今年の初め、 ガートナーの予測 2025 年までに、世界中の組織の 45% が経験するであろうこと ソフトウェアサプライチェーンへの攻撃 — 2021 年から XNUMX 倍に増加しています。これらの攻撃が増加しているだけでなく、システムに侵入するレベルや攻撃者が使用する手法も新しいものになっています。 攻撃者は現在、企業の最も機密性の高いコア システムへのバックドアとして、サード パーティのクラウド サービスに付与されたアクセスを利用しています。 Mailchimp, GitHubの, Microsoft. 新世代のサプライ チェーン攻撃が出現しています。

アプリ間の統合の台頭

労働力の大部分がデジタル化されているため、組織のコア システムはクラウドに移行しています。 この加速されたクラウドの採用により、サードパーティ製アプリケーションの使用とシステムとサービス間の接続が指数関数的に増加し、まったく新しいサイバーセキュリティの課題が解き放たれました。

アプリ間の接続の増加につながる主な要因は XNUMX つあります。

• 製品主導の成長 (PLG): Okta や Slack などのサービスとしてのソフトウェア (SaaS) リーダーによる PLG とボトムアップ ソフトウェアの採用の時代
• DevOps: 開発チームは API キーを自由に生成し、
• 超自動化： ハイパーオートメーションとローコード/ノーコード プラットフォームの台頭は、「シチズン デベロッパー」がスイッチを切り替えるだけでプロセスを統合および自動化できることを意味します。

膨大な範囲の統合に、あらゆる種類のチームが簡単にアクセスできるようになりました。これは、時間を節約し、生産性を向上させることを意味します。 しかし、これにより組織の仕事は楽になりますが、潜在的に脆弱なアプリ接続に対する可視性が曖昧になり、組織の IT およびセキュリティ リーダーが環境に展開されたすべての統合を把握することが非常に困難になり、組織のデジタル サプライ チェーンが拡大します。

サードパーティの問題

この問題については、いくつかの認識があります。米国立標準技術研究所 (NIST) は最近、 ガイドラインを更新 サイバーセキュリティ サプライ チェーンのリスク管理に。 これらの新しいディレクティブ 企業がビジネスの運営を支援するためにますます多くのソフトウェアを採用するにつれて、サードパーティのコードをソフトウェア製品に統合して効率と生産性を高めることがますます増えていると考えてください。 これは素晴らしい認識ですが、見落とされているサードパーティ製アプリケーションとのコア システムの大量の統合に関連する、サプライ チェーンの依存関係の別の全体的なエコシステムがあります。

内部プロセスが不可逆的にハイパー接続されている企業の場合、攻撃者が接続されたアプリまたはサービス内の最も弱いリンクを見つけて、システム全体を侵害することができます。

企業は、この種のシナリオを管理する最善の方法を決定する必要があります。 これらのアプリがアクセスできるデータのレベルは? このアプリにはどのような権限がありますか? アプリは使用されていますか?アクティビティはどのようなものですか?

これらの統合が機能するレイヤーを理解することは、セキュリティ チームが潜在的な攻撃領域を特定するのに役立ちます。 一部の先進的な最高情報セキュリティ責任者 (CISO) は、この問題を認識していますが、課題のほんの一部しか見ていません。 製品主導の成長とボトムアップのソフトウェア採用の時代では、平均的な企業が使用するように、組織のクラウド アプリケーション間のすべての統合を可視化することは困難です。 1,400のクラウドサービス.

セキュリティギャップを埋める

デジタル サプライ チェーンへの攻撃のリスクは、コア ビジネス アプリケーションやエンジニアリング プラットフォームに限定されなくなりました。これらの脆弱性は、相互接続されたサードパーティ アプリケーション、統合、およびサービスの急増によって拡大しています。 この拡大するセキュリティ ギャップを埋めるには、新しいガバナンスとセキュリティ戦略のみが必要です。

この広大な攻撃対象領域を保護するには、市場内でパラダイム シフトが必要です。 その際、次の点に対処する必要があります。

• すべてのアプリ間接続の可視性:セキュリティ チームは、機密資産に接続するシステムだけでなく、
• 脅威の検出:スタンドアロン アプリケーションだけでなく、すべての統合の性質について、リスク レベルとエクスポージャー (冗長アクセス、過剰なアクセス許可など) を評価する必要があります。
• 修復戦略: 脅威防止戦略は、画一的なものではありません。 セキュリティの専門家は、攻撃面を構成する相互接続されたアプリの複雑な範囲を認識する状況に応じた軽減策を必要としています。
• 自動的なゼロトラストの適用:セキュリティ チームは、アプリ レイヤー アクセスに関するポリシー ガードレールを設定および適用できる必要があります (例: 許可レベル、認証プロトコル)。

良いニュースは、業界の考え方に変化が見られ始めていることです。 一部の企業はすでにイニシアチブを取り、潜在的なサービス サプライ チェーン攻撃の先を行くプロセスを導入しています。 HubSpot, これは、API キーの使用に関連する潜在的なリスクを排除するのに役立つメッセージをリリースしたばかりです。 GitHubも最近導入されました 侵害されたトークンのデータへのリスクを軽減するために、開発者と組織の所有者に強化されたセキュリティを提供する、きめの細かい個人用アクセス トークン。

最終的に、私たちが住んでいるデジタル世界はさらにハイパーコネクテッドになるだけです。 並行して、業界はサプライ チェーン内のこれらの潜在的な脅威に対する理解と知識を深める必要があります。

• コインスマート。 ヨーロッパで最高のビットコインと暗号通貨取引所。ここをクリック
• Platoblockchain。 Web3メタバースインテリジェンス。 知識の増幅。 こちらからアクセスしてください。
• 情報源： https://www.darkreading.com/attacks-breaches/the-next-generation-of-supply-chain-attacks-is-here-to-stay