Tres Pasos Comprobados para Asegurar su Cadena de Suministro de Software

El código informático es la base de cada pieza de tecnología, desde smartphones hasta robots y las redes que los conectan. En el mundo digital de hoy, eso también hace que el código sea parte de la base para muchos —si no la mayoría— de negocios y servicios.

Los hackers reconocen este hecho y lo aprovechan. Un ejemplo reciente de alto perfil es el ataque a FireEye que usó múltiples actualizaciones troyanizadas de software SolarWinds. Al apuntar a proveedores de software, los hackers pudieron instalar puertas traseras en empresas que, a su vez, les permitieron alcanzar sus objetivos previstos: las agencias gubernamentales que recibían servicios de esas empresas.

Este método de ataque también aprovecha la confianza. Empresas, gobiernos y otros clientes asumen que si una actualización de software o firmware viene del proveedor, es seguro instalarla. Algunos confían pero verifican; revisan el sitio web del proveedor para el valor hash de la actualización y luego lo comparan con la descarga. Si coinciden, asumen que está libre de vulnerabilidades.

Esta confianza crea oportunidades para actores maliciosos que pueden manipular el código fuente durante el proceso de desarrollo. Como resultado, los usuarios descargan inadvertidamente un exploit, que a menudo permanece quieto durante semanas o meses mientras se propaga por una organización para finalmente atacar una lista de socios, proveedores o clientes. ¿Cómo pueden las organizaciones protegerse?

Mantener fuera a los malos actores

Un programa de gestión de riesgo de cadena de suministro (SCRM) es crítico para mitigar amenazas y vulnerabilidades inherentes a la adopción e integración de productos y servicios de terceros. Cubre personas, procesos y tecnología, y abarca múltiples departamentos incluyendo seguridad, TI, recursos humanos (RR.HH.), compras y legal. Es especialmente importante expandir el programa SCRM de una empresa al ciclo de vida de desarrollo de software (SDLC). En el proceso, el programa SCRM crea una cultura de seguridad donde todos son participantes y están alineados hacia la misma meta.

Dentro del SDLC, un programa SCRM se enfoca en las personas que necesitan tocar el código y recursos relacionados como conjuntos de herramientas. Entendiblemente, estos empleados deben ser examinados a fondo durante el proceso de contratación, incluyendo verificaciones de antecedentes para identificar posibles vínculos con actividad criminal y/o estados nacionales.

Las empresas que utilizan firmas de personal necesitan asegurar que la firma entienda sus requisitos únicos y específicos. Por ejemplo, las empresas deben saber quiénes son sus firmas de personal y si tienen presencia en países con historial de cibercrimen patrocinado por el estado. Cuando las empresas tratan información propietaria y confidencial, no quieren que las oficinas remotas de firmas de personal les envíen currículums y candidatos que sean potenciales plantas de amenazas internas. Los atacantes de estados nacionales están cada vez más enfocados en meter a su gente en organizaciones objetivo. Tienen los recursos financieros para entrenar personas, que demuestran habilidades de codificación codiciadas y otras credenciales buscadas que elevan sus currículums a la cima de la pila. Esto es algo para que los equipos de recursos humanos y gerentes de contratación estén conscientes.

Es posible que algunos malos actores se deslicen incluso a través de los procesos de selección y contratación más cuidadosos. Por eso es importante monitorear la actividad de empleados a través de un programa de amenaza interna bien definido para identificar comportamientos inusuales y sospechosos como escalación no autorizada de privilegios y acceso a sistemas, programas y aplicaciones.

Un programa SCRM también debe identificar a las personas que necesitan tocar el código y recursos relacionados como conjuntos de herramientas, y luego implementar salvaguardas para mantener todo eso alejado de todos los demás. Una vez que el código está licenciado, debe ser la única fuente para los desarrolladores autorizados, lo que significa que no pueden traer código adicional de fuentes externas. Esencialmente, una vez que el código ya está evaluado y controlado, las empresas no quieren que los desarrolladores salgan a obtener código de nuevas fuentes que aún no han sido evaluadas por riesgos de seguridad. Esta mejor práctica mitiga vulnerabilidades como puertas traseras enterradas en código no autorizado usado inadvertidamente por desarrolladores autorizados o portales no documentados ocultos por usuarios no autorizados.

Examinar y controlar

Controlar estrictamente la tecnología proporciona otra capa de protección. Por ejemplo, incluso cuando los empleados se transfieren dentro de la organización, considere proporcionarles una nueva laptop que tenga una imagen creada específicamente para su nuevo rol y departamento. También, deshabilite cualquier acceso adquirido previamente que ya no sea requerido. Esto ayuda a asegurar que datos y acceso permanezcan privilegiados.

El departamento de TI también debería reimagenar computadoras nuevas antes de emitirlas a desarrolladores. Usar la imagen stock proporcionada por el vendedor podría crear puertas traseras si el sistema operativo y cualquier bloatware preinstalado tienen código comprometido. En su lugar, cree una imagen personalizada y endurecida para esos dispositivos.

Todos los nuevos tipos de hardware y software deberían ser inicialmente aislados (sandboxed) por algún período de tiempo. Esto da al departamento de TI tiempo para examinar su comportamiento, como hacer llamadas no solicitadas a internet para intentar bajar datos. También crea una línea base para ayudar a detectar cambios repentinos en comportamiento meses o años después que podrían indicar que han sido comprometidos.

Crear una cultura de seguridad

Esto es mucho para considerar, lo que destaca por qué SCRM debe ser un esfuerzo transversal en la organización. Por ejemplo, el departamento legal debe asegurar que los contratos de proveedores y socios contengan lenguaje sobre auditorías para asegurar que se sigan todos los requisitos. Mientras tanto, RR.HH. puede ayudar a desarrollar y hacer cumplir reglas para la selección de candidatos.

El compromiso y liderazgo de nivel C son clave para lograr este tipo de esfuerzo en equipo y asegurar que los recursos estén disponibles para implementar un programa SCRM. Esto produce una cultura de seguridad que abarca toda la organización y transforma la seguridad de una ocurrencia tardía en una parte fundamental del proceso de desarrollo.

Michael Iwanoff es director de seguridad de la información en iconectiv.