Ataki na łańcuchy dostaw ICT: Dlaczego hakerzy nie pukają już do frontowych drzwi?

Hakerzy nie pukają już do frontowych drzwi. Dlaczego łańcuchy dostaw ICT to dziś największe wyzwanie cyberbezpieczeństwa?

Wyobraź sobie, że montujesz w firmie najdroższe drzwi antywłamaniowe, zatrudniasz ochronę i instalujesz kamery, po czym złodziej wchodzi do środka… w przebraniu zaufanego kuriera, który codziennie dostarcza ci paczki.

Dokładnie tak działają dzisiejsze ataki na łańcuchy dostaw technologii. Grupy hakerskie, często dysponujące budżetami na poziomie państwowym, przestały marnować czas na siłowe forsowanie potężnych zapór sieciowych korporacji czy administracji publicznej. Zamiast tego uderzają w dostawców oprogramowania. Zatruta aktualizacja znanego i lubianego programu to dla nich przepustka do tysięcy firm na całym świecie za jednym zamachem.

Zarządzanie bezpieczeństwem zmieniło się bezpowrotnie po atakach takich jak ten na SolarWinds czy przy okazji globalnej paniki wywołanej luką Log4j. Jak dokładnie wygląda anatomia tego zagrożenia i jak przestać być w nim tylko biernym celem?

Jak działa cyfrowy koń trojański?

W klasycznym ataku przestępca wysyła złośliwego maila bezpośrednio do pracownika firmy. W ataku na łańcuch dostaw droga jest znacznie bardziej finezyjna i odbywa się całkowicie poza zasięgiem twojego wzroku.

Hakerzy włamują się do infrastruktury producenta oprogramowania i niepostrzeżenie wstrzykują tam swój kod. Następnie producent, będąc zupełnie nieświadomym infekcji, kompiluje swój program, podpisuje go zaufanym certyfikatem cyfrowym i rozsyła do klientów jako zwykłą, wręcz zalecaną aktualizację. Twoje systemy bezpieczeństwa widzą oficjalną paczkę od wieloletniego partnera biznesowego, więc instalują ją bez mrugnięcia okiem. Złośliwy kod omija wszystkie firewalle, aktywuje się od środka i otwiera hakerom tylną furtkę bezpośrednio do serca twojej sieci.

Gdzie łańcuch pęka najczęściej?

Aby skutecznie się bronić, trzeba zlokalizować najsłabsze ogniwa współczesnego środowiska IT, które jest systemem naczyń połączonych.

• Otwarty kod (Open Source): Większość nowoczesnych aplikacji komercyjnych to w 70-80% kod pobrany z darmowych bibliotek tworzonych przez internetową społeczność. Doskonałym przykładem jest sprawa narzędzia kompresji XZ Utils. Atakujący miesiącami udzielał się w projekcie i zdobywał zaufanie twórców, aż w końcu przemycił kod, który o włos nie trafił do milionów serwerów na całym świecie.

• Zewnętrzni dostawcy IT (MSP): Firmy, które utrzymują infrastrukturę sieciową dla innych biznesów, dysponują uprzywilejowanym dostępem administracyjnym do dziesiątek, a czasem setek klientów. Dla cyberprzestępców sforsowanie zabezpieczeń jednego dostawcy MSP to jak zdobycie głównego klucza (master key) otwierającego drzwi do wszystkich biur w wieżowcu.

• Sprzęt i firmware: Złośliwy kod ukryty głęboko w układach zarządzających serwerami czy routerami jest niezwykle trudny do wykrycia. Działa on pod radarem systemów operacyjnych i klasycznych antywirusów, co czyni go idealną kryjówką dla zaawansowanych grup przestępczych.

Jak odzyskać kontrolę? Trzy filary nowoczesnej obrony

Zrozumienie, że zagrożenie nadejdzie ze strony, której ufasz najbardziej, to pierwszy krok. Kolejnym jest wdrożenie strategii, która zminimalizuje skutki takiego uderzenia. Skuteczna ochrona opiera się dziś na trzech filarach.

