Strategien für eine sichere Software-Lieferkette So funktionieren Supply-Chain-Attacks

Anbieter zum Thema

Windhoff Group

Hacker-Angriffe auf die Software-Lieferkette, auch Value-Chain- oder Third-Party-Angriffe genannt, agieren verdeckt, sind schwer abzuwehren und deren Konsequenzen unter Umständen mit großen Schäden und hohen Kosten verbunden. Welche präventiven Maßnahmen sind zu ergreifen?

Hacker nutzen Schwachstellen aus, um in das Netzwerk eines Softwareanbieters einzudringen und die ursprüngliche Funktionalität der Software mit schädlichem Code zu manipulieren. Sobald die infizierte Software an Kunden weitergegeben wird, typischerweise durch Software-Updates oder Installations­programme, öffnet sich eine Tür für nicht autorisierte Prozesse wie beispielsweise das Herausfiltern vertraulicher Informationen, Kapern von Daten oder die Kontrolle über spezifische Systeme aus der Ferne.

Solche Angriffe auf Software-Lieferketten nahmen in den letzten Jahren dramatisch zu. Kein Wunder, denn diese Methode erweist sich als sehr effektiv und beruht auf zwei wesentlichen Gründen:

• Die Hacker-Angriffe werden immer ausgefeilter und zielführender.

• Die zunehmende Digitalisierung erschafft eine beispiellose vernetzte Welt, die sich durch die Möglichkeiten der neuen Technologien, noch beschleunigen wird.

Supply-Chain-Angriffe mit riesiger Effektivität

Angriffe auf die Lieferkette sind für Hacker attraktiv, denn dadurch können sie Zugriffe auf alle Unternehmen erhalten, die diese Software verwenden. Bedrohungen dieser Art fokussieren kommerzielle Software- bzw. Open-Source-Anbieter und Hardware-Hersteller. Hierfür suchen Hacker nach unsicherem Code, unsicheren Infrastrukturpraktiken sowie unsicheren Netzwerkprozessen, die es ihnen ermöglichen, kompromittierende Komponenten einzuschleusen.

Dafür bietet der Herstellungsprozess von der Entwicklung bis zur Installation der Produkte zahlreiche Möglichkeiten. Manche Anbieter stellen Produkte zur Verfügung, die von zigtausenden Kunden genutzt werden. Auf diese Weise erhalten Hacker gleich Zugriffe auf eine sehr große Anzahl von Opfern, statt nur eine einzelne Zielorganisation damit zu kompromittieren.

So können sie still und unbemerkt – buchstäblich aus dem Hinterhalt – sehr große Mengen an Daten herausfiltern. Bei den meisten Supply-Chain-Attacken ist E-Mail-Betrug der primäre Vektor, mit dem ein Angriff beginnt, denn daurch kann im Vorfeld die notwendige Recherchearbeit geleistet und so viel wie möglich über die Zielorganisation in Erfahrung gebracht werden.

Strategien für eine sichere Software-Lieferkette

Es genügt ein schwaches Glied, um Hackern ein Tor zu sonst robusten und sicheren Umgebungen zu bieten. Dementsprechend liegt der Schlüssel zu jeder sicheren Software-Lieferkette in der Fähigkeit, Schwachstellen schnell zu erkennen und zu beheben, bevor sie von Hackern ausgenutzt werden können. Folgende Strategien sollten unter anderem in Betracht gezogen werden:

SBOM

Unternehmen benötigen eine sogenannte Software-Stückliste (Software Bill of Materials, SBOM), die das Inventar der Komponenten angibt, die zur Erstellung eines Software-Artefakts wie einer Software-Anwendung verwendet werden. Im Wesentlichen handelt es sich bei einer SBOM um eine Bestandsaufnahme aller Softwarekomponenten wie Bibliotheken, Frameworks und generierten Codes, die in der gesamten Software-Lieferkette verwendet werden.

