La brecha de SolarWinds revela vulnerabilidades en IoT y seguridad de la cadena de suministro

Sin importar la industria, las brechas de ciberseguridad parecen estar aumentando en tamaño y escala.

La extensa campaña de piratería lanzada por Rusia hace tres meses, que afectó a hasta 18,000 clientes del fabricante de software con sede en Texas SolarWinds Corp., es un ejemplo flagrante del alcance masivo de un posible ataque a la cadena de suministro.

El término "riesgo de la cadena de suministro" es un paraguas amplio que cubre muchas amenazas y vulnerabilidades de seguridad. En el caso de SolarWinds, los actores de la amenaza, que se cree trabajan en nombre de un gobierno extranjero, insertaron un troyano en las actualizaciones de software de la popular herramienta SolarWinds Orion. El ataque dejó posibles puntos de acceso trasero a cientos de empresas y nueve agencias federales. Y eso es solo lo que sabemos; probablemente estaremos descubriendo los efectos de esta brecha durante años.

Otros riesgos de la cadena de suministro pueden manifestarse como fallos de seguridad integrados en dispositivos electrónicos. Los fabricantes de teléfonos inteligentes, impresoras, enrutadores, dispositivos de internet de las cosas (IoT) y sistemas de infraestructura crítica compran componentes a terceros. Estos componentes se envían con firmware integrado que puede tener fallos de seguridad existentes. Además, parte de ese firmware no fue escrito por el fabricante, sino que proviene de código abierto mantenido por voluntarios de la comunidad de TI.

Lo que la industria de la cadena de suministro necesita saber sobre ciberataques

Software velado

Existe un movimiento creciente de compradores que exigen listas completas del software dentro de un dispositivo, pero por ahora es raro que los fabricantes lo proporcionen. Esa lista, conocida como lista de materiales de software (SBOM), es clave para la seguridad de la cadena de suministro, pero es importante señalar que no es una panacea. Por ejemplo, un SBOM no habría detectado la puerta trasera de SolarWinds. Lo que se necesitaba era que un miembro del equipo de seguridad analizara los archivos de software finales antes de su lanzamiento a los clientes.

La seguridad en un segundo plano

Los desarrolladores de software y fabricantes de dispositivos han adoptado procesos de desarrollo rápido. En el lado del software, este marco de desarrollo ágil impulsa actualizaciones numerosas y rápidas, a veces para agregar nuevas funciones, ocasionalmente para corregir fallos de seguridad. Existe un impulso similar en el lado de los dispositivos, y esto es especialmente cierto para dispositivos IoT vendidos como productos básicos al por mayor.

En cualquier caso, la seguridad a menudo termina en un segundo plano. Depende del liderazgo de una organización reconocer el riesgo de no priorizar la seguridad, y de los equipos de desarrollo ser proactivos en mitigar esos riesgos antes de que puedan ser explotados. La realidad es que los atacantes van muy por delante de la industria. Eso ha puesto a las organizaciones en una postura reactiva y ha dado lugar a numerosas regulaciones y estándares. Es más importante que nunca que las empresas, fabricantes y compradores por igual, adopten un enfoque proactivo.

Potencial de acceso

Las cadenas de suministro globales se han convertido en objetivos particularmente atractivos debido a sus sistemas altamente conectados y a menudo mal asegurados. Es práctica común duplicar software en más de un dispositivo, lo que significa que si un pirata informático encuentra una vulnerabilidad en una cámara de timbre, también podría ser posible explotar otra marca de timbre, un televisor inteligente, un refrigerador conectado o un termostato doméstico.

Para los piratas informáticos, una vulnerabilidad que afecta a un solo dispositivo es insignificante, porque es difícil monetizar ese tipo de hacks, pero las vulnerabilidades pervasivas de la cadena de suministro pueden ser mucho más valiosas. Para los ejecutivos de la cadena de suministro, es importante pensar en todos los dispositivos de su negocio que podrían permitir pivotes a otros sistemas.

La brecha de SolarWinds fue una llamada de atención para muchos dentro de la comunidad de ciberseguridad y fuera de ella. Para otros, fue una confirmación de lo que ya sabíamos y en lo que hemos estado trabajando tan duro para prevenir.

La conclusión más importante de este ataque es que necesitamos reevaluar la confianza que depositamos en proveedores, software y dispositivos. Independientemente de dónde esté en la cadena de suministro, desde un usuario empresarial de software hasta un OEM o un proveedor de software, probablemente está depositando una cantidad increíble de confianza en sus proveedores y sus productos. Necesitamos repensar cómo evaluamos esas relaciones de confianza y, lo más importante, necesitamos entender cómo podemos verificar la seguridad de este software, firmware y hardware durante todo el ciclo de vida.

Matt Wyckhouse es fundador y CEO de Finite State.