Aðfangakeðjuárásir: Netglæpamenn beinast að hugbúnaðarveitum

• Höfundur:
• Höfundur nafn

  Quantumrun Foresight
• Febrúar 9, 2023

Aðfangakeðjuárásir eru vaxandi áhyggjuefni fyrir fyrirtæki og stofnanir um allan heim. Þessar árásir eiga sér stað þegar netglæpamaður smýgur inn í aðfangakeðju fyrirtækis og notar hana til að fá aðgang að kerfum eða gögnum viðkomandi fyrirtækis. Afleiðingar þessara árása geta verið alvarlegar, þar á meðal fjárhagslegt tjón, tjón á orðspori fyrirtækis, rýrnun á viðkvæmum upplýsingum og röskun á starfsemi. 

Samhengi birgðakeðjuárása

Aðfangakeðjuárás er netárás sem beinist að hugbúnaði frá þriðja aðila, sérstaklega þeim sem stjórna kerfum eða gögnum markfyrirtækis. Samkvæmt 2021 „Threat Landscape for Supply Chain Attacks“ skýrslunni beittu 66 prósent af árásum aðfangakeðjunnar undanfarna 12 mánuði á kerfiskóða birgja, 20 prósent miðuð gögn og 12 prósent miðuð innri ferla. Spilliforrit var algengasta aðferðin í þessum árásum, 62 prósent atvika. Hins vegar nýttu tveir þriðju hlutar árása á viðskiptavini sér traust til birgja þeirra.

Eitt dæmi um birgðakeðjuárás er 2017 árásin á hugbúnaðarfyrirtækið CCleaner. Tölvusnápur tókst að skerða hugbúnaðarbirgðakeðju fyrirtækisins og dreifa spilliforritum með hugbúnaðaruppfærslunum, sem hafði áhrif á milljónir notenda. Þessi árás benti á hugsanlega veikleika þess að reiða sig á þriðju aðila og mikilvægi öflugra öryggisráðstafana til að verjast þessum árásum.

Aukið traust á þriðju aðilum og flóknum stafrænum birgðakeðjunetum er helsti þátturinn í vexti stafrænna birgðakeðjuglæpa. Eftir því sem fyrirtæki útvista meira af rekstri sínum og þjónustu, fjölgar hugsanlegum aðgangsstöðum fyrir árásarmenn. Þessi þróun er sérstaklega varhugaverð þegar kemur að litlum eða óöruggum birgjum, þar sem þeir hafa kannski ekki sömu öryggisráðstafanir til staðar og stærri samtökin. Annar þáttur er notkun á gamaldags eða óuppfærðum hugbúnaði og kerfum. Netglæpamenn nýta oft þekkta veikleika í hugbúnaði eða kerfum til að fá aðgang að stafrænni aðfangakeðju fyrirtækis. 

Truflandi áhrif

Árásir á birgðakeðju geta haft alvarlegt langtímatjón. Áberandi dæmi er netárásin í desember 2020 á SolarWinds, sem veitir ríkisstofnunum og fyrirtækjum upplýsingatæknistjórnunarhugbúnað. Tölvuþrjótarnir notuðu hugbúnaðaruppfærslurnar til að dreifa spilliforritum til viðskiptavina fyrirtækisins, þar á meðal margra bandarískra ríkisstofnana. Þessi árás var mikilvæg vegna umfangs málamiðlunarinnar og þeirrar staðreyndar að hún var ekki fundin í nokkra mánuði.

Tjónið er enn verra þegar markfyrirtækið veitir nauðsynlega þjónustu. Annað dæmi var í maí 2021, þegar alþjóðlega matvælafyrirtækið JBS varð fyrir árás á lausnarhugbúnað sem truflaði starfsemi þess í mörgum löndum, þar á meðal Bandaríkjunum, Kanada og Ástralíu. Árásin var gerð af glæpahópi sem kallast REvil, sem nýtti sér varnarleysi í hugbúnaði þriðja aðila fyrirtækisins. Atvikið hafði einnig áhrif á viðskiptavini JBS, þar á meðal kjötpökkunarstöðvar og matvöruverslanir. Þessi fyrirtæki stóðu frammi fyrir skorti á kjötvörum og urðu að finna aðrar heimildir eða aðlaga starfsemi sína.

Til að verjast stafrænum aðfangakeðjuárásum er nauðsynlegt fyrir fyrirtæki að hafa seiglu og sveigjanlegar öryggisráðstafanir. Þessar ráðstafanir fela í sér að framkvæma ítarlega áreiðanleikakönnun á þriðju aðila, reglulega uppfæra og lagfæra hugbúnað og kerfi og innleiða sterkar öryggisstefnur og verklagsreglur. Það er einnig mikilvægt fyrir fyrirtæki að fræða starfsmenn sína um hvernig eigi að bera kennsl á og koma í veg fyrir hugsanlegar árásir, þar með talið veiðitilraunir.

Afleiðingar birgðakeðjuárása 

Víðtækari afleiðingar árása á aðfangakeðju geta falið í sér:

• Minni nýting hugbúnaðar frá þriðja aðila og aukið traust á eigin lausnir fyrir viðkvæm gögn, sérstaklega meðal ríkisstofnana.
• Auknar fjárveitingar til innbyrðis þróaðra netöryggisráðstafana, sérstaklega meðal stofnana sem veita nauðsynlega þjónustu eins og veitur og fjarskipti.
• Stækkandi tilvik þar sem starfsmenn verða fórnarlamb vefveiðaárása eða setja óviljandi spilliforrit inn í kerfi viðkomandi fyrirtækis.
• Núlldagaárásir verða algengar þar sem netglæpamenn nýta sér hugbúnaðarframleiðendur sem innleiða reglulegar plástrauppfærslur, sem geta haft margar villur sem þessir tölvuþrjótar geta nýtt sér.
• Aukin notkun siðferðilegra tölvuþrjóta sem ráðnir eru til að leita að veikleikum í hugbúnaðarþróunarferlum.
• Fleiri stjórnvöld samþykkja reglugerðir sem krefjast þess að seljendur gefi upp heildarlista yfir birgja sína frá þriðja aðila, svo og hugsanlegar úttektir á hugbúnaðarþróunarferlum.

Spurningar til að tjá sig um

• Hversu mörg forrit frá þriðja aðila treystir þú á fyrir dagleg viðskipti og hversu mikinn aðgang leyfir þú?
• Hversu mikið öryggi telur þú að sé nægjanlegt fyrir þriðja aðila?
• Ætti stjórnvöld að grípa inn í að framfylgja eftirlitsstöðlum fyrir þriðja aðila?