Start Empfohlen Angriffe auf die Lieferkette im Jahr 2021 mehr als verdreifacht

Angriffe auf die Lieferkette im Jahr 2021 mehr als verdreifacht

25
0


Gebrochene Kette

Die Angriffe auf die Softwarelieferkette nahmen 2021 im Vergleich zu 2020 um mehr als 300 Prozent zu, da sich die Angreifer auf Open-Source-Schwachstellen und -Vergiftungen, Probleme mit der Codeintegrität und die Ausnutzung des Softwarelieferkettenprozesses und des Vertrauens der Lieferanten zur Verbreitung von Malware oder Hintertüren konzentrierten.

Gemäß Aqua-Sicherheit‚S Argonische Sicherheit arm, 2021 Software Supply Chain Security Review, bleibt die Sicherheit in allen Softwareentwicklungsumgebungen gering, und signifikanterweise hatte jedes bewertete Unternehmen Schwachstellen und Fehlkonfigurationen, die es Angriffen auf die Lieferkette aussetzen könnten.

„Die Anzahl der Angriffe im vergangenen Jahr und die weitreichenden Auswirkungen eines einzelnen Angriffs verdeutlichen die enorme Herausforderung, vor der Anwendungssicherheitsteams stehen“, sagt Eran Orzel, Senior Director of Argon Customer Success and Sales. „Leider fehlen den meisten Teams die Ressourcen, das Budget und das Wissen, um mit Supply-Chain-Angriffen fertig zu werden. Hinzu kommt, dass AppSec-Teams zur Bekämpfung dieses Angriffsvektors die Zusammenarbeit von Entwicklungs- und DevOps-Teams benötigen, und Sie können verstehen, warum dies schwierig ist Herausforderung zu meistern.“

Der Bericht identifiziert drei besondere Bereiche des Lieferkettenrisikos. Verwendung von Paketen mit anfälligem Open-Source-Code, kompromittierten Pipeline-Tools und Hochladen von schlechtem Code in Quellcode-Repositories.

Open-Source-Code ist Teil fast aller kommerziellen Software, und viele der verwendeten Pakete weisen vorhandene Schwachstellen auf, da der Prozess des Upgrades auf eine sicherere Version Anstrengungen von Entwicklungs- und DevOps-Teams erfordert.

Angreifer können privilegierten Zugriff, Fehlkonfigurationen und Schwachstellen in der CI/CD-Pipeline-Infrastruktur (wie: Quellcode-Verwaltungssystem, Build-Agent, Paketregistrierungen und Dienstabhängigkeiten) ausnutzen, die Zugriff auf kritische IT-Infrastruktur, Entwicklungsprozesse, Quelle bieten Code und Anwendungen.

Das Hochladen von fehlerhaftem Code in Quellcode-Repositories wirkt sich direkt auf die Artefaktqualität und den Sicherheitsstatus aus. Häufige Probleme sind hier sensible Daten im Code, Codequalitäts- und Sicherheitsprobleme, Infrastruktur-als-Code-Probleme, Container-Image-Schwachstellen und Fehlkonfigurationen.

„Der Software-Supply-Chain-Prozess ist eine Kernkomponente des Lebenszyklus der modernen Anwendungsentwicklung. Wenn dieser breite Angriffsvektor offen bleibt, droht die Anwendungssicherheit von Unternehmen erheblich zu sinken, wodurch möglicherweise sensible Daten offengelegt und zusätzliche Einstiegspunkte in die Anwendung zur Laufzeit geschaffen werden.“ fügt Orzel hinzu. „In vielen Fällen haben Sicherheitsteams keinen Einblick in diesen Prozess, bis es zu spät ist, da die meisten Unternehmen keine präventiven Fähigkeiten innerhalb der CI/CD-Tools und -Prozesse haben.“

Ein Whitepaper zur Sicherung von Software-Lieferketten erhalten Sie von der Argon-Website.

Bildnachweis: frank_peters/ Shutterstock



Vorheriger ArtikelAustraliens Premier verliert WeChat-Account, Zensurvorwürfe an China
Nächster ArtikelApple Car: Herber Rückschlag beim E-Auto-Projekt

Kommentieren Sie den Artikel

Bitte geben Sie Ihren Kommentar ein!
Bitte geben Sie hier Ihren Namen ein