Supply Chain Attacks são uma ameaça crescente que explora as vulnerabilidades nas cadeias de suprimentos digitais de qualquer organização. Assim como um vírus que se esconde em uma célula sanguínea para atacar o corpo por dentro, esses ataques se infiltram em componentes da cadeia de suprimentos para comprometer a organização.

Entendendo o Supply Chain Attack: Uma Ameaça Multifacetada e Persistente

Supply Chain Attacks exploram vulnerabilidades na cadeia de suprimentos digital, atacando assim fornecedores de software, hardware ou serviços para comprometer indiretamente as organizações. Contudo, essa tática, que se aproveita da relação de confiança entre empresas e seus fornecedores, pode se propagar por toda a rede, causando danos em larga escala. No entanto, a complexidade da cadeia de suprimentos digital e a falta de visibilidade sobre a segurança dos fornecedores contribuem para a proliferação desses ataques.

Os Riscos dos Ataques a Fornecedores de Software e Serviços: Um Panorama Detalhado

Fornecedores de software e serviços desempenham um papel fundamental na cadeia de suprimentos digital, fornecendo assim soluções e infraestrutura essenciais para o funcionamento das empresas. No entanto, esses fornecedores também podem ser alvos vulneráveis a ataques, colocando em risco toda a cadeia de valor.

Alguns dos principais riscos associados a ataques a fornecedores de software e serviços incluem:

Introdução de malware em softwares:

Ataques que visam injetar código malicioso em softwares e atualizações, como o ataque à SolarWinds, podem comprometer milhares de organizações que utilizam o software infectado. Ademais, o malware pode ser usado para roubar dados, controlar sistemas remotamente ou interromper operações. 

Acesso não autorizado a dados sensíveis:

Fornecedores de serviços que armazenam ou processam dados confidenciais de seus clientes são alvos atraentes para atacantes. Entretanto, o acesso não autorizado a esses dados pode resultar em vazamentos de informações, extorsão e danos à reputação.

Interrupção de serviços essenciais:

Ataques que visam interromper serviços essenciais fornecidos por terceiros, como provedores de nuvem ou serviços de e-mail, podem causar graves prejuízos às operações das empresas, impactando a produtividade, a comunicação bem como a continuidade dos negócios.

Exploração de vulnerabilidades em bibliotecas e componentes de código aberto:

A utilização de bibliotecas e componentes de código aberto em softwares e aplicações introduz novas dependências e potenciais vulnerabilidades na cadeia de suprimentos. Portanto, explorações que aproveitam essas vulnerabilidades podem comprometer toda a cadeia de valor.

Ataques de phishing e engenharia social direcionados a funcionários de fornecedores:

Ataques de engenharia social, como o phishing, podem ser usados para enganar funcionários de fornecedores e assim obter acesso a sistemas e informações confidenciais.

Fraudes e manipulação de processos de aquisição:

Ataques que visam manipular processos de aquisição bem como pagamentos podem resultar em perdas financeiras e danos à reputação das empresas.

A mitigação desses riscos requer uma abordagem proativa e multicamadas, que envolve a avaliação cuidadosa dos fornecedores, a implementação de controles de segurança robustos bem como o monitoramento contínuo da cadeia de suprimentos.

Exemplos de Ataques de Supply Chain: Casos Notórios que Marcaram a História

A história recente da cibersegurança é marcada por uma série de ataques de Supply Chain que causaram grandes prejuízos e expuseram a fragilidade da cadeia de suprimentos digital. No entanto, esses casos servem como alertas e lições importantes para as empresas se prepararem e se protegerem contra essa ameaça em constante evolução.

Ataque à SolarWinds:

O ataque à SolarWinds em 2020 demonstrou a gravidade dos Supply Chain Attacks. Assim, hackers inseriram malware em uma atualização do software Orion, distribuída para milhares de clientes, incluindo agências governamentais e grandes empresas. Decerto, o ataque permitiu roubo de dados, espionagem e movimentação pelas redes das vítimas, expondo a fragilidade da cadeia de suprimentos de software e a necessidade de segurança em todos os seus elos.

