Três Passos Comprovados para Proteger Sua Cadeia de Suprimentos de Software

Código de computador é a base para cada peça de tecnologia, de smartphones a robôs e redes que os conectam. No mundo digital de hoje, isso também torna o código parte da base para muitos — senão a maioria — de negócios e serviços.

Hackers reconhecem esse fato e o aproveitam. Um exemplo recente e de alto perfil é o ataque à FireEye que usou múltiplas atualizações trojanizadas do software SolarWinds. Ao alvejar provedores de software, hackers conseguiram instalar portas traseiras em empresas que, por sua vez, lhes permitiram alcançar seus alvos pretendidos: agências governamentais que recebiam serviços dessas empresas.

Este método de ataque também alavanca confiança. Empresas, governos e outros clientes assumem que se uma atualização de software ou firmware vem do fornecedor, é segura para instalar. Alguns confiam mas verificam; checam o site do fornecedor pelo valor hash da atualização e comparam com o download. Se coincidirem, assumem que está livre de vulnerabilidades.

Essa confiança cria oportunidades para atores maliciosos capazes de manipular código-fonte durante o processo de desenvolvimento. Como resultado, usuários baixam inadvertidamente um exploit, que muitas vezes fica quieto por semanas ou meses enquanto se espalha pela organização para finalmente atacar uma lista de parceiros, fornecedores ou clientes. Como organizações podem se proteger?

Mantenha maus atores fora

Um programa de gestão de risco da cadeia de suprimentos (SCRM) é crítico para mitigar ameaças e vulnerabilidades inerentes à adoção e integração de produtos e serviços de terceiros. Ele cobre pessoas, processos e tecnologia, e abrange múltiplos departamentos incluindo segurança, TI, recursos humanos (RH), procurement e jurídico. É especialmente importante expandir o programa SCRM de uma empresa para o ciclo de vida de desenvolvimento de software (SDLC). No processo, o programa SCRM cria uma cultura de segurança onde todos são participantes e alinhados ao mesmo objetivo.

Dentro do SDLC, um programa SCRM foca nas pessoas que precisam tocar o código e recursos relacionados como conjuntos de ferramentas. Entendivelmente, esses funcionários devem ser minuciosamente vetados durante o processo de contratação, incluindo verificações de antecedentes para identificar quaisquer laços potenciais com atividade criminosa e/ou estados-nação.

Empresas que utilizam firmas de staffing precisam garantir que a firma entenda seus requisitos únicos e específicos. Por exemplo, empresas devem saber quem são suas firmas de staffing e se têm presença em países com histórico de cibercrime patrocinado por estado. Quando empresas lidam com informações proprietárias e confidenciais, não querem que escritórios remotos de firmas de staffing alimentem currículos e candidatos que são potenciais ameaças internas. Atacantes de estado-nação estão cada vez mais focados em colocar suas pessoas em organizações alvo. Eles têm recursos financeiros para treinar pessoas, que demonstram habilidades de codificação cobiçadas e outras credenciais procuradas que elevam seus currículos ao topo da pilha. Isso é algo para equipes de recursos humanos e gerentes de contratação estarem cientes.

É possível que alguns maus atores passem mesmo pelos processos mais cuidadosos de triagem e contratação. Por isso é importante monitorar atividade de funcionários através de um programa de ameaça interna bem definido para identificar comportamentos incomuns e suspeitos como escalada não autorizada de privilégios e acesso a sistemas, programas e aplicações.

Um programa SCRM também deve identificar as pessoas que precisam tocar o código e recursos relacionados como conjuntos de ferramentas, e então implementar salvaguardas para manter tudo isso longe de todos os outros. Uma vez que o código é licenciado, deve ser a única fonte para desenvolvedores autorizados, significando que não podem trazer código adicional de fontes externas. Essencialmente, uma vez que o código já é avaliado e controlado, negócios não querem desenvolvedores saindo para buscar código de novas fontes que ainda não foram avaliadas para riscos de segurança. Essa prática recomendada mitiga vulnerabilidades como portas traseiras enterradas em código não autorizado inadvertidamente usado por desenvolvedores autorizados ou portais não documentados escondidos por usuários não autorizados.

Examine e controle

Controlar tecnologia rigidamente fornece outra camada de proteção. Por exemplo, mesmo quando funcionários transferem dentro da organização, considere fornecer-lhes um novo laptop com imagem criada especificamente para sua nova função e departamento. Também, desative qualquer acesso adquirido anteriormente que não seja mais necessário. Isso ajuda a garantir que dados e acesso permaneçam privilegiados.

O departamento de TI também deve reimagem computadores novos antes de serem emitidos para desenvolvedores. Usar a imagem padrão fornecida pelo fornecedor poderia criar portas traseiras se o sistema operacional e qualquer bloatware pré-instalado tiverem código comprometido. Em vez disso, crie uma imagem customizada e endurecida para esses dispositivos.

Todos novos tipos de hardware e software devem ser inicialmente testados em sandbox por algum período. Isso dá ao departamento de TI tempo para examinar seu comportamento, como fazer chamadas não solicitadas à internet para tentar puxar dados. Também cria uma linha de base para ajudar a detectar mudanças repentinas de comportamento meses ou anos depois que poderiam indicar que foram comprometidos.

Crie uma cultura de segurança

Isso é muito a considerar, o que destaca por que SCRM deve ser esforço transversal à organização. Por exemplo, o departamento jurídico deve garantir que contratos de fornecedores e parceiros contenham linguagem sobre auditorias para assegurar que todos requisitos sejam seguidos. Enquanto isso, RH pode ajudar a desenvolver e impor regras para triagem de candidatos.

Buy-in e liderança de nível C são chave para alcançar esse tipo de esforço de equipe e garantir que recursos estejam disponíveis para implementar um programa SCRM. Isso produz uma cultura de segurança que abrange toda a organização e transforma segurança de um pensamento posterior em parte fundamental do processo de desenvolvimento.

Michael Iwanoff é chief information security officer na iconectiv.