ภัยคุกคามต่อห่วงโซ่อุปทาน

การโจมตีห่วงโซ่อุปทานซอฟต์แวร์ ทำให้องค์กรตกอยู่ในความเสี่ยงโดยไม่ได้เจาะระบบขององค์กรโดยตรง แต่ทำให้สิ่งที่องค์กร ไว้วางใจและนำไปใช้ เสียหาย เช่น ไลบรารี เครื่องมือสร้าง อิมเมจพื้นฐานของคอนเทนเนอร์ หรือเซิร์ฟเวอร์อัปเดต

เนื่องจากซอฟต์แวร์สมัยใหม่ประกอบขึ้นจากส่วนประกอบของบุคคลที่สามหลายร้อยรายการ การเชื่อมโยงเพียงจุดเดียวที่ถูกปนเปื้อนจึงถูกส่งต่อไปยังผู้ใช้ปลายทางทุกราย ผู้โจมตีลงทุนเพียงครั้งเดียวแต่เข้าถึงเหยื่อได้จำนวนมาก

• การกลับด้านของความไว้วางใจ — ขอบเขตความปลอดภัยเคลื่อนออกไปอยู่นอกโค้ดของคุณเอง
• ขอบเขตผลกระทบแบบส่งต่อ — แพ็กเกจที่ไม่ปลอดภัยเพียงรายการเดียวถูกส่งต่อไปยังการสร้างนับพันครั้ง

เมื่อคุณเพิ่มส่วนพึ่งพาโดยตรงหนึ่งรายการ คุณมักดึงส่วนพึ่งพาแบบ ส่งต่อ อีกหลายสิบรายการเข้ามาโดยไม่เคยเป็นผู้เลือก แอปพลิเคชันโหนดหรือไพธอนทั่วไปอาจประกาศแพ็กเกจไว้เพียงไม่กี่รายการ แต่เมื่อแก้ไขส่วนพึ่งพาแล้วกลับมีจำนวนหลายร้อยรายการ

ให้แสดงโครงสร้างส่วนพึ่งพาที่แก้ไขแล้วทั้งหมด ไม่ใช่ดูเฉพาะไฟล์รายการ เพื่อให้เห็นสิ่งที่คุณส่งมอบจริง:

ผู้โจมตีเผยแพร่แพ็กเกจที่เป็นอันตรายโดยตั้งชื่อให้คล้ายแพ็กเกจยอดนิยม และหวังให้ผู้ใช้พิมพ์ผิดจนเกิดผลร้ายแรง

• การแอบอ้างชื่อด้วยการสะกดผิด — reqeusts แทนที่จะเป็น requests
• การแอบอ้างชื่อด้วยการเติมคำ — python-requests เลียนแบบชื่อจริง
• ความสับสนของส่วนพึ่งพา — เผยแพร่แพ็กเกจสาธารณะที่ใช้ชื่อเดียวกับแพ็กเกจส่วนตัวภายในของคุณ ทำให้ตัวแก้ไขส่วนพึ่งพาที่กำหนดค่าผิดดึงรุ่นของผู้โจมตีมาใช้

ป้องกันด้วยการกำหนดคลังแพ็กเกจภายในที่เชื่อถือได้ไว้ตายตัว และใช้แพ็กเกจส่วนตัวที่กำหนดขอบเขตหรือใช้เนมสเปซ

แพ็กเกจที่ถูกต้องและได้รับความไว้วางใจอย่างกว้างขวางอาจกลายเป็นภัยได้ หากบัญชีของผู้ดูแลแพ็กเกจถูกเจาะ หรือผู้มีส่วนร่วมที่เป็นอันตรายได้รับสิทธิ์เผยแพร่

เหตุการณ์จริงในช่วงหลังแสดงให้เห็นว่าผู้โจมตีหลอกลวงเพื่อขโมยข้อมูลรับรองของผู้ดูแลแพ็กเกจ จากนั้นจึงผลักรุ่นแพตช์ที่ปนเปื้อนออกมาเพื่อขโมยโทเค็นระหว่างการติดตั้ง

