Trois étapes éprouvées pour sécuriser votre chaîne d'approvisionnement logicielle

Le code informatique est la fondation de chaque technologie, des smartphones aux robots et aux réseaux qui les connectent. Dans le monde digital d'aujourd'hui, cela fait aussi du code une partie de la fondation pour de nombreuses — sinon la plupart — entreprises et services.

Les hackers reconnaissent ce fait et l'exploitent. Un exemple récent et médiatique est l'attaque contre FireEye qui a utilisé de multiples mises à jour trojanisées du logiciel SolarWinds. En ciblant les fournisseurs de logiciels, les hackers ont pu installer des portes dérobées dans des entreprises qui, à leur tour, leur ont permis d'atteindre leurs cibles visées : les agences gouvernementales qui recevaient des services de ces entreprises.

Cette méthode d'attaque exploite aussi la confiance. Les entreprises, gouvernements et autres clients supposent que si une mise à jour logicielle ou firmware vient du vendeur, elle est sûre à installer. Certains feront confiance mais vérifieront ; ils vérifient le site du vendeur pour la valeur de hachage de la mise à jour et la comparent au téléchargement. Si elles correspondent, ils supposent qu'elle est exempte de vulnérabilités.

Cette confiance crée des opportunités pour les acteurs malveillants capables de manipuler le code source pendant le processus de développement. En résultat, les utilisateurs téléchargent involontairement un exploit, qui reste souvent tranquillement pendant des semaines ou mois en se propageant dans une organisation pour finalement attaquer une liste de partenaires, fournisseurs ou clients. Comment les organisations peuvent-elles se protéger ?

Écarter les mauvais acteurs

Un programme de gestion des risques de la chaîne d'approvisionnement (SCRM) est critique pour atténuer les menaces et vulnérabilités inhérentes à l'adoption et l'intégration de produits et services tiers. Il couvre les personnes, processus et technologies, et s'étend sur plusieurs départements incluant la sécurité, l'IT, les ressources humaines (RH), les achats et le juridique. Il est particulièrement important d'étendre le programme SCRM d'une entreprise dans le cycle de vie de développement logiciel (SDLC). Dans le processus, le programme SCRM crée une culture de sécurité où chacun est participant et aligné vers le même objectif.

Au sein du SDLC, un programme SCRM se concentre sur les personnes qui ont besoin de toucher le code et les ressources connexes comme les ensembles d'outils. Compréhensiblement, ces employés doivent être minutieusement vérifiés pendant le processus d'embauche, incluant des vérifications d'antécédents pour identifier tout lien potentiel avec une activité criminelle et/ou des États-nations.

Les entreprises utilisant des sociétés d'intérim doivent s'assurer que la firme comprend leurs exigences uniques et spécifiques. Par exemple, les entreprises doivent savoir qui sont leurs sociétés d'intérim et si elles ont une présence dans des pays ayant un historique de cybercriminalité parrainée par l'État. Quand les entreprises traitent des informations propriétaires et confidentielles, elles ne veulent pas que les bureaux distants des sociétés d'intérim leur fournissent des CV et candidats qui sont des menaces internes potentielles. Les attaquants d'États-nations sont de plus en plus concentrés sur l'infiltration de leurs personnes dans les organisations ciblées. Ils ont les ressources financières pour former des gens, qui démontrent des compétences de codage convoitées et d'autres qualifications recherchées qui élèvent leurs CV au sommet de la pile. C'est quelque chose dont les équipes RH et les responsables d'embauche doivent être conscients.

Il est possible que certains mauvais acteurs passent même à travers les processus de sélection et d'embauche les plus rigoureux. C'est pourquoi il est important de surveiller l'activité des employés via un programme de menace interne bien défini pour identifier les comportements inhabituels et suspects comme l'escalade non autorisée de privilèges et l'accès à des systèmes, programmes et applications.

Un programme SCRM doit aussi identifier les personnes qui ont besoin de toucher le code et les ressources connexes comme les ensembles d'outils, et ensuite implémenter des garde-fous pour garder tout cela loin de tout le monde. Une fois le code licencié, il devrait être la source unique pour les développeurs autorisés, signifiant qu'ils ne peuvent pas apporter de code additionnel de sources externes. Essentiellement, une fois le code déjà évalué et contrôlé, les entreprises ne veulent pas que les développeurs aillent chercher du code de nouvelles sources qui n'ont pas encore été évaluées pour les risques de sécurité. Cette meilleure pratique atténue les vulnérabilités comme des portes dérobées enfouies dans du code non autorisé utilisé involontairement par des développeurs autorisés ou des portails non documentés cachés par des utilisateurs non autorisés.

Examiner et contrôler

Contrôler étroitement la technologie fournit une autre couche de protection. Par exemple, même quand les employés sont mutés au sein de l'organisation, envisagez de leur fournir un nouvel ordinateur portable avec une image créée spécifiquement pour leur nouveau rôle et département. Désactivez aussi tout accès préalablement acquis qui n'est plus requis. Cela aide à garantir que les données et l'accès restent privilégiés.

Le département IT devrait aussi re-imager les ordinateurs neufs avant de les attribuer aux développeurs. Utiliser l'image fournie par le vendeur pourrait créer des portes dérobées si le système d'exploitation et les logiciels préinstallés ont du code compromis. À la place, créez une image personnalisée et durcie pour ces appareils.

Tous les nouveaux types de matériel et logiciel devraient être initialement mis en bac à sable (sandbox) pour une certaine période. Cela donne au département IT le temps d'examiner leur comportement, comme des appels non sollicités vers internet pour essayer de télécharger des données. Cela crée aussi une baseline pour aider à détecter des changements soudains de comportement des mois ou années plus tard qui pourraient indiquer qu'ils ont été compromis.

Créer une culture de sécurité

C'est beaucoup à considérer, ce qui souligne pourquoi le SCRM doit être un effort transversal à l'organisation. Par exemple, le département juridique doit s'assurer que les contrats vendeurs et partenaires contiennent un langage concernant les audits pour garantir que toutes les exigences sont suivies. Pendant ce temps, les RH peuvent aider à développer et faire respecter les règles de sélection des candidats.

L'adhésion et le leadership de la direction (C-level) sont clés pour atteindre ce genre d'effort d'équipe et garantir que les ressources sont disponibles pour implémenter un programme SCRM. Cela produit une culture de sécurité qui s'étend sur toute l'organisation et transforme la sécurité d'une réflexion après-coup en une partie fondamentale du processus de développement.

Michael Iwanoff est directeur de la sécurité de l'information chez iconectiv.