ИТ-команду, ваш бизнес должен подготовиться к потенциальной атаке на цепочку поставок вместе с ИТ-командой. Это планирование должно включать в себя регулярную работу над планом реагирования на инциденты. Кроме того, Национальный институт стандартов и технологий Министерства торговли США выпустил руководство по защите от атак на цепочку поставок.

Каково будущее атак на цепочки поставок?

Атаки на цепочки поставок, вероятно, станут все более распространенным явлением в жизни бизнеса в будущем. NTT Security Holdings прогнозирует, что успех громких атак на цепочки поставок за последние два года, включая атаку SolarWinds, которая затронула примерно 18 000 клиентов, вероятно, вдохновит на другие инциденты с подражанием. Угроза атак на цепочки поставок программного обеспечения также будет продолжать расти. Лучший способ защитить себя от растущей угрозы атак на цепочку поставок — подготовиться уже сегодня, разработав процедуры кибербезопасности и разработав планы реагирования на инциденты, которые позволят вам действовать быстро, если атака на цепочку поставок повлияет на ваш бизнес.