Ameaças à cadeia de suprimentos

Um ataque à cadeia de fornecimento de software compromete uma organização não ao violá-la diretamente, mas ao corromper algo em que ela confia e que utiliza: uma biblioteca, uma ferramenta de compilação, uma imagem base de contêiner ou um servidor de atualização.

Como o software moderno é montado a partir de centenas de componentes de terceiros, uma única ligação envenenada é herdada por todos os consumidores posteriores. O invasor investe uma vez e alcança muitas vítimas.

• Inversão da confiança — a fronteira de segurança se desloca para fora do seu próprio código
• Alcance do impacto transitivo — um pacote comprometido chega a milhares de compilações

Quando você adiciona uma dependência direta, geralmente inclui dezenas de dependências transitivas que nunca escolheu. Um aplicativo típico em Node ou Python declara alguns pacotes, mas acaba resolvendo centenas.

Liste a árvore completa de dependências resolvida, não apenas o manifesto, para ver o que você realmente distribui:

Invasores publicam pacotes maliciosos com nomes parecidos com os de pacotes populares, apostando em um erro de digitação fatal.

• Falsificação por erro de digitação — reqeusts em vez de requests
• Falsificação por combinação — python-requests imitando o nome real
• Confusão de dependências — publicação de um pacote público com o mesmo nome do seu pacote privado interno, fazendo com que um resolvedor configurado incorretamente baixe a versão do invasor

Proteja-se fixando um registro interno confiável e usando pacotes privados com escopo ou espaço de nomes.

Um pacote legítimo e amplamente confiável pode se tornar malicioso se a conta do mantenedor for comprometida ou se um colaborador malicioso obtiver permissões de publicação.

Incidentes recentes do mundo real mostram invasores roubando credenciais de mantenedores por meio de mensagens fraudulentas e depois publicando uma versão de correção envenenada que extrai credenciais durante a instalação.

• Exija autenticação de dois fatores em todas as contas de publicação
• Prefira pacotes com credenciais de publicação restritas a um escopo e lançamentos protegidos
• Monitore o surgimento inesperado de novos mantenedores em dependências críticas

Muitos ecossistemas executam código durante a instalação, antes que seu aplicativo seja executado. Um npm install pode executar um gancho postinstall que rouba variáveis de ambiente ou chaves SSH.

Desative rotinas de instalação arbitrárias na integração contínua e audite qualquer pacote que precise delas:

O próprio ambiente de compilação é um alvo de alto valor. Se um invasor envenenar um compilador, uma imagem do executor de integração contínua ou um complemento de compilação, todo artefato produzido por ele conterá uma porta dos fundos, mesmo quando seu código-fonte estiver limpo.

O exemplo clássico é um mecanismo de atualização com cavalo de Troia que assina software malicioso com uma chave legítima de assinatura de código, fazendo com que as vítimas o aceitem como autêntico.

• Trate a infraestrutura de compilação como um ambiente de produção, com reforço de segurança completo
• Use executores de compilação efêmeros e reproduzíveis
• Separe as chaves de assinatura do servidor de compilação

Um arquivo de bloqueio fixa versões exatas e resumos criptográficos do conteúdo, para que uma nova resolução não possa substituir silenciosamente um artefato por outro. Sempre inclua esse arquivo no repositório e deixe a integração contínua verificá-lo, em vez de resolver as dependências novamente sem restrições.

O campo de integridade armazena um resumo criptográfico; se o arquivo compactado baixado não corresponder, a instalação falhará.

Versões com vulnerabilidades conhecidas (rastreadas como CVEs) são a fragilidade mais comum da cadeia de fornecimento. As ferramentas de Análise de Composição de Software (SCA) comparam suas dependências resolvidas com bases de dados de vulnerabilidades.

Execute varreduras na integração contínua e faça as compilações falharem diante de achados críticos:

Intervalos de versões flutuantes (^1.2.0) permitem que novas versões sejam incorporadas automaticamente. Isso é conveniente, mas expõe você a uma correção maliciosa.

• Fixe versões exatas e analise as atualizações de forma deliberada
• Fixe pelo resumo criptográfico as imagens de contêiner, não por identificadores mutáveis como latest
• Incorpore as dependências críticas ao seu próprio repositório ou espelho, para que uma exclusão no projeto de origem não possa interromper nem contaminar seu sistema

Proteger a cadeia de fornecimento é uma atividade contínua, não uma varredura única. Você precisa saber o que distribui, de onde veio e quando se torna vulnerável.

• Gere um SBOM para cada lançamento (próxima lição)
• Registre a procedência da compilação para poder comprovar como um artefato foi produzido
• Assine alertas para que uma CVE recém-divulgada desencadeie uma nova avaliação das compilações já distribuídas

Mapeie cada etapa em que entra uma entrada não confiável: máquinas dos desenvolvedores, controle de código-fonte, registros de dependências, o sistema de compilação, o armazenamento de artefatos e o canal de atualização. Cada uma é um possível ponto de injeção.

Para cada etapa, pergunte: quem pode gravar aqui, o que um comprometimento permitiria fazer e como eu poderia detectá-lo? Isso produz uma lista priorizada de controles, em vez de uma lista de verificação genérica.

Verifique sua compreensão de uma classe comum de ataque à cadeia de fornecimento.

Você aprendeu por que as dependências são vetores de ataque e como reduzir essa exposição.

• Inversão da confiança significa que sua segurança depende de terceiros que você não controla
• Principais ameaças: falsificação por erro de digitação, confusão de dependências, tomada de controle pelo mantenedor, rotinas maliciosas de instalação e ferramentas de compilação comprometidas
• Principais defesas: arquivos de bloqueio com resumos criptográficos de integridade, varredura com SCA, fixação exata por resumo criptográfico, autenticação de dois fatores para publicadores e monitoramento contínuo

A seguir, você fará um inventário exato do conteúdo do seu software com um SBOM.