• Impacto: Estima-se que o ataque tenha afetado mais de 100 empresas e agências governamentais, incluindo Microsoft, FireEye e o Departamento do Tesouro dos EUA.
• Custos: Embora os custos totais do ataque sejam difíceis de calcular, a SolarWinds gastou mais de US$ 40 milhões em resposta ao incidente.
• Frequência: Ataques à cadeia de suprimentos de software como o da SolarWinds aumentaram 742% em 2020, segundo a empresa de segurança Aqua Security.

Ataque ao Kaseya:

Em 2021, a Kaseya, uma empresa de software de gerenciamento remoto, foi alvo de um ataque de ransomware que afetou milhares de seus clientes. Desse modo, os atacantes exploraram uma vulnerabilidade no software VSA da Kaseya para lançar um ataque de ransomware em cascata, criptografando dados e exigindo resgate de inúmeras organizações. Portanto, o ataque ao Kaseya demonstrou como um único fornecedor comprometido pode causar um efeito dominó devastador em toda a cadeia de suprimentos.

• Impacto: O ataque afetou entre 800 e 1.500 empresas em todo o mundo.
• Custos: Os invasores exigiram um resgate de US$ 70 milhões para descriptografar os dados.
• Frequência: Em 2021, houve um aumento de 270% nos ataques de ransomware direcionados a fornecedores de software, de acordo com a SonicWall.

Ataque à Codecov:

Em 2021, a Codecov, uma plataforma de análise de cobertura de código utilizada por milhares de desenvolvedores em todo o mundo, foi alvo de um ataque que comprometeu seu script de uploader. Dessa maneira, os atacantes modificaram o script para roubar credenciais e segredos de desenvolvedores que utilizavam a plataforma. Inegavelmente, o ataque à Codecov demonstrou como a infiltração em ferramentas e plataformas de desenvolvimento pode comprometer a segurança de inúmeras organizações.

• Impacto: Embora o número exato de vítimas seja desconhecido, a Codecov relatou que o ataque afetou “milhares” de seus clientes.
• Custos: Os custos do ataque não foram divulgados, mas provavelmente foram significativos, considerando o potencial de roubo de dados e propriedade intelectual.
• Frequência: Ataques a plataformas de desenvolvimento e repositórios de código-fonte estão se tornando cada vez mais comuns, com um aumento de 650% em 2021, de acordo com um relatório da Argon Security.

Melhores Práticas para Prevenir e Mitigar Ataques de Supply Chain: Um Guia Abrangente

Em seguida, apresentamos um guia abrangente com as melhores práticas para proteger sua organização contra essa ameaça crescente:

1. Due diligence de segurança em fornecedores:

A escolha de fornecedores é uma decisão crítica que impacta diretamente a segurança da sua organização. Ademais, é essencial realizar uma due diligence de segurança completa antes de firmar contratos com qualquer fornecedor, avaliando cuidadosamente sua postura de segurança e suas práticas de gerenciamento de riscos.

Algumas ações importantes nesse processo incluem:

• Auditoria de segurança: Realizar auditorias de segurança nos fornecedores para avaliar seus controles de segurança, políticas e procedimentos.
• Verificação de certificações: Verificar se os fornecedores possuem certificações de segurança reconhecidas, bem como ISO 27001, SOC 2 e PCI DSS.
• Solicitação de informações sobre práticas de segurança: Solicitar aos fornecedores informações detalhadas sobre suas práticas de segurança, como políticas de senhas, processos de gestão de vulnerabilidades e planos de resposta a incidentes.
• Avaliação de riscos de terceiros: Utilizar ferramentas e serviços especializados para avaliar os riscos de segurança associados aos seus fornecedores.
• Solicitação de declaração e/ou relatório de pentest: Solicitar aos fornecedores uma declaração que comprove a realização de testes de penetração (pentests) regulares em seus sistemas e aplicações, incluindo um relatório detalhado dos resultados e ações de remediação.

2. Gerenciamento de riscos na cadeia de suprimentos:

O gerenciamento de riscos na cadeia de suprimentos é um processo contínuo que envolve a identificação, a avaliação e a mitigação dos riscos associados aos seus fornecedores. Portanto, é importante adotar uma abordagem proativa para o gerenciamento de riscos, implementando medidas para minimizar o impacto de potenciais ataques.

