Supply chain attack: significato

In breve

Invece di attaccare direttamente cento aziende ben protette, l'attaccante ne compromette una sola, il fornitore, di cui tutte e cento si fidano. L'accesso arriva da un canale considerato sicuro: un aggiornamento firmato, una connessione remota autorizzata, una casella di posta legittima. Per questo è difficile da rilevare e può avere effetti su larga scala.

Come funziona

Le strade più comuni:

• software compromesso: codice malevolo inserito negli aggiornamenti di un prodotto, come nel caso della piattaforma SolarWinds Orion scoperto a fine 2020;
• fornitori di servizi gestiti: l'attacco agli strumenti di gestione remota di un fornitore IT si propaga a tutti i suoi clienti, come accaduto con Kaseya VSA nel luglio 2021, usato per diffondere ransomware;
• componenti open source e librerie incorporate nei prodotti, che portano con sé le proprie vulnerabilità;
• credenziali e accessi dei fornitori: il tecnico esterno con la VPN sempre attiva, o la casella email del fornitore violata usata per inviare phishing credibile.

Perché è importante

La sicurezza di un'azienda non finisce al suo perimetro. La direttiva NIS2 include la sicurezza della catena di approvvigionamento fra le misure obbligatorie, e ISO/IEC 27001 dedica un gruppo di controlli alle relazioni con i fornitori. Le difese pratiche:

• sapere quali fornitori hanno accesso a quali sistemi e dati, e quanto sono critici;
• qualificarli con questionari e richiesta di evidenze, e inserire obblighi di sicurezza nei contratti;
• dare ai fornitori accessi con privilegi minimi, MFA e tracciatura, attivati solo quando servono;
• seguire le notizie di sicurezza sui prodotti e sui fornitori da cui dipendi, con la threat intelligence.

Esempio

Una software house locale gestisce il gestionale di trenta clienti tramite uno strumento di accesso remoto. Un attaccante ruba la password di un tecnico, priva di secondo fattore, ed entra nello strumento. Da lì raggiunge i server di tutti i clienti nella stessa notte. I clienti che avevano limitato l'accesso remoto ad orari concordati, con approvazione caso per caso e log degli accessi degli amministratori di sistema esterni, se ne accorgono subito o non vengono raggiunti; gli altri lo scoprono il mattino dopo.

Termini collegati

• Threat intelligence
• Amministratore di sistema
• Attack Surface Management
• Ransomware