Ancaman Rantai Pasokan

Serangan rantai pasokan perangkat lunak membahayakan organisasi bukan dengan membobolnya secara langsung, melainkan dengan merusak sesuatu yang dipercayai dan digunakannya: pustaka, alat pembangunan, citra dasar kontainer, atau server pembaruan.

Karena perangkat lunak modern dirakit dari ratusan komponen pihak ketiga, satu tautan yang telah diracuni diwarisi oleh setiap pengguna hilir. Penyerang berinvestasi sekali dan menjangkau banyak korban.

• Pembalikan kepercayaan — batas keamanan berpindah ke luar kode Anda sendiri
• Cakupan dampak transitif — satu paket buruk mengalir ke ribuan hasil pembangunan

Ketika Anda menambahkan satu dependensi langsung, sering kali Anda juga menarik puluhan dependensi transitif yang tidak pernah Anda pilih. Aplikasi Node atau Python biasanya mendeklarasikan beberapa paket, tetapi menghasilkan ratusan paket setelah resolusi.

Daftarkan seluruh pohon hasil resolusi, bukan hanya manifesnya, untuk melihat apa yang sebenarnya Anda kirimkan:

Penyerang menerbitkan paket berbahaya dengan nama yang menyerupai paket populer, dengan mengandalkan kesalahan ketik yang fatal.

• Penyamaran melalui Salah Ketik — reqeusts bukan requests
• Penyamaran Kombinasi — python-requests meniru nama yang sebenarnya
• Kebingungan Dependensi — menerbitkan paket publik dengan nama yang sama seperti paket privat internal Anda, sehingga penyelesai yang salah konfigurasi mengambil versi penyerang

Lindungi diri dengan menetapkan registri internal tepercaya dan menggunakan paket privat dengan cakupan atau ruang nama.

Paket yang sah dan dipercaya luas dapat berubah menjadi berbahaya jika akun pengelolanya disusupi atau kontributor berbahaya memperoleh hak publikasi.

Insiden nyata baru-baru ini menunjukkan bahwa penyerang menipu pengelola agar menyerahkan kredensialnya, lalu mendorong rilis perbaikan berbahaya yang mencuri token autentikasi selama instalasi.

• Wajibkan autentikasi dua faktor pada semua akun publikasi
• Utamakan paket dengan token publikasi bercakupan terbatas dan rilis yang dilindungi
• Pantau pengelola baru yang tidak terduga pada dependensi kritis

Banyak ekosistem menjalankan kode saat instalasi, sebelum aplikasi Anda berjalan. npm install dapat menjalankan kait postinstall yang mencuri variabel lingkungan atau kunci SSH.

Nonaktifkan skrip instalasi sembarang dalam integrasi berkelanjutan dan audit setiap paket yang membutuhkannya:

Lingkungan pembangunan itu sendiri merupakan target bernilai tinggi. Jika penyerang meracuni kompilator, citra pelaksana integrasi berkelanjutan, atau pengaya pembangunan, setiap artefak yang dihasilkannya akan memiliki pintu belakang meskipun kode sumber Anda bersih.

Contoh klasiknya adalah mekanisme pembaruan yang disusupi trojan, yang menandatangani perangkat lunak berbahaya dengan kunci penandatanganan kode yang sah sehingga korban menerimanya sebagai asli.

• Perlakukan infrastruktur pembangunan seperti produksi dengan penguatan penuh
• Gunakan pelaksana pembangunan sementara yang dapat direproduksi
• Pisahkan kunci penandatanganan dari host pembangunan

Berkas pengunci menetapkan versi dan hash konten yang tepat, sehingga resolusi ulang tidak dapat diam-diam mengganti artefak dengan artefak lain. Selalu masukkan berkas ini ke repositori dan biarkan integrasi berkelanjutan memverifikasinya, bukan melakukan resolusi ulang secara bebas.

Kolom integritas menyimpan hash; jika arsip tar yang diunduh tidak cocok, instalasi gagal.

Versi yang diketahui rentan, yang dilacak sebagai CVE, merupakan kelemahan rantai pasokan yang paling umum. Alat Analisis Komposisi Perangkat Lunak (SCA) mencocokkan dependensi hasil resolusi Anda dengan basis data kerentanan.

Jalankan pemindaian dalam integrasi berkelanjutan dan gagalkan pembangunan jika ditemukan temuan kritis:

Rentang versi yang berubah-ubah (^1.2.0) memungkinkan rilis baru masuk secara otomatis. Hal ini praktis, tetapi membuat Anda terpapar perbaikan berbahaya.

• Tetapkan versi yang tepat dan tinjau peningkatan secara sengaja
• Tetapkan berdasarkan ringkasan kriptografis untuk citra kontainer, bukan berdasarkan tag yang dapat berubah seperti latest
• Sertakan dependensi kritis dalam repositori atau cermin Anda sendiri agar penghapusan dari sumber hulu tidak dapat merusak atau meracuni Anda

Mengamankan rantai pasokan merupakan proses berkelanjutan, bukan pemindaian satu kali. Anda perlu mengetahui apa yang Anda kirimkan, dari mana asalnya, dan kapan menjadi rentan.

• Buat SBOM untuk setiap rilis (pelajaran berikutnya)
• Catat asal-usul pembangunan agar Anda dapat membuktikan cara artefak dihasilkan
• Berlangganan pemberitahuan keamanan agar CVE yang baru diungkap memicu evaluasi ulang terhadap pembangunan yang telah dikirimkan

Petakan setiap tahap tempat masukan tak tepercaya masuk: mesin pengembang, sistem pengelolaan kode sumber, registri dependensi, sistem pembangunan, penyimpanan artefak, dan kanal pembaruan. Masing-masing merupakan titik penyisipan yang mungkin.

Untuk setiap tahap, tanyakan: siapa yang dapat menulis di sini, apa yang dapat mereka lakukan jika terjadi penyusupan, dan bagaimana saya akan mendeteksinya? Dengan begitu, Anda memperoleh daftar kontrol yang diprioritaskan, bukan daftar periksa umum.

Anda telah mempelajari alasan dependensi menjadi jalur serangan dan cara mengurangi paparan tersebut.

• Pembalikan kepercayaan berarti keamanan Anda bergantung pada pihak ketiga yang tidak Anda kendalikan
• Ancaman utama: penyamaran melalui salah ketik, kebingungan dependensi, pengambilalihan pengelola, skrip instalasi berbahaya, dan alat pembangunan yang disusupi
• Pertahanan inti: berkas pengunci dengan hash integritas, pemindaian SCA, penetapan versi persis berdasarkan ringkasan kriptografis, autentikasi dua faktor pada penerbit, dan pemantauan berkelanjutan

Berikutnya, Anda akan menginventarisasi isi perangkat lunak secara tepat dengan SBOM.