Algumas estratégias eficazes para o gerenciamento de riscos incluem:

• Diversificação de fornecedores: Evitar a dependência de um único fornecedor para produtos ou serviços críticos.
• Criação de planos de contingência: Desenvolver planos de contingência para lidar com a falha de fornecedores ou com a interrupção de serviços essenciais.
• Implementação de acordos de nível de serviço (SLAs): Estabelecer acordos de nível de serviço (SLAs) com os fornecedores que definam claramente as expectativas de segurança e os requisitos de conformidade.
• Monitoramento contínuo dos riscos: Manter-se atualizado sobre as vulnerabilidades e ameaças emergentes que podem afetar seus fornecedores.

3. Controles de segurança robustos em toda a cadeia de suprimentos:

A implementação de controles de segurança robustos em toda a cadeia de suprimentos é essencial para prevenir e mitigar Supply Chain Attacks. Entretanto, é importante adotar uma abordagem em camadas, combinando diferentes controles de segurança para criar uma defesa completa.

Alguns dos controles de segurança mais importantes incluem:

• Autenticação multifator (MFA): Implementar a MFA para todos os usuários que acessam sistemas e dados confidenciais, incluindo funcionários de fornecedores.
• Criptografia de dados: Criptografar dados em trânsito e em repouso para proteger informações confidenciais contra acesso não autorizado.
• Gestão de acessos: Implementar políticas de gestão de acessos para controlar o acesso a sistemas e dados confidenciais, garantindo que assim os usuários tenham acesso apenas aos recursos que necessitam para realizar suas funções. Utilizar o princípio do privilégio mínimo, concedendo apenas as permissões estritamente necessárias para cada função.

• Segmentação de rede: Segmentar a rede para isolar sistemas críticos e dados confidenciais, limitando o impacto de um possível ataque.
• Monitoramento de segurança: Implementar sistemas de monitoramento de segurança para detectar atividades suspeitas e responder a incidentes de forma rápida e eficiente.
• Atualização de software: Manter todos os softwares e sistemas atualizados com os últimos patches de segurança para corrigir vulnerabilidades conhecidas.
• Treinamento de conscientização em segurança: Treinar funcionários e fornecedores sobre as melhores práticas de segurança e como identificar e evitar ameaças como phishing bem como engenharia social.
• Políticas de backups: Estabelecer e implementar políticas de backups abrangentes, que incluam backups regulares, armazenamento seguro dos backups (offline e/ou em local geograficamente separado) e testes periódicos de restauração para garantir a recuperação dos dados em caso de incidentes.

4. Monitoramento contínuo da cadeia de suprimentos:

A cadeia de suprimentos digital é dinâmica e está em constante mudança, com novos fornecedores, softwares e serviços sendo adicionados regularmente. Portanto, é fundamental implementar um processo de monitoramento contínuo para identificar e avaliar novas ameaças e vulnerabilidades.

Algumas ações importantes para o monitoramento contínuo incluem:

• Monitoramento de vulnerabilidades: Utilizar ferramentas e serviços para monitorar vulnerabilidades em softwares e sistemas de fornecedores, incluindo bibliotecas de código aberto.
• Análise de ameaças: Monitorar fontes de inteligência de ameaças para se manter atualizado sobre as últimas tendências e técnicas de ataque.
• Monitoramento de atividades suspeitas: Monitorar os sistemas e redes em busca de atividades suspeitas que possam indicar um ataque em andamento.
• Comunicação e colaboração com fornecedores: Estabelecer canais de comunicação eficazes com os fornecedores para assim compartilhar informações sobre ameaças e vulnerabilidades.
• Pentests recorrentes: Realizar testes de penetração (pentests) periódicos nos sistemas dos fornecedores para identificar e corrigir proativamente vulnerabilidades de segurança.

5. Resposta a incidentes de Supply Chain:

Mesmo com as melhores práticas de prevenção, é possível que sua organização seja alvo de um Supply Chain Attack. Dessa maneira, é crucial ter um plano de resposta a incidentes bem definido para lidar com ataques de forma rápida e eficiente, minimizando os danos e restaurando as operações o mais rápido possível.

O plano de resposta a incidentes deve incluir:

• Identificação do incidente: Estabelecer procedimentos para identificar e relatar incidentes de segurança, incluindo Supply Chain Attacks.
• Contenção do incidente: Isolar os sistemas afetados para evitar que o ataque se propague e cause mais danos.
• Investigação do incidente: Investigar a causa raiz do incidente e identificar os sistemas e dados afetados.
• Recuperação do incidente: Restaurar os sistemas e dados afetados bem como implementar medidas para prevenir ataques futuros.
• Comunicação do incidente: Comunicar o incidente às partes interessadas, incluindo clientes, parceiros e autoridades, de forma transparente e responsável.

