Lecciones de OSC&R para proteger la cadena de suministro de software

COMENTARIO

La complejidad del desarrollo de software actual (una combinación de componentes de código abierto y de terceros, así como código desarrollado internamente) ha dado lugar a una gran cantidad de vulnerabilidades que los atacantes pueden explotar a lo largo de toda la cadena de suministro de software.

Hemos visto el impacto directo de los ataques a la cadena de suministro de software en incidentes como las infracciones de MOVEit y SolarWinds, lo que demuestra que ninguna industria, ningún tamaño de empresa o etapa de desarrollo de software es inmune. Según una encuesta de Enterprise Strategy Group (ESG), el 91% de las empresas experimentó al menos una situación de este tipo. Incidente de seguridad de la cadena de suministro de software en 2023y 2024 no parecía ser mejor.

Los equipos de seguridad están abrumados con la tarea de clasificar, evaluar y priorizar la corrección de decenas de miles de alertas para distinguir aquellas que representan un riesgo real de aquellas que son benignas. En 2023, un grupo de expertos de AppSec abordó este problema lanzando el Referencia de ataques a la cadena de suministro de software abierto (OSC&R)un marco disponible gratuitamente, similar a MITRE ATT&CK, que ayuda a las empresas a obtener una comprensión más profunda de las vulnerabilidades de su cadena de suministro de software.

El evento inaugural de la comunidad OSC&R informe“OSC&R in the Wild: Una nueva mirada a las exposiciones más comunes de la cadena de suministro de software” proporciona un análisis exhaustivo de la gravedad de las vulnerabilidades de la cadena de suministro de software. Basado en un análisis de nueve meses de más de 100 millones de alertas, decenas de miles de repositorios de códigos y 140.000 aplicaciones del mundo real, examina el riesgo para las cadenas de suministro de software y examina el ajuste entre las vulnerabilidades encontradas en la naturaleza y el enfoque de Equipos de AppSec hoy.

El estudio proporciona algunas estadísticas reveladoras, incluyendo que el 95% de las empresas tienen al menos un riesgo alto, crítico o apocalíptico en su cadena de suministro de software, y la empresa promedio tiene nueve problemas de este tipo. Además, los datos de OSC&R muestran que muchas de las vulnerabilidades más comunes en la cadena de suministro de software están relacionadas con controles de seguridad básicos como autenticación, cifrado, información disponible públicamente en registros y el principio de privilegio mínimo. A continuación se presentan algunas de las conclusiones clave del informe.

1. Preste atención a la exposición en tiempo de ejecución

Se descubrió que una de cada cinco aplicaciones contenía vulnerabilidades de tiempo de ejecución altas, críticas o apocalípticas durante la fase de ejecución de un ataque. Esto los convierte en objetivos principales para los atacantes. Dado que las vulnerabilidades de software más graves suelen surgir en fases posteriores de los ataques, es importante identificar los problemas en las primeras etapas del ciclo de vida del desarrollo del software.

Por lo tanto, los equipos de AppSec y DevOps deben apuntar a fortalecer la seguridad del tiempo de ejecución de las aplicaciones. Esto se puede lograr integrando el monitoreo continuo y Mecanismos de protección en tiempo real que se centran en las últimas fases de un ataque, cuando el potencial de daño es mayor.

2. Vale la pena solucionar las vulnerabilidades más antiguas

Si bien las vulnerabilidades más nuevas pueden aparecer en los titulares, las vulnerabilidades más antiguas siguen siendo los vectores de ataque más comunes cuando se trata de la seguridad de la cadena de suministro. Técnicas como inyección de comandos (15,4% de las aplicaciones), datos confidenciales en archivos de registro (12,4% de las aplicaciones) y secuencias de comandos entre sitios (11,4% de las aplicaciones), así como vulnerabilidades de grabación lenta como CVE-2024-3094que apuntaba a la utilidad de compresión Utilidades XZ en las principales distribuciones de Linux, todavía causan estragos en sistemas sin parches. Los atacantes continúan empleando con éxito tácticas y técnicas históricas, lo que demuestra que las vulnerabilidades de la “vieja escuela” plantean riesgos significativos y persistentes.

Para contrarrestar estas tácticas y técnicas y reducir la posibilidad de un ataque, las organizaciones deben revisar y actualizar periódicamente sus sistemas heredados y bases de código para abordar las vulnerabilidades conocidas. Además, la implementación de un sólido programa de gestión de vulnerabilidades que incluya un escaneo continuo en busca de amenazas nuevas y antiguas protegerá el software de riesgos conocidos.

3. Las vulnerabilidades que abarcan múltiples fases de ataque aumentan el daño

El análisis de datos del informe OSC&R encontró que el 36% de las aplicaciones eran vulnerables a exploits en la primera fase del ataque de acceso, y muchas se superponían en múltiples fases del ataque. De hecho, las vulnerabilidades en la fase de acceso inicial a menudo abren la puerta a amenazas más graves, como vulnerabilidades de persistencia y ejecución.

Los datos resaltan la necesidad de que el equipo de AppSec y DevOps fortalezca las defensas en todas las etapas del ciclo de vida del ataque, no solo en las fases iniciales. Las organizaciones deben adoptar soluciones de seguridad de múltiples capas que puedan detectar y neutralizar amenazas en diferentes etapas de la cadena de destrucción para evitar que los atacantes lo hagan. moverse lateralmente dentro de los sistemas y causar daños cibernéticos y comerciales generalizados.

Próximos pasos para los equipos de AppSec

Una de las preguntas que el primer informe OSC&R buscaba responder era si las prioridades de los equipos de AppSec y DevOps estaban alineadas con las vulnerabilidades que circulaban. Los datos muestran que esto todavía no es así. Si bien se están logrando avances, el gran volumen de vulnerabilidades que ingresan a las aplicaciones activas a través de la cadena de suministro y el gran porcentaje de organizaciones que reportan incidentes de seguridad en la cadena de suministro sugieren que se requiere un mayor enfoque en medidas proactivas de seguridad del software.

Además, las empresas deben analizar de forma más sistemática sus procesos de desarrollo de software y el ciclo de vida de los ataques para identificar aquellos que tienen más probabilidades de estar en riesgo. Pero los datos históricos por sí solos no son la respuesta. Las empresas necesitan implementar herramientas y procesos que les brinden una visión holística de su cadena de suministro, desde la construcción hasta el tiempo de ejecución, incluidos los entornos de desarrollo y prueba que a veces se pasan por alto.

Además, está claro que no basta con centrarse en una o dos fases del desarrollo de software o en una fase del ciclo de vida del ataque. Las organizaciones deben adoptar una estrategia de AppSec en capas y de ciclo de vida completo, acompañada de herramientas que puedan unificar todas las fases, para reducir la probabilidad de un ataque.

Los equipos de desarrollo y seguridad ahora tienen una referencia para asignar sus programas a tácticas y vectores de ataque conocidos. De hecho, OSC&R sienta las bases para operar un programa de seguridad de software optimizado que reduce la cantidad de vulnerabilidades que llegan a producción, aumenta la resiliencia de la organización en su conjunto y alivia el temor a violaciones de seguridad debido a errores de software.