Ist Softwareanbietern Sicherheit genauso wichtig wie Ihnen?

Eine Version dieses Artikels erschien im Security Magazine. Er wurde hier aktualisiert und erneut veröffentlicht.

‍

Für Sicherheitsexperten hat der 13. Dezember eine besondere Bedeutung. Ist es der Tag, an dem wir SQL-Injection endgültig ausgerottet haben? Natürlich nicht. Vielleicht der „Internationale Tag der Wertschätzung für Sicherheitsmitarbeiter“? Auch nicht. Es ist der Tag, an dem FireEye und Mandiant ihren schockierenden Bericht über eine bis dahin unbekannte globale Eindringungskampagne veröffentlichten, die als SolarWinds bekannt werden sollte. Der Bericht beschrieb einen laufenden und schier unglaublichen Angriff, bei dem Schadcode tief in den Software-Updates der beliebten Orion-Management-Software von SolarWinds versteckt war.

Über 18.000 SolarWinds-Kunden hatten das korrumpierte Update bereits heruntergeladen. Viele taten dies automatisch, genau wie bei Hunderten anderer Software-Updates in ihren Unternehmen und Netzwerken. Die Angreifer gingen äußerst selektiv vor, als sie durch die SolarWinds-Sicherheitslücke Zugriff erhielten. Bei vielen Großkonzernen sowie Regierungsbehörden wurden Daten gestohlen und Netzwerke kompromittiert. Es war einer der größten und wahrscheinlich kostspieligsten Sicherheitsvorfälle aller Zeiten, zumal bei Regierungsbehörden das volle Ausmaß des Schadens nie öffentlich gemacht wurde.

Und all das geschah, weil man den Anbietern in der Software-Lieferkette vertraute, ohne deren Aktivitäten ordnungsgemäß zu überprüfen oder zu kontrollieren.

Der massive Wandel hin zur Sicherheit der Lieferkette

Sobald der Alarm ausgelöst wurde, reagierten Unternehmen, Organisationen und Regierungsbehörden schnell. Der SolarWinds-Angriff wurde zwar gestoppt, aber der Vorfall legte auch die Gefahren einer unregulierten und unüberwachten Software-Lieferkette offen. Während der SolarWinds-Vorfall nach seiner Entdeckung schnell gelöst wurde, sind die Auswirkungen auf die Nutzung der Lieferkette als Angriffsvektor noch immer spürbar. Wenn der Angriff etwas Gutes hatte, dann zumindest, dass er ein kritisches, aber übersehenes Aspekt der Cybersicherheit ins Rampenlicht rückte.

Eine der prominentesten Reaktionen auf den SolarWinds-Angriff war die Executive Order von Präsident Biden zur Verbesserung der Cybersicherheit des Landes. Die Anordnung ist eine der umfassendsten Cybersicherheitsrichtlinien, die jemals in den Vereinigten Staaten erlassen wurden. Sie fordert eine bessere Cybersicherheit bei Behörden und für diejenigen, die mit der Regierung Geschäfte machen, befürwortet fortschrittliche Schutzmaßnahmen wie Zero-Trust-Netzwerke und betont die Notwendigkeit der Sicherheit in der Software-Lieferkette.

Während sich die EO speziell auf die Regierung bezieht, haben auch andere Gruppen begonnen, die Bedeutung der Sicherheit der Lieferkette zu betonen, um einen weiteren Angriff im Stil von SolarWinds zu verhindern. Palo Alto hat beispielsweise kürzlich seinen Unit 42 Cloud Threat Report mit dem Titel „Secure the Software Supply Chain to Secure the Cloud“ veröffentlicht. Der Bericht stellt fest, dass keine Cloud-Bereitstellung ohne Sicherheit der Software-Lieferkette völlig sicher ist. Und die Cloud Native Computing Foundation stimmt dem zu und veröffentlichte ein Whitepaper, das kritische Best Practices für die Software-Lieferkette detailliert beschreibt, die nach SolarWinds befolgt werden müssen.

Man kann mit Fug und Recht behaupten, dass die letzten Jahre die Cybersicherheitsstandards grundlegend verändert haben. Auch wenn es nicht verpflichtend ist, sollte es für alle Unternehmen ein Ziel sein, diesem Beispiel zu folgen und die Sicherheitspraktiken ihrer Anbieter so kritisch zu prüfen, als wären sie Teil des eigenen internen Sicherheitsprogramms. Initiativen wie der neue Strategieplan der CISA liefern weitere Beweise dafür, dass die Betrachtung von Sicherheit als gemeinsame Verantwortung Teil eines neuen Standards für alle Softwareentwickler wird, insbesondere für diejenigen, die an kritischer Infrastruktur oder der Software-Lieferkette beteiligt sind.