Mit einer SBOM kann ein Unternehmen ein umfassendes Kompendium der Zusammensetzung und Abhängigkeiten seiner Software entwickeln, um potenzielle Schwachstellen schnell zu erfassen und beheben zu können. Treten später Mängel an einem bestimmten Teil auf, lassen sich die betroffenen Produkte anhand der SBOM sehr schnell identifizieren.

Check auf Schwachstellen

Jede Softwarekomponente, die Teil einer SBOM ist, sollte auf öffentlich bekannt gegebene IT-Security-Schwachstellen überprüft werden, und jede entdeckte Schwachstelle sollte sofort behoben werden. Beginn der Überprüfung mit einem Scan von Schwachstellen in den frühesten Phasen des Software-Entwicklungslebenszyklus, um Probleme zu erkennen, bevor ihre Behebung schwieriger und vor allem auch kostspieliger wird.

Das Scannen sollte während der gesamten CI/CD-Pipeline erfolgen, vom Build über den Test und die Bereitstellung bis zur Laufzeit. Darüber hinaus darf das Scannen keine einmalige Aktivität sein. Vielmehr muss dies kontinuierlich in allen Software-Umgebungen erfolgen, da es nicht selten vorkommt, dass Schwachstellen erst viel später entdeckt werden.

Festlegung von Zero-Trust-Richtlinien

Unternehmen müssen explizit Zero-Trust-Richtlinien definieren, um zu erfassen, was die verschiedenen Teile der Anwendungs-Workloads tun oder auf was sie zugreifen dürfen. Zero-Day-Angriffe stellen ein besonders großes Risiko dar, da sie unbekannte Schwachstellen ausnutzen, für die es noch keinen Patch gibt.

Durch solche Angriffe erhalten Hacker sehr leicht Zugriffe auf eingeschränkte Ressourcen wie Dateien, Prozesse und Netzwerke. Um diese Angriffe einzudämmen, sind die Prinzipien des Zero Trust von entscheidender Bedeutung. Im Wesentlichen wendet Zero Trust eine Mikrosegmentierungstechnik an und verwendet Sicherheitsrichtlinien, um den unbefugten Zugriff auf eingeschränkte Ressourcen durch bösartigen Code zu verhindern, der von Hackern eingeschleust wird.

Einrichtung von Honeypots

Ein Honeypot umfasst Fake-Daten, die allerdings wie sensible bzw. wertvolle Daten aussehen. Die Mechanik funktioniert wie ein Stolperdraht, der die IT-Security-Teams darüber aufmerksam macht, dass ein System gerade kompromittiert wird.

IAM-Systeme einführen

Ein Identity-Access-Management-System bietet ein zentralisiertes Dashboard, mit dem die IT-Security-Teams über die gesamte Umgebung hinweg Datenzugriffe kontrollieren und Accounts erstellen als auch deaktivieren können. Dadurch lassen sich Berechtigungen im Netzwerk besser verwalten und potenziellen Missbrauch erkennen, da sie an einem Ort gesammelt werden.

Begrenzung privilegierter Accounts

Bei vielen Supply-Chain-Attacks bewegen sich Hacker nach einer Kompromittierung oft lateral durch ein Netzwerk. Indem ein privilegierter Zugang nur wenigen Accounts vorbehalten ist, kann das Risiko begrenzt werden.

Fazit

Aufgrund zunehmender Angriffe auf Software-Lieferketten müssen Unternehmen dringend zielführende Maßnahmen ergreifen, um die Bestandteile und Komponenten ihrer Software zu identifizieren, Codes zu prüfen und in den gesamten Ökosystemen eine Zero-Trust-Methodik zu implementieren. Wer es versäumt, solide Strategien zur Dokumentation der Lieferketten und zur Behebung bekannter und unbekannter Schwachstellen zu entwickeln, riskiert sowohl erhebliche finanzielle Verluste als auch einen dauerhaften Rufschaden.

(ID:49978013)