Эксплуатация доверия. Мировая практика управления риском кибератак на цепочку поставок.

Крылов Иван Сергеевич

ООО «СТРОЙПРОЕКТ»

Руководитель направления по информационной безопасности, MBA (Информационная безопасность, 2024 г., РАНХиГС)

Ключевые слова: кибербезопасность, цепочки поставок, аутсорсинг ИБ, Supply Chain Security.

Обозначения и сокращения:

РФ – Российская Федерация;
БС – банковская система;
ИБ – информационная безопасность;
СОИБ — Система обеспечения информационной безопасности;
ИТ – информационные технологии;
ПДн – персональные данные;
СВТ – средства вычислительной техники;
СВР – степень возможности реализации риска нарушения ИБ;
СТП – степень тяжести последствий от реализации риска нарушения ИБ;
SLA – соглашение об уровне услуг (Service Level Agreement);
НСД – несанкционированный доступ
РКАЦП — Риск кибер атак на цепочку поставок
УРАЦП — управление риском кибер атак на цепочку поставок

Мир в 21 веке стал глобальным, специализация деятельности компаний сильно возросла. Сейчас ни одна компания, ни одна страна не в состоянии полностью обеспечить весь спектр производства. Небольшая строительная компания ежедневно взаимодействует с десятками других организаций, в том числе не связанных со строительством. ИТ технологии проникают во все сферы деятельности, что с одной стороны резко ускоряет протекание процессов, а с другой, резко увеличивает длину цепочек поставок. Разработка современного программного обеспечения очень редко производится «с нуля», в основном, разработчики используют внешние библиотеки, сторонние микросервисы.

В данной статье будут рассмотрены ключевые моменты безопасности цепочек поставок — терминология, стандарты, возможные атаки, подходы к защите.

2024 год , растущая геополитическая напряженность и изменение климата создают новые
проблемы для цепочек поставок и тех, кто ими управляет.

Первый громкий случай Атаки на Цепочку Поставок случился в 2028 году - криптокошелек Copay, атака производилась путем подмены бибилиотеки (3 уровень), ошибку заметили и через 2 недели все исправили, однако злоумышленники похитили приватные ключи от кошельков, на которых хранилось более чем 100 BTC (5,8 млн. долл. США по курсу на 13.07.24). Точная сумма потерь не установлена.

2021 год – Атака на ПО для тестирования кода Codecov, атакующие воспользовались уязвимостью в процессе создания образов Docker и через нее смогли модифицировать скрипт Bash Uploader. В свою очередь, зараженный код был доставлен к потребителям. ВПО распространялось с серверов компании как минимум 2,5 месяца. Ключи доступа к облачным средствам разработки пострадавших клиентов с высокой вероятностью утекли. Последствия взлома пока трудно оценить: данный инцидент можно квалифицировать как атаку на цепочку поставок в квадрате, высок риск, что код клиентов компании также мог быть модифицирован.

Одним из самых громких случаев, пожалуй, является атака на библиотеку Apache Log4J, применение которой является одним из самых распространенных способов ведения журнала ошибок. Библиотека используется в ПО такхи компаний как Amazon, Apple, Cisco, Red Hat, Steam, Tesla и др. В пиковые моменты число атак исчислялось десятками в час. Уязвимость позволила злоумышленникам проводить удаленное выполнение кода. Вредоносные команды регистрировались как легитимные. Это позволяло делать практически что угодно: красть данные, распространять вредоносные URL, фактически контролировать целые серверы. При этом, команда Alibaba предупредила Apache о Log4jShell за 15 дней до того, как эти данные попали в публичный доступ.

Последствия атак требуют большой объем внутренней и внешней работы по восстановлению потерянных данных, что приводит к прерыванию сервисов в среднем на три рабочих дня. (от суток и до недели)

Согласно отчету «BCI Supply Chain Resilience Report 2023», кибератаки в 2022 году стали причиной 35,7% случаев прерывания цепочек поставок (5 место), при этом, в следующие 12 месяцев прогнозируется рост показателя до 53,2% (1 место) и до 55,6% в следующие 5 лет .

49,6% опрошенных не проверяют наличие планов непрерывности бизнеса у своих партнеров.

Документы и исследования

В западной практике основными документами, посвященными данной теме, являются:
- Стандарт NIST SP 800-161r1 Cybersecurity Supply Chain Risk Management Practices for Systems and Organizations – Практики управления киберриском цепочек поставок для систем и организаций.
- NIST Cyber Supply Chain Risk Management (C-SCRM) Framework - Система управления рисками атак на цепочки поставок в киберпространстве.
- Стандарт ISO/IEC 27036-4 - являющийся частью серии стандартов ISO/IEC 27036, которая посвящена информационной безопасности взаимоотношений с поставщиками.
- Supply Chain Security: Cloud Supply Chain Risk Management ("Безопасность цепочки поставок: управление рисками облачной цепочки поставок") от Cloud Security Alliance (CSA) в этом документе основное внимание уделяется безопасности цепочки поставок в контексте облачных инфраструктур и процессов.
- Cybersecurity Maturity Model Certification (CMMC - Сертификация модели �