Ferramentas e Tecnologias para Proteger a Cadeia de Suprimentos Digital: Um Arsenal de Soluções

Em seguida, apresentamos algumas das ferramentas e tecnologias mais relevantes para fortalecer a segurança da sua cadeia de suprimentos:

1. Análise de código-fonte:

Ferramentas SAST e DAST são cruciais para encontrar vulnerabilidades em softwares. SAST analisa o código fonte em busca de problemas, enquanto DAST testa a aplicação em execução. Ambas ajudam a corrigir falhas de segurança antes que sejam exploradas.

Exemplos de ferramentas de análise de código-fonte:

• SonarQube
• Fortify Static Code Analyzer
• Checkmarx CxSAST
• Burp Suite Professional

2. Verificação de integridade de software:

Ferramentas como assinaturas digitais e hashes garantem a integridade do software. Assinaturas digitais usam criptografia para verificar a autenticidade, enquanto hashes geram uma “impressão digital” única para detectar alterações indevidas.

Exemplos de ferramentas de verificação de integridade de software:

• Sigcheck
• HashMyFiles
• JSignPdf

3. Detecção de ameaças:

Ferramentas como IDS e IPS são cruciais para detectar e combater ameaças. Enquanto o IDS detecta atividades suspeitas na rede, o IPS bloqueia ataques em tempo real.

Exemplos de ferramentas de detecção de ameaças:

• Snort
• Suricata
• Zeek (anteriormente Bro)
• OSSEC

4. Gerenciamento de vulnerabilidades:

Ferramentas de gerenciamento de vulnerabilidades ajudam a identificar, rastrear e corrigir falhas de segurança em sistemas e softwares, incluindo os de terceiros. Ademais, elas buscam por vulnerabilidades conhecidas, avaliam o risco e fornecem relatórios para acompanhar as correções.

Exemplos de ferramentas de gerenciamento de vulnerabilidades:

• Resh 
• Qualys Guard
• Tenable.sc (anteriormente SecurityCenter)
• Rapid7 InsightVM
• OpenVAS

5. Outras ferramentas e tecnologias:

Além das ferramentas mencionadas acima, existem outras soluções que podem ajudar a proteger a cadeia de suprimentos digital, como:

• Software Composition Analysis (SCA): Ferramentas de SCA analisam o código-fonte de aplicações para identificar e gerenciar as dependências de software, incluindo bibliotecas de código aberto. Essas ferramentas ajudam a identificar vulnerabilidades e licenças problemáticas em componentes de terceiros.
• Threat Intelligence Platforms (TIPs): As TIPs coletam, analisam e correlacionam informações sobre ameaças cibernéticas de diversas fontes, fornecendo assim contexto e insights acionáveis para as equipes de segurança. As TIPs ajudam as empresas a se manterem atualizadas sobre as últimas ameaças e assim tomar medidas proativas para se proteger.
• Security Information and Event Management (SIEM): Os sistemas SIEM coletam e analisam logs de segurança de diversas fontes, como firewalls, sistemas de detecção de intrusão e servidores, para identificar e responder a incidentes de segurança. Os SIEMs fornecem uma visão centralizada da atividade de segurança e ajudam a detectar anomalias e comportamentos suspeitos.

Construindo uma Cadeia de Suprimentos Digital Resiliente

A segurança da cadeia de suprimentos digital exige uma abordagem completa que englobe tecnologia, pessoas, processos e colaboração. Decerto, é preciso adotar as melhores práticas, usar ferramentas adequadas e fortalecer a colaboração entre empresas e fornecedores para construir uma cadeia de suprimentos mais resiliente. Contudo, a conscientização sobre os riscos e compartilhamento de informações também são essenciais para proteger os negócios contra Supply Chain Attacks.

Blindando sua Cadeia de Suprimentos Digital: A Expertise da Resh em Ação

Enfrente os desafios dos Supply Chain Attacks com a Resh, sua parceira em segurança cibernética há mais de 25 anos. Assim, com expertise e metodologia comprovadas, realizamos pentests completos e personalizados, identificando e mitigando vulnerabilidades ocultas na sua cadeia de suprimentos.