Drei bewährte Schritte zur Absicherung Ihrer Software-Lieferkette

Computercode ist das Fundament jeder Technologie – von Smartphones über Roboter bis zu den Netzwerken, die sie verbinden. In der heutigen digitalen Welt macht das Code auch zum Fundament vieler – wenn nicht der meisten – Unternehmen und Services.

Hacker erkennen das und nutzen es. Ein aktuelles, prominentes Beispiel: der Angriff auf FireEye, der multiple trojanisierte Updates der SolarWinds-Software nutzte. Indem sie Softwareanbieter angriffen, installierten Hacker Backdoors in Unternehmen, die ihnen wiederum Zugriff auf ihre eigentlichen Ziele ermöglichten: Regierungsbehörden, die Services von diesen Unternehmen bezogen.

Diese Angriffsart nutzt auch Vertrauen. Unternehmen, Regierungen und andere Kunden gehen davon aus, dass ein Software- oder Firmware-Update vom Vendor sicher zu installieren ist. Einige vertrauen, aber verifizieren: Sie prüfen die Website des Vendors auf den Hash-Wert des Updates und vergleichen mit dem Download. Stimmen sie überein, gehen sie davon aus, es sei frei von Vulnerabilitäten.

Dieses Vertrauen schafft Chancen für böswillige Akteure, die den Source Code während des Entwicklungsprozesses manipulieren können. Nutzer laden unwissentlich einen Exploit herunter, der oft wochen- oder monatelang still sitzt, sich durch die Organisation ausbreitet, um letztlich ein Roster von Partnern, Lieferanten oder Kunden anzugreifen. Wie können sich Organisationen schützen?

1. Böse Akteure fernhalten

Ein Supply Chain Risk Management (SCRM)-Programm ist kritisch für die Minderung von Bedrohungen und Vulnerabilitäten, die der Adoption und Integration von Drittanbieter-Produkten und -Services inhärent sind. Es deckt People, Processes und Technology ab und spannt mehrere Abteilungen: Security, IT, Human Resources (HR), Procurement und Legal. Besonders wichtig: SCRM in den Software Development Life Cycle (SDLC) zu erweitern. Dabei schafft das SCRM-Programm eine Sicherheitskultur, in der jeder Teilnehmer ist und auf dasselbe Ziel ausgerichtet ist.

Innerhalb des SDLC fokussiert SCRM auf Personen, die Code und zugehörige Ressourcen wie Toolsets anfassen müssen. Verständlicherweise sollten diese Mitarbeiter im Einstellungsprozess gründlich geprüft werden – inklusive Background Checks zur Identifikation potenzieller Verbindungen zu krimineller Aktivität und/oder Nationalstaaten.

Unternehmen, die Staffing-Firmen nutzen, müssen sicherstellen, dass die Firma ihre einzigartigen, spezifischen Anforderungen versteht. Beispiel: Unternehmen sollten wissen, wer ihre Staffing-Firmen sind und ob sie Präsenz in Ländern mit Geschichte staatlich gesponserten Cybercrimes haben. Bei proprietären und vertraulichen Infos wollen Unternehmen nicht, dass Remote-Offices der Staffing-Firmen Resumes und Kandidaten liefern, die potenzielle Insider-Threat-Pflanzen sind. Nationalstaat-Angreifer fokussieren zunehmend darauf, ihre Leute in Zielorganisationen zu platzieren. Sie haben finanzielle Ressourcen, um Leute zu trainieren, die begehrte Coding-Skills und andere gesuchte Credentials demonstrieren – die ihre Lebensläufe an die Spitze des Stapels heben. Das müssen HR-Teams und Hiring Manager im Blick haben.

Es ist möglich, dass einige böse Akteure selbst die sorgfältigsten Screening- und Hiring-Prozesse durchschlüpfen. Deshalb ist es wichtig, Mitarbeiteraktivität durch ein gut definiertes Insider-Threat-Programm zu überwachen, um ungewöhnliches und verdächtiges Verhalten zu identifizieren: unautorisierte Privilegieneskalation, Zugriff auf Systeme, Programme, Applikationen.

Ein SCRM-Programm sollte auch die Personen identifizieren, die Code und Ressourcen wie Toolsets anfassen müssen, und dann Safeguards implementieren, um all das von allen anderen fernzuhalten. Einmal lizenziert, sollte der Code die Sole Source für autorisierte Entwickler sein – sie können keinen zusätzlichen Code von externen Quellen einbringen. Im Kern: Sobald Code bereits bewertet und kontrolliert ist, wollen Unternehmen nicht, dass Entwickler Code von neuen, noch nicht sicherheitsbewerteten Quellen holen. Diese Best Practice mindert Vulnerabilitäten wie Backdoors in unbefugtem Code, den autorisierte Entwickler unwissentlich nutzen, oder undokumentierte Portale, die von unbefugten Nutzern versteckt werden.

2. Prüfen und kontrollieren

Technologie eng zu kontrollieren, bietet eine weitere Schutzebene. Beispiel: Selbst bei internen Versetzungen, erwägen Sie, Mitarbeitern einen neuen Laptop mit einem Image zu geben, das spezifisch für ihre neue Rolle und Abteilung erstellt wurde. Deaktivieren Sie auch zuvor erworbene Zugriffe, die nicht mehr benötigt sind. Das hilft, Data und Access privilegiert zu halten.

Die IT-Abteilung sollte auch brandneue Computer vor Ausgabe an Entwickler re-imagen. Das Verwenden des Standard-Vendor-Images könnte Backdoors erzeugen, wenn OS und vorinstallierte Bloatware kompromittierten Code haben. Stattdessen: Custom, gehärtetes Image für diese Geräte erstellen.

Alle neuen Hard- und Softwaretypen sollten initial für eine gewisse Zeit gesandboxed werden. Das gibt IT Zeit, Verhalten zu prüfen – z. B. unaufgeforderte Calls ins Internet, um Daten herunterzuladen. Es erstellt auch eine Baseline, um plötzliche Verhaltensänderungen Monate oder Jahre später zu detektieren, die Kompromittierung anzeigen könnten.

3. Sicherheitskultur schaffen

Das ist viel zu bedenken – was unterstreicht, warum SCRM ein Cross-Organization-Effort sein muss. Beispiel: Legal sollte sicherstellen, dass Vendor- und Partnerverträge Sprache zu Audits enthalten, um Compliance aller Requirements zu gewährleisten. HR kann helfen, Regeln für Candidate-Screening zu entwickeln und durchzusetzen.

C-Level Buy-in und Leadership sind Schlüssel für diesen Team-Effort und sicherzustellen, dass Ressourcen für SCRM-Implementierung verfügbar sind. Das produziert eine Sicherheitskultur, die die gesamte Organisation spannt und Sicherheit vom Afterthought in einen fundamentalen Teil des Entwicklungsprozesses transformiert.

Michael Iwanoff ist Chief Information Security Officer bei iconectiv.