Was können Unternehmen tun, um ihre Software-Lieferketten zu verbessern?

Die Situation führt dazu, dass sich viele Anbieter zu Recht fragen, was sie tun können, um ihre eigenen Lieferketten zu schützen. Was kann ein Unternehmen tun, um sicherzustellen, dass seine Anbieter genauso viel Wert auf Cybersicherheit legen wie sie selbst?

Die EO unterstreicht ausdrücklich den Einfluss von Softwareentwicklern und die Notwendigkeit, dass sie über verifizierte Sicherheitskenntnisse und ein entsprechendes Bewusstsein verfügen. Dies ist ein Bereich, der in einer Branche, die von Tools besessen ist, oft vergessen wird, anstatt sich auf eine menschenzentrierte Verteidigung durch wichtige Sicherheitskompetenzen zu konzentrieren.

Es ist offensichtlich geworden, dass jeder umfassende Ansatz zur Cybersicherheit heutzutage unbedingt eine detaillierte Risikobewertung Dritter beinhalten muss, die sowohl die vorhandenen technischen Sicherheitskontrollen abdeckt als auch eine Einschätzung darüber enthält, wie Partner Governance, Risiko und Compliance innerhalb ihrer eigenen Organisationen handhaben.

Alle Bewertungen Dritter sollten Zusicherungen und detaillierte Pläne darüber enthalten, wie die Akteure in Ihrer Software-Lieferkette sichere Programm-Updates mit verifizierten Zertifikatssignaturen veröffentlichen wollen und wie sie bei der Verwaltung der Identitäten all ihrer Software und Geräte helfen werden. Sie sollten auch einen klaren Pfad für kryptografische Upgrades und Updates für ihre Produkte aufzeigen.

Und da Entwickler endlich als kritische Komponente der Sicherheit der Software-Lieferkette angesehen werden, sollte jede Bewertung auch einen Bericht darüber enthalten, wie sie sicheres Programmieren und kontinuierliche Verbesserung innerhalb ihrer Entwickler-Community fördern, idealerweise durch ein Benchmarking ihrer Fähigkeiten und aktuellen Schulungen. Wir wissen, dass die Betonung der Weiterbildung von Entwicklern zunimmt, aber 48 % der Entwickler haben zugegeben, wissentlich anfälligen Code auszuliefern.

Faktoren wie Zeitdruck und die Realität, dass Sicherheit in ihrer Welt einfach keine Priorität (und auch kein Erfolgsmaßstab) hat, tragen zu einem Umfeld bei, in dem Schwachstellen auf Code-Ebene nicht so früh angegangen werden, wie sie sollten. Wenn wir verhindern wollen, dass sie die Software-Lieferkette infizieren, muss sich jede Organisation zu einem entwicklerfreundlicheren Sicherheitsprogramm verpflichten.

Nächste Schritte?

Risikobewertungen sind entscheidend, denn wenn Sie Software von einem Anbieter mit Sicherheitsproblemen verwenden, übernehmen Sie diese in Ihr eigenes Ökosystem und tragen die Konsequenzen. Unternehmen sollten sich jedoch auch bewusst sein, dass ihre Anbieter möglicherweise sogar sicherer sind und ihre Entwickler-Communities besser unterstützen.

Sie können eine Risikobewertung Dritter als sekundäre Methode zur Bewertung Ihrer eigenen Sicherheit nutzen. Wenn ein Anbieter einen Aspekt der Sicherheit besser handhabt als Sie intern, können Sie dessen Methoden übernehmen, um Ihr eigenes Unternehmen zu verbessern.

Der nächste große Schritt zur wirklichen Verbesserung der Software-Lieferkette ist schließlich die Implementierung von Zertifizierungen für sicheres Programmieren für Entwickler. Ein guter Plan ist der erste Schritt, aber die Überprüfung, ob er tatsächlich befolgt wird und zur Erstellung von sicherem Code beiträgt, ist ebenfalls eine Notwendigkeit.

Solange die Befähigung von Entwicklern zu sicherem Programmieren nicht zum Standard gehört, werden wir immer zu spät dran sein, Sicherheitslücken zu schließen, bevor Angreifer sie ausnutzen. Es ist jedoch nie zu spät, mit der richtigen Unterstützung einen positiven Beitrag zu leisten. Erfahren Sie, wie Ihre Entwickler mit agilem Lernen relevante und wirkungsvolle Sicherheitskompetenzen aufbauen können jetzt.