ایجاد چارچوبی برای توقف حملات زنجیره تأمین در طبیعت به رهبری اسرائیل

به گزارش کارگروه بین‌الملل سایبربان؛ تیمی از رهبران و تأثیرگذاران امنیت سایبری به یکدیگر ملحق شده‌اند تا چارچوبی باز راه‌اندازی کنند تا به تیم‌های امنیتی کمک کنند تا درک خود را از تهدیدات زنجیره تأمین نرم‌افزار خود بهبود بخشند و آنها را ارزیابی و با آنها مقابله کنند.

مرجع حمله زنجیره تأمین نرم‌افزار باز یا «OSC&R»، یک چارچوب مشابه «MITER ATT&CK» است که با ورودی‌هایی مانند چک پوینت (Check Point)، فورتینت (Fortinet)، «GitLab»، گوگل، مایکروسافت، «OWASP» و دیگران به رهبری «Ox Security»، متخصص امنیت زنجیره تامین مستقر در اراضی اشغالی، ایجاد شده است.

با توجه به تعداد فزاینده رویدادهای سایبری بزرگ که از طریق بهره‌برداری از آسیب‌پذیری‌ها در نرم‌افزار، اعم از بسته یا منبع باز آغاز شد، این گروه معتقد است که نیاز مشخصی به یک چارچوب محکم وجود دارد تا به کارشناسان اجازه دهد ریسک زنجیره تأمین خود را درک و اندازه گیری کنند.

نیتسون زیو (Neatsun Ziv)، معاون سابق چک پوینت و مؤسس «Ox Security»، که در ماه سپتامبر 2022 با حمایت 34 میلیون دلاری به‌صورت عمومی شروع به کار کرد، گفت :

«تلاش برای صحبت در مورد امنیت زنجیره تأمین بدون درک مشترک از آنچه که زنجیره تأمین نرم‌افزار را تشکیل می‌دهد، سازنده نیست. بدون تعریف مورد توافق از زنجیره تأمین نرم‌افزار، استراتژی‌های امنیتی اغلب به صورت سیلو می‌شوند.»

ظاهراً OSC&R با ایجاد یک زبان و ساختار مشترک برای کمک به تیم‌های امنیتی در درک و تجزیه و تحلیل تاکتیک‌ها، تکنیک‌ها و رویه‌ها (TTP) که بازیگران تهدید برای به خطر انداختن قربانیان پایین‌دستی از طریق زنجیره‌های تامین نرم‌افزار خود استفاده می‌کنند، به این امر کمک خواهد کرد.

این چارچوب در حال حاضر در دسترس است و آماده استفاده برای کمک به تیم‌ها در ارزیابی دفاعیات خود، تعریف تهدیداتی که باید اولویت‌بندی کنند، درک نحوه برخورد وضعیت‌های امنیتی موجود آنها با تهدیدات مذکور و کمک به ردیابی رفتارهای مهاجم است.

حامیان چارچوب امیدوار هستند که با ظهور و تکامل تاکتیک‌ها، تکنیک‌ها و رویه‌های جدید، آن را به‌روزرسانی و در نهایت برنامه‌ریزی کنند که این چارچوب به فعالیت‌های تیم قرمز با کمک به تعیین محدوده تمرین‌ها کمک و به عنوان نوعی کارت امتیازی در طول و بعد از چنین آزمایشی عمل کند. همچنین در صورت تمایل، سایر متخصصان امنیتی می‌توانند در آن مشارکت کنند.

هیروکی سوئزاوا (Hiroki Suezawa)، مهندس ارشد امنیت در Gitlab توضیح داد :

«OSC&R به تیم‌های امنیتی کمک می‌کند تا راهبرد امنیتی خود را با اطمینان بسازند. ما می‌خواستیم به جامعه امنیتی یک نقطه مرجع برای ارزیابی فعالانه راهبردهای خود برای ایمن‌سازی زنجیره تأمین نرم‌افزار و مقایسه راه‌حل‌ها بدهیم.»

تیم مَکی (Tim Mackey)، رئیس راهبرد ریسک زنجیره تأمین نرم‌افزار در گروه یکپارچگی نرم افزار «Synopsys»، عنوان کرد که این پروژه دارای پتانسیل زیادی است، اما باید کارهای بیشتری انجام شود.

از آنجایی که زنجیره‌های تأمین نرم‌افزار به لطف روابط متعدد بین توسعه دهندگان، ارائه دهندگان زیرساخت، پردازشگرهای داده و اپراتورهای نرم‌افزار مستعد پیچیدگی هستند، خطرات ذاتی عمیقاً در هم تنیده شده و تعیین آنها دشوار است.

مَکی خاطرنشان کرد :

«مدل OSC&R، که از سوی انجمن «Pipeline Bill of Materials» یا  [PBOM]پیشنهاد شده است، یکی از راه‌های توصیف نقاط ضعف در قالب یک مدل حمله محسوب می‌شود. با این حال، در وضعیت فعلی، جزئیات قابل توجهی برای توصیف نمونه‌هایی از حملات احتمالی، اقدامات کاهشی و شناسایی ندارد. جالب است که ببینیم OSC&R چگونه تکامل می‌یابد و چگونه در نهایت با مدل‌های اثبات‌شده‌ای مانند MITER ATT&CK همسو می‌شود، جایی که ممکن است OSC&R سطح غنی‌تری از دانه‌بندی را نسبت به زنجیره تأمین نرم‌افزار سازش نشان دهد.»