SolarWinds-Hack deckt IoT- und Supply-Chain-Sicherheitslücken auf

Unabhängig von der Branche scheinen Cybersicherheitsverletzungen in Umfang und Ausmaß zu eskalieren.

Die ausgedehnte Hacking-Kampagne, die vor drei Monaten von Russland gestartet wurde – die bis zu 18.000 Kunden des texanischen Softwareherstellers SolarWinds Corp. betraf – ist ein eklatantes Beispiel für die enorme Reichweite eines potenziellen Supply-Chain-Angriffs.

Der Begriff "Supply-Chain-Risiko" ist ein großer Schirm, der viele Sicherheitsbedrohungen und -schwachstellen abdeckt. Im Fall von SolarWinds trojanisierten die Bedrohungsakteure, von denen angenommen wird, dass sie im Auftrag einer ausländischen Regierung handelten, die Software-Updates für das beliebte Tool SolarWinds Orion. Der Angriff hinterließ potenzielle Backdoor-Zugangspunkte zu Hunderten von Unternehmen und neun Bundesbehörden. Und das ist nur das, was wir wissen – wir werden die Auswirkungen dieses Verstoßes wahrscheinlich noch Jahre lang aufdecken.

Weitere Supply-Chain-Risiken

Andere Supply-Chain-Risiken können sich als Sicherheitslücken manifestieren, die in elektronische Geräte eingebaut sind. Hersteller von Smartphones, Druckern, Routern, Internet-of-Things-Geräten und kritischen Infrastruktursystemen kaufen Komponenten von Dritten. Diese Komponenten werden mit eingebetteter Firmware geliefert, die möglicherweise bereits Sicherheitslücken aufweist. Was mehr ist, wurde einige dieser Firmware nicht vom Hersteller geschrieben, sondern stammt aus Open-Source-Code, der von Freiwilligen in der IT-Community gewartet wird.

Was die breitere Supply-Chain-Industrie über Cyberangriffe wissen muss

Verschleierte Software

Es gibt eine wachsende Bewegung von Käufern, die umfassende Listen der Software in einem Gerät fordern – aber bisher ist es selten, dass Hersteller diese bereitstellen. Diese Liste, bekannt als Software Bill of Materials (SBOM), ist der Schlüssel zur Supply-Chain-Sicherheit, aber es ist wichtig zu beachten, dass sie keine Allheilmittel ist. Zum Beispiel hätte ein SBOM die SolarWinds-Backdoor nicht erkannt. Was nötig war, war, dass ein Mitglied des Sicherheitsteams die endgültigen Softwaredateien selbst analysiert, bevor sie an Kunden freigegeben wurden.

Sicherheit auf dem Rücksitz

Softwareentwickler und Gerätehersteller haben auf schnelle Entwicklungsprozesse umgestellt. Auf der Softwareseite drängt dieses agile Entwicklungsframework zu zahlreichen und schnellen Updates – manchmal um neue Funktionen hinzuzufügen, gelegentlich um Sicherheitslücken zu beheben. Es gibt einen ähnlichen Druck auf der Geräteseite – und dies gilt besonders für IoT-Geräte, die als Massenware in großen Stückzahlen verkauft werden.

In beiden Fällen nimmt die Sicherheit oft einen Rücksitz ein. Es liegt an der Führung einer Organisation, das Risiko zu erkennen, Sicherheit nicht zu priorisieren, und es liegt an den Entwicklungsteams, proaktiv Risiken zu mindern, bevor sie ausgenutzt werden können. Die Realität ist: Angreifer sind der Industrie weit voraus. Das hat Organisationen in eine reaktive Haltung versetzt und zahlreiche Vorschriften und Standards hervorgebracht. Es ist wichtiger denn je, dass Unternehmen, Hersteller und Käufer gleichermaßen einen proaktiven Ansatz verfolgen.

Potenzial für Zugriff

Globale Supply Chains sind aufgrund ihrer weitgehend vernetzten und oft schlecht gesicherten Systeme besonders attraktive Ziele geworden. Es ist gängige Praxis, Software in mehr als einem Gerät zu duplizieren – was bedeutet, dass wenn ein Hacker eine Schwachstelle in einer Türklingel-Kamera findet, es möglicherweise auch möglich ist, eine andere Marke Türklingel, einen Smart-TV, einen vernetzten Kühlschrank oder ein Heimthermostat auszunutzen.

Für Hacker ist eine Schwachstelle, die ein einzelnes Gerät betrifft, unbedeutend, weil es schwer ist, solche Hacks zu monetarisieren, aber allgegenwärtige Supply-Chain-Schwachstellen können viel wertvoller sein. Für Supply-Chain-Führungskräfte ist es wichtig, an all die Geräte in Ihrem Unternehmen zu denken, die Pivots zu anderen Systemen ermöglichen könnten.

Der SolarWinds-Verstoß war ein Weckruf für viele in der Cybersicherheits-Community und außerhalb. Für andere war es eine Bestätigung dessen, was wir bereits wussten und woran wir so hart gearbeitet haben, um es zu verhindern.

Die wichtigste Erkenntnis aus diesem Angriff ist, dass wir das Vertrauen, das wir in Anbieter, Software und Geräte setzen, neu bewerten müssen. Unabhängig davon, wo Sie in der Supply Chain stehen – vom Unternehmen als Softwarenutzer bis zum OEM oder Softwarelieferanten – Sie setzen wahrscheinlich eine unglaubliche Menge an Vertrauen in Ihre Anbieter und ihre Produkte. Wir müssen überdenken, wie wir diese Vertrauensbeziehungen bewerten, und vor allem müssen wir verstehen, wie wir die Sicherheit dieser Software, Firmware und Hardware über den gesamten Lebenszyklus hinweg verifizieren können.

Matt Wyckhouse ist Gründer und CEO von Finite State.