• กำหนดให้บัญชีเผยแพร่ทั้งหมดใช้ การยืนยันตัวตนแบบสองปัจจัย
• เลือกแพ็กเกจที่ใช้โทเค็นเผยแพร่แบบกำหนดขอบเขตและรุ่นเผยแพร่ที่ได้รับการปกป้องเป็นหลัก
• เฝ้าดูผู้ดูแลแพ็กเกจรายใหม่ที่ไม่คาดคิดในส่วนพึ่งพาที่สำคัญ

ระบบนิเวศจำนวนมากเรียกใช้โค้ด ระหว่างการติดตั้ง ก่อนที่แอปพลิเคชันของคุณจะเริ่มทำงานเสียอีก คำสั่ง npm install สามารถเรียกใช้ฮุก postinstall ซึ่งขโมยตัวแปรสภาพแวดล้อมหรือคีย์ SSH ได้

ปิดใช้สคริปต์ติดตั้งที่กำหนดเองในระบบผสานรวมอย่างต่อเนื่อง และตรวจสอบแพ็กเกจที่จำเป็นต้องใช้สคริปต์เหล่านี้:

สภาพแวดล้อมการสร้างเองเป็นเป้าหมายที่มีมูลค่าสูง หากผู้โจมตีทำให้คอมไพเลอร์ อิมเมจตัวเรียกใช้งานระบบผสานรวมอย่างต่อเนื่อง หรือปลั๊กอินสร้างเสียหาย อาร์ติแฟกต์ทุกชิ้นที่สร้างจากสิ่งเหล่านี้จะถูกฝังช่องทางลับ แม้โค้ดต้นฉบับของคุณจะสะอาดก็ตาม

ตัวอย่างคลาสสิกคือกลไกอัปเดตที่ถูกฝังโทรจัน ซึ่งลงนามมัลแวร์ด้วยคีย์ลงนามโค้ดที่ถูกต้อง ทำให้เหยื่อยอมรับว่าเป็นซอฟต์แวร์ของแท้

• ปฏิบัติต่อโครงสร้างพื้นฐานการสร้างเสมือนเป็นระบบใช้งานจริง และเสริมความปลอดภัยอย่างครบถ้วน
• ใช้ตัวเรียกใช้งานการสร้างแบบชั่วคราวและสร้างซ้ำได้
• แยกคีย์ลงนามออกจากโฮสต์การสร้าง

ไฟล์ล็อกเวอร์ชัน จะตรึงเวอร์ชันและค่าแฮชของเนื้อหาไว้แบบเจาะจง จึงป้องกันไม่ให้การแก้ไขส่วนพึ่งพาใหม่แอบสลับอาร์ติแฟกต์เป็นรายการอื่นโดยที่คุณไม่ทราบ ควรบันทึกไฟล์นี้ไว้ในคลังโค้ดเสมอ และให้ระบบผสานรวมอย่างต่อเนื่องตรวจสอบ แทนที่จะปล่อยให้แก้ไขส่วนพึ่งพาใหม่ได้อย่างอิสระ

ช่องข้อมูลความถูกต้องจะจัดเก็บค่าแฮช หากไฟล์บีบอัดที่ดาวน์โหลดมาไม่ตรงกัน การติดตั้งจะล้มเหลว

รุ่นที่มีช่องโหว่ที่ทราบแล้ว (ติดตามในรูปแบบ CVE) เป็นจุดอ่อนของห่วงโซ่อุปทานที่พบได้บ่อยที่สุด เครื่องมือ การวิเคราะห์องค์ประกอบซอฟต์แวร์ (SCA) จะเปรียบเทียบส่วนพึ่งพาที่แก้ไขแล้วของคุณกับฐานข้อมูลช่องโหว่

เรียกใช้การสแกนในระบบผสานรวมอย่างต่อเนื่อง และทำให้การสร้างล้มเหลวเมื่อพบประเด็นร้ายแรง:

