Lo scorso anno sono state pubblicate oltre 20.000 vulnerabilità e esposizioni comuni (CVE) nel National Vulnerability Database (NVD). Si tratta di un aumento del 10% rispetto a 2020 e rappresenta un nuovo massimo storico per il quinto anno consecutivo. La gestione dei rischi informatici associati a questi bug rappresenterebbe una sfida anche nelle circostanze più favorevoli. Ma la situazione sta diventando ancora più complessa, poiché le organizzazioni ampliano i propri investimenti nel digitale e accelerano lo sviluppo di progetti software sviluppati internamente.
Come spiega Tim Morris, esperto di strategie tecnologiche dell’ Tanium , in un nuovo video, la chiave per gestire questa crescente complessità della catena di fornitura – e per difendersi dagli attacchi alla catena di fornitura del software – consiste nell’ottenere una visibilità completa su ciò che è in esecuzione e, di conseguenza, il controllo necessario per risolvere eventuali problemi.
Che cos’è la gestione della catena di fornitura del software?
Le catene di approvvigionamento costituiscono un canale fondamentale per la produzione dei prodotti che consumiamo quotidianamente. Che si tratti di un nuovo paio di jeans o di una confezione di aspirina, sarà sempre presente un elenco degli ingredienti o dei materiali fornito dai fornitori. A prima vista, il software non è diverso. Il software è costituito da componenti di base, i quali vengono realizzati dai numerosi sviluppatori, team e aziende che compongono la catena di fornitura del software. Tuttavia, a differenza della maggior parte dei prodotti manifatturieri, è improbabile che le organizzazioni che utilizzano software dispongano di un elenco pratico degli ingredienti fornito dai propri fornitori.
Infatti, le catene di approvvigionamento del software stanno diventando sempre più complesse, poiché un numero crescente di team DevOps cerca di sviluppare prodotti internamente utilizzando codice open source di terze parti. Sebbene ciò acceleri il time-to-value, crea maggiore opacità e potrebbe esporre l’organizzazione a ulteriori rischi. Basta dare un’occhiata alla utility Log4j . Quando i bug sono nascosti in una sorta di “matrioska” di file compressi, diventa più difficile individuare e correggere le vulnerabilità CVE in tutto l’ambiente quando vengono alla luce.
Tutto ciò costituisce un vero e proprio polo di attrazione per gli autori di minacce. Il codice open source ha notevolmente ampliato la superficie di attacco delle aziende, offrendo loro ulteriori opportunità sia di sfruttare bug noti nel codice sia di introdurne di nuovi nelle librerie di codice. Ma non è tutto. Gli autori degli attacchi stanno inoltre intensificando i propri sforzi per compromettere software proprietario affidabile. Ad esempio, è quanto è avvenuto nel caso di SolarWinds.
La sicurezza della catena di approvvigionamento inizia con l’analisi dei componenti presenti all’interno dei componenti stessi
Tutto ciò sta avvenendo nell’ endpoint (spazio informatico), che diventa così il nuovo fronte nella lotta contro i rischi informatici. La sfida consiste nel fatto che i team di sicurezza odierni devono non solo comprendere quali applicazioni siano in esecuzione su questi endpoint in ogni momento, ma anche quali componenti vengano utilizzati all’interno di tali applicazioni. E se, ad esempio, in uno di questi componenti fosse presente un bug nascosto? Oppure, se il componente stesso è stato configurato in modo errato ed è ora a rischio di compromissione?
Ciò si sta verificando anche nel contesto di un ambiente di " endpoint " che si è notevolmente ampliato rispetto al periodo pre-pandemia. Grazie alla forte crescita dei dispositivi per il lavoro da remoto e agli investimenti nel cloud, la superficie di attacco non è mai stata così ampia. E ai cattivi basta avere fortuna una sola volta.
È ora di agire
In che modo si configura, quindi, una gestione del rischio conforme alle migliori pratiche per la catena di fornitura del software? Tutto si riduce ai principi fondamentali della “cyber-igiene”: conoscere, gestire, proteggere. Le organizzazioni non possono proteggere ciò che non gestiscono, né possono gestire ciò che non conoscono. Il primo passo consiste nell’acquisire visibilità su ciò che è in esecuzione tramite , un inventario completo delle risorse (si apre in una nuova scheda) e la gestione delle configurazioni.
Tanium fornisce un supporto prezioso, offrendo queste informazioni in modo continuo, rapido e su larga scala, consentendo ai team di porre domande sul proprio ambiente, approfondire i contenuti delle applicazioni e intervenire immediatamente qualora qualcosa non fosse corretto. Questa visibilità completa consente inoltre quel tipo di risposta agli incidenti in tempo reale che semplicemente non è possibile ottenere con strumenti quali l’Extended Detection and Response (XDR). Se i malintenzionati agiscono in pochi secondi o minuti, non possiamo permetterci di reagire agli incidenti solo dopo diversi giorni.
Ottenga una visione completa del Suo profilo di rischio grazie alla nostra valutazione gratuita dei rischi. Richieda oggi stesso il Suo rapporto sui rischi. (si apre in una nuova scheda)
