Thought Leadership
SANS Institute, Anbieter von Cybersicherheitsschulungen und -zertifizierungen, veröffentlicht die Ergebnisse des Detecting and Preventing Software Dependency Attacks Reports 2022. Supply Chain-Attacken waren das dominante Thema der letzten Jahre. Im Fokus von Software Dependency Attacken stehen vor allem Verbraucher und Entwickler.
Bedrohungsakteure wissen, dass die Abhängigkeiten von Standard-Business Software ein einfacher Weg sind, um ihre Malware über viele Ziele zu verbreiten. Sie müssen lediglich einen Entwickler dazu verleiten, eine kompromittierte Software-Bibliothek, einen infizierten Docker-Container oder ein anderes ausführbares Modul in einem bereitgestellten Paket zu implementieren und schon haben sie einen kostengünstigen Supply-Chain-Angriff kreiert.
Weitere Möglichkeiten eine Software Dependency-Attacke zu starten sind:
- Kompromittierung eines Bibliotheks- oder Komponentenentwicklers
- Kompromittierung eines Dienstes oder Plug-ins, das bei der Erstellung, Speicherung oder Bereitstellung einer Komponente verwendet wird
- Kauf einer weit verbreiteten Komponente
- Kauf der E-Mail-Domäne, die mit einem Verwaltungskonto für eine Komponente verknüpft ist
- Kompromittierung des Update- (oder Auto-Update-) Mechanismus für die Komponente
Studienautor Jake Williams erklärt: „Software Supply Chain-Attacken sind aus Verteidigersicht eine Aufgabe des Third Party Risk Managements. Allerdings sind Third Party Risk Assessments nicht der richtige Weg Entwickler und Verbraucher vor diesen Attacken zu schützen. Vielmehr braucht es einen dreiteiligen Ansatz. Zum einen lassen sich Attacken verhinden, durch die Vermeidung, dass bei der Entwicklung bzw. Erstellung der Software Komponenten mit Hintertüren verwendet werden. Eine große Rolle spielt der zweite Schritt, dass die kompromittierten Komponenten überhaupt erkannt werden, bevor sie in die Software eingebaut werden. Zum dritten müssen diese Komponenten auch nach der Bereitstellung und Verbreitung der Software erkannt werden.“
Zur Erkennung vor und nach der Bereitstellung von Software vor allem Standard Business-Software eingeschleusten Schadcodes gibt es eine ganze Reihe von Tools wie SBOMs, SCAs, SAST sowie zahlreicher altbewerter und neuer Security-Technologien wie EDR, NDR, Threat Intelligence oder Container Monitoring.
www.sans.org
