Avrupa Siber Güvenlik Ajansı (ENISA), son 24 tedarik zinciri yazılım saldırısını analiz etti ve mevcut güvenliğin artık yeterli olmadığı sonucuna vardı.
Analizlerinde en son tedarik zinciri saldırıları arasında SolarWinds Orion yazılımı, CDN sağlayıcısı Mimecast, Codecov ve Kaseya yer alıyor.
ENISA, Gelişmiş Kalıcı Tehdit (APT) tedarik zinciri saldırılarına odaklanır ve kod, açıklardan yararlanmalar ve kötü amaçlı yazılımlar "gelişmiş" olarak kabul edilmezken tasarım, hazırlama ve yürütmenin karmaşık görevler olduğunu not eder. Tedarik zinciri saldırılarının 11'inin tanınmış APT ekipleri tarafından gerçekleştirildiğini belirtiyor.
Ajans, tedarik zinciri saldırılarının çok daha kötü olmasını bekliyor: "Bu nedenle, gelecekte olası tedarik zinciri saldırılarını önlemek ve ele almak için acilen yeni güvenlik önlemlerinin getirilmesi gerekiyor."
ENISA analizi, saldırganların bildirilen vakaların yaklaşık %66'sında tedarikçi koduna odaklandığını buldu. Satıcıların aynı yüzdesi, ortaya çıkmadan önce saldırıdan haberdar değildi.
Müşteriler için öneriler şunları içerir:
- tedarikçilerin ve hizmet sağlayıcıların tanımlanması ve belgelenmesi
- satıcı ve müşteri bağımlılıkları, kritik yazılım bağımlılıkları, bireysel hata noktaları gibi farklı satıcı ve hizmet türleri için risk kriterleri belirleme
- tedarik zinciri risklerini ve tehditlerini izleme
- Ömrünü tamamlamış ürün veya bileşenlerin işlenmesine yönelik prosedürler de dahil olmak üzere, bir ürün veya hizmetin ömrü boyunca tedarikçileri yönetmek
- Tedarikçiler tarafından paylaşılan veya erişilebilir olan varlıkların ve bilgilerin sınıflandırılması ve bunların erişimi ve işlenmesi için ilgili prosedürleri oluşturur.
ENISA, tedarikçilere aşağıdakileri tavsiye etmektedir:
- ürünleri, bileşenleri ve hizmetleri tasarlamak, geliştirmek, üretmek ve teslim etmek için kullanılan altyapının siber güvenlik uygulamaları
- Yaygın olarak kabul edilen ürün geliştirme süreçleriyle tutarlı bir ürün geliştirme, bakım ve destek sürecinin uygulanması
- üçüncü taraf verileri de dahil olmak üzere iç ve dış kaynaklardan bildirilen güvenlik açıklarının izlenmesi
- yamayla ilgili bilgileri içeren varlıkların bir listesini tutar.
Bilgi kaynağı: zdnet.com