1. SBOM, czyli etykieta ze składem twojego oprogramowania
Nie kupujesz w sklepie jedzenia bez sprawdzenia etykiety ze składem, zwłaszcza jeśli masz alergie. Z oprogramowaniem musi być dokładnie tak samo.

Software Bill of Materials (SBOM) to ustandaryzowana, generowana maszynowo lista wszystkich komponentów i bibliotek, z których zbudowana jest dana aplikacja. Kiedy w świecie IT wybucha pożar – na przykład pojawia się informacja o krytycznej luce w popularnej bibliotece – organizacje posiadające SBOM mogą w kilka minut sprawdzić, czy i gdzie dokładnie używają podatnego kodu. Bez tego firmy spędzają długie tygodnie na gorączkowym skanowaniu systemów i ręcznym łataniu dziur. Dziś brak SBOM-u u dostawcy oprogramowania to czerwona flaga, która coraz częściej dyskwalifikuje go w poważnych przetargach.

2. Architektura Zero Trust dla stron trzecich
Zaufanie w biznesie jest kluczowe, ale w cyberbezpieczeństwie to proszenie się o kłopoty. Koncepcja „Zero Trust” (ograniczonego zaufania) zakłada, że fakt cyfrowego podpisania programu przez giganta technologicznego nie jest już żadną gwarancją bezpieczeństwa. W praktyce oznacza to:

• Mikrosegmentację: Aplikacje od zewnętrznych dostawców powinny działać w swoich własnych, zamkniętych „bańkach”. Jeśli program księgowy nie potrzebuje dostępu do serwera z bazą danych klientów, nie powinien go mieć na poziomie fizycznej architektury sieci.

• Kontrolę ruchu wychodzącego: Złośliwy kod przemycony w aktualizacji często musi „zadzwonić do bazy”, by pobrać instrukcje od hakerów. Rygorystyczne blokowanie podejrzanego ruchu wychodzącego potrafi zdusić atak w zarodku.

3. TPRM, czyli zasada „sprawdzam” na każdym etapie współpracy
Technologia to jedno, ale bezpieczeństwo łańcucha dostaw zaczyna się na długo przed wdrożeniem jakiegokolwiek kodu – na etapie podpisywania umów. Tutaj do gry wkracza Zarządzanie Ryzykiem Stron Trzecich (TPRM).

Przez lata firmy weryfikowały swoich dostawców za pomocą długich arkuszy kalkulacyjnych z setkami pytań, wysyłanych raz do roku. Dziś hakerzy włamują się do firm w kilka minut – doroczna ankieta jest więc warta tyle, co zeszłoroczny śnieg. Nowoczesny program TPRM zmienia tę biurokrację w dynamiczny, ciągły proces:

• Twarde klauzule w kontraktach: Firma nie tylko pyta dostawcę o certyfikaty, ale wymaga udowodnienia, że potrafi on szybko reagować na incydenty. Standardem stają się zapisy SLA dotyczące czasu łatania krytycznych luk.

• Ciągły monitoring (Security Ratings): Zamiast ufać na słowo, firmy korzystają dziś z narzędzi oceniających „cyfrową reputację” dostawców w czasie rzeczywistym. Jeśli system wykryje, że pracownicy twojego dostawcy masowo padają ofiarą wycieków haseł, natychmiast zapala się czerwona lampka.

• Prawo do audytu: W relacjach B2B normą staje się wymóg, by organizacja zlecająca mogła w dowolnym momencie przeprowadzić niezależny audyt lub testy penetracyjne infrastruktury dostawcy.

Bezpieczeństwo łańcuchów dostaw to już nie tylko kwestia odpowiednich konfiguracji IT, ale fundament biznesowej przetrwalności. Budując środowisko z założeniem, że zaufany partner może (i prawdopodobnie kiedyś zostanie) zhakowany, tworzymy organizację odporną. Taką, która potrafi przyjąć cios i błyskawicznie wrócić do działania, zanim atak wyrządzi krytyczne szkody.