Violação da SolarWinds Revela Vulnerabilidades de Segurança em IoT e Supply Chain

Não importa o setor, as violações de cibersegurança parecem estar aumentando em tamanho e escala.

A extensa campanha de hacking lançada pela Rússia há três meses — que impactou até 18.000 clientes da fabricante de software sediada no Texas, SolarWinds Corp. — é um exemplo flagrante do alcance de um potencial ataque à supply chain.

O termo "risco de supply chain" é um grande guarda-chuva que cobre muitas ameaças e vulnerabilidades de segurança. No caso da SolarWinds, os atores de ameaça, acreditados trabalhando em nome de um governo estrangeiro, trojanizaram as atualizações de software de uma ferramenta popular, o SolarWinds Orion. O ataque deixou potenciais pontos de acesso backdoor para centenas de empresas e nove agências federais. E isso é apenas o que sabemos — provavelmente estaremos descobrindo os efeitos desta violação por anos.

Outros riscos de supply chain podem se manifestar como falhas de segurança incorporadas em dispositivos eletrônicos. Fabricantes de smartphones, impressoras, roteadores, dispositivos de internet das coisas e sistemas de infraestrutura crítica compram componentes de terceiros. Estes componentes são enviados com firmware embutido que pode ter falhas de segurança existentes. Além disso, parte desse firmware não foi escrita pelo fabricante, mas vem de código aberto mantido por voluntários da comunidade de TI.

Aqui está o que a indústria de supply chain em geral precisa saber sobre ciberataques.

Software Velado

Há um movimento crescente de compradores exigindo listas abrangentes do software dentro de um dispositivo — mas, por enquanto, é raro que fabricantes forneçam. Essa lista, conhecida como lista de materiais de software (SBOM), é chave para a segurança da supply chain, mas é importante notar que não é uma cura para tudo. Por exemplo, um SBOM não teria detectado o backdoor da SolarWinds. O que era necessário era que um membro da equipe de segurança analisasse os arquivos finais do software antes de ser lançado aos clientes.

Banco Traseiro

Desenvolvedores de software e fabricantes de dispositivos mudaram para processos de desenvolvimento rápido. No lado do software, esta estrutura de desenvolvimento ágil empurra numerosas e rápidas atualizações, às vezes para adicionar novos recursos, ocasionalmente para corrigir falhas de segurança. Há um impulso semelhante no lado dos dispositivos — e isso é especialmente verdadeiro para dispositivos IoT vendidos como produtos de commodity em massa.

Em qualquer caso, a segurança acaba ficando em segundo plano. Cabe à liderança de uma organização reconhecer o risco de não priorizar a segurança, e cabe às equipes de desenvolvimento serem proativas na mitigação desses riscos antes que possam ser explorados. A realidade é que os atacantes estão bem à frente da indústria. Isso colocou as organizações em uma postura reativa e deu origem a numerosas regulamentações e padrões. É mais importante do que nunca que empresas, fabricantes e compradores adotem uma abordagem proativa.

Potencial de Acesso

As supply chains globais tornaram-se alvos particularmente atraentes devido a seus sistemas amplamente conectados e muitas vezes mal protegidos. É prática comum duplicar software em mais de um dispositivo — significando que se um hacker encontra uma vulnerabilidade em uma campainha com câmera, também pode ser possível explorar outra marca de campainha, uma smart TV, uma geladeira conectada ou um termostato doméstico.

Para hackers, uma vulnerabilidade que afeta um único dispositivo é insignificante, porque é difícil monetizar esses tipos de hacks, mas vulnerabilidades pervasivas de supply chain podem ser muito mais valiosas. Para executivos de supply chain, é importante pensar em todos os dispositivos em seu negócio que poderiam permitir pivôs para outros sistemas.

A violação da SolarWinds foi um alerta para muitos dentro da comunidade de cibersegurança e fora dela. Para outros, foi uma confirmação do que já sabíamos, e do que temos trabalhado tão arduamente para prevenir.

A lição mais importante deste ataque é que precisamos reavaliar a confiança que depositamos em fornecedores, software e dispositivos. Independentemente de onde você esteja na supply chain, de um usuário empresarial de software a um OEM a um fornecedor de software, você provavelmente está depositando uma quantidade incrível de confiança em seus fornecedores e seus produtos. Precisamos repensar como avaliamos essas relações de confiança, e mais importante, precisamos entender como podemos verificar a segurança desse software, firmware e hardware durante todo o ciclo de vida.

Matt Wyckhouse é fundador e CEO da Finite State.