ช่วงเวอร์ชันแบบลอยตัว (^1.2.0) เปิดให้รุ่นใหม่ถูกนำเข้ามาโดยอัตโนมัติ ซึ่งสะดวกแต่ทำให้คุณเสี่ยงต่อแพตช์ที่เป็นอันตราย

• ตรึงเวอร์ชันให้เป็นรุ่นที่เจาะจง และตรวจสอบการอัปเกรดอย่างรอบคอบ
• ตรึงด้วยค่าไดเจสต์สำหรับอิมเมจคอนเทนเนอร์ แทนการใช้แท็กที่เปลี่ยนแปลงได้ เช่น latest
• รวมไว้ภายในสำหรับส่วนพึ่งพาที่สำคัญในคลังโค้ดหรือมิเรอร์ของคุณเอง เพื่อไม่ให้การลบจากต้นทางทำให้ระบบเสียหายหรือถูกปนเปื้อน

การรักษาความปลอดภัยของห่วงโซ่อุปทานเป็นงานที่ต้องทำอย่างต่อเนื่อง ไม่ใช่การสแกนเพียงครั้งเดียว คุณจำเป็นต้องทราบว่า สิ่งใดที่คุณส่งมอบ สิ่งนั้นมาจากที่ใด และ สิ่งนั้นจะมีช่องโหว่เมื่อใด

• สร้าง SBOM สำหรับทุกรุ่นเผยแพร่ (ในบทเรียนถัดไป)
• บันทึก แหล่งที่มาของการสร้าง เพื่อให้พิสูจน์ได้ว่าอาร์ติแฟกต์ถูกสร้างขึ้นอย่างไร
• สมัครรับประกาศแจ้งเตือน เพื่อให้ CVE ที่เพิ่งเปิดเผยกระตุ้นการประเมินซ้ำของการสร้างที่ส่งมอบไปแล้ว

ทำแผนผังทุกขั้นตอนที่มีข้อมูลนำเข้าที่ไม่น่าเชื่อถือเข้ามา ได้แก่ เครื่องของนักพัฒนา ระบบควบคุมต้นฉบับ คลังส่วนพึ่งพา ระบบสร้าง ที่จัดเก็บอาร์ติแฟกต์ และช่องทางอัปเดต แต่ละจุดอาจเป็นจุดแทรกข้อมูลได้

ในแต่ละขั้นตอน ให้ถามว่า: ใครเขียนข้อมูลลงที่นี่ได้ การถูกเจาะจะเปิดโอกาสให้บุคคลนั้นทำอะไร และฉันจะตรวจจับได้อย่างไร วิธีนี้จะสร้างรายการมาตรการควบคุมที่จัดลำดับความสำคัญแล้ว แทนที่จะเป็นรายการตรวจสอบทั่วไป

คุณได้เรียนรู้แล้วว่าเหตุใดส่วนพึ่งพาจึงเป็นช่องทางการโจมตี และจะลดการเปิดรับความเสี่ยงนั้นได้อย่างไร

• การกลับด้านของความไว้วางใจ หมายความว่าความปลอดภัยของคุณขึ้นอยู่กับบุคคลที่สามซึ่งคุณควบคุมไม่ได้
• ภัยคุกคามสำคัญ ได้แก่ การแอบอ้างชื่อด้วยการสะกดผิด ความสับสนของส่วนพึ่งพา การยึดสิทธิ์ของผู้ดูแลแพ็กเกจ สคริปต์ติดตั้งที่เป็นอันตราย และ เครื่องมือสร้างที่ถูกเจาะ
• แนวทางป้องกันหลัก ได้แก่ ไฟล์ล็อกพร้อมค่าแฮชตรวจสอบความถูกต้อง การสแกนด้วย SCA การตรึงเวอร์ชันที่เจาะจงด้วยค่าไดเจสต์ การใช้การยืนยันตัวตนแบบสองปัจจัยกับผู้เผยแพร่ และ การเฝ้าติดตามอย่างต่อเนื่อง

ถัดไป คุณจะจัดทำบัญชีรายการสิ่งที่ซอฟต์แวร์มีอยู่จริงอย่างละเอียดด้วย SBOM