Etter hvert som leverandørkjedene blir stadig mer digitaliserte og sammenkoblede, står teknologiteamene overfor et stadig større press for å sikre vidtforgrenede økosystemer av verktøy, plattformer og tredjepartsintegrasjoner. Achilles CTO Tim Bridgland deler sitt perspektiv på hvordan organisasjoner kan styrke motstandsdyktigheten, hva vi kan lære av de siste angrepsmønstrene, og hvorfor sikkerheten i leverandørkjeden for programvare nå står i sentrum for anskaffelsestilliten.
Spørsmål: Teknologiteamene er under stadig større press for å sikre stadig mer komplekse systemer. Hva er det som driver denne kompleksiteten?
Tim Bridgland:
Teknologimiljøet for enhver organisasjon er nå et nettverk av nettverk. Kjernesystemene er ikke lenger isolerte. De snakker med eksterne verktøy, arbeidsflytmotorer, datainnhentingsplattformer og skytjenester. Integrasjoner gjør driften raskere og mer sammenkoblet, men de utvider også grensene som sikkerhetsteamene aktivt må beskytte.
Tradisjonelle tilnærminger forutsatte at en organisasjon kunne sikre det den eide. I dag må teamene sikre det de bruker. Det inkluderer API-er, leverandørplattformer, autentiseringslag og alle eksterne tjenester som inngår i kritiske forretningsprosesser. Angrepsflaten vokser med hver integrasjon, og ansvaret vokser med den.
Spørsmål: Hva betyr dette skiftet for arkitekturteamene spesielt?
Tim:
Arkitekturteamene må designe for gjennomtrengelighet. Systemene er ikke lenger lukkede, så arkitekturen må ta høyde for eksterne tillitsforhold, avhengighetskjeder og risiko på plattformnivå.
Tre endringer skiller seg ut:
- Flere integrasjoner med eksterne verktøy betyr flere potensielle inngangspunkter.
- Sikkerhetenmå strekke seg langt utover de interne systemene, fordi angriperne i økende grad går etter det svakeste leddet i kjeden, ikke nødvendigvis selve organisasjonen.
- Avhengigheter i leverandørkjeden og på plattformen må behandles som en del av arkitekturen, ikke som en ettertanke.
Konsekvensen er klar. En sikker arkitektur handler ikke lenger bare om sterke interne kontroller. Det handler om kontinuerlig innsyn i alt som er koblet til virksomheten, inkludert leverandører, plattformer og teknologien som ligger til grunn for dem.
Spørsmål: Et av eksemplene vi har hørt deg bruke, er Shai Hulud-ormen. Hvorfor er dette en så kraftfull illustrasjon?
Tim:
Shai Hulud er et godt eksempel fordi det representerer det moderne angrepsmønsteret perfekt. Det bryter ikke gjennom inngangsdøren. I stedet kompromitterer det utviklerkontoer og høster tokens, skymetadata, miljøvariabler og annen innebygd legitimasjon.
Angrepet leveres gjennom pålitelige mekanismer. Det er det som er poenget. Angrepet utnytter organisasjonens egne verktøy og leverandørkjedeforbindelser mot den. Når angrepet først er inne, blander det flere angrepsvektorer, noe som gjør tradisjonelle perimeterbaserte forsvarsmekanismer stort sett irrelevante.
Dette eksemplet understreker hvorfor sikkerhet i leverandørkjeden er viktig. Angriperne er ute etter mellomleddene mellom organisasjoner og verktøyene de bruker. Hvis disse leddene ikke overvåkes, valideres og verifiseres, blir de usynlige sårbarheter.
Spørsmål: Hvordan bør organisasjoner reagere på angrep som bruker betrodde mekanismer som inngangsport?
Tim:
Organisasjoner må gå fra «tillit som standard» til «tillit gjennom verifisering». Det betyr at
- Behandle identitet, tokens og miljøvariabler som høyrisikoaktiva
- Implementering av kontinuerlig legitimasjonshygiene, ikke engangsoppryddinger
- Overvåking av tredjepartsverktøy på samme måte som interne applikasjoner
- Sikre at utviklingsmiljøene er like godt sikret som produksjonsmiljøene
- Redusere vedvarende tilgang der det er mulig
Fremfor alt må tankesettet endres. Grensesnitt i forsyningskjeden er ikke sekundære risikoer. De er primære risikoer fordi angriperne er avhengige av dem for å omgå forsvarsverkene.
Spørsmål: Hvordan hjelper Achilles organisasjoner med å håndtere disse nye risikoene?
Tim:
Achilles gir innsyn i leverandørene, plattformene og avhengighetene som utgjør ryggraden i et selskaps driftsmiljø. Målet er å sikre at organisasjoner forstår hvem de er koblet til, hvordan disse leverandørene håndterer sikkerheten, og hvor potensielle sårbarheter ligger.
Etter hvert som truslene blir mer sofistikerte, må innkjøpsteamene kunne stole på at leverandørinformasjonen er oppdatert, verifisert og risikovurdert. Teknologiteamene må forsikre seg om at partnerne deres håndterer legitimasjon, autentisering og plattformsikkerhet på en effektiv måte. Achilles bringer disse to verdenene sammen.
I et klima der angriperne beveger seg gjennom betrodde kanaler, er denne synligheten ikke valgfri. Det er grunnleggende.
Spørsmål: Hva er det eneste budskapet du vil at teknologi- og innkjøpsledere skal ta med seg fra disse nye angrepsmønstrene?
Tim:
Sikkerhet kan ikke lenger stoppe i utkanten av organisasjonen. Hver eneste plattform du samhandler med, hver eneste leverandør du tar i bruk, og hver eneste integrasjon du bygger, blir en del av sikkerhetsgrensen din. Ledere må utvide synsfeltet sitt, for det har angriperne allerede gjort.