Apa yang Diberitahukan oleh SolarWinds Hack Tentang IoT dan Keamanan Rantai Pasokan

Apa pun industrinya, pelanggaran keamanan siber tampaknya meningkat dalam ukuran dan skala.

Kampanye peretasan besar-besaran yang diluncurkan oleh Rusia tiga bulan lalu — yang berdampak pada 18.000 pelanggan pembuat perangkat lunak SolarWinds Corp. yang berbasis di Texas — adalah contoh mengerikan dari jangkauan jauh dari potensi serangan rantai pasokan.

Istilah "risiko rantai pasokan" adalah payung besar yang mencakup banyak ancaman dan kerentanan keamanan. Dalam kasus SolarWinds, pelaku ancaman, yang diyakini bekerja atas nama pemerintah asing, mem-trojan pembaruan perangkat lunak ke alat populer SolarWinds Orion. Serangan itu meninggalkan titik akses pintu belakang potensial ke ratusan perusahaan dan sembilan agen federal. Dan hanya itu yang kami ketahui — kemungkinan besar kami akan mengungkap efek pelanggaran ini selama bertahun-tahun yang akan datang.

Risiko rantai pasokan lainnya dapat bermanifestasi sebagai kelemahan keamanan yang dimasukkan ke dalam perangkat elektronik. Produsen smartphone, printer, router, perangkat internet-of-things, dan sistem infrastruktur penting membeli komponen dari pihak ketiga. Komponen ini dikirimkan dengan firmware tertanam yang mungkin memiliki kelemahan keamanan yang ada. Terlebih lagi, beberapa dari firmware itu tidak ditulis oleh pabrikan, tetapi berasal dari kode sumber terbuka yang dikelola oleh sukarelawan di I.T. komunitas.

Inilah yang perlu diketahui oleh industri rantai pasokan yang lebih luas tentang serangan siber.

Perangkat Lunak Terselubung

Ada semakin banyak pembeli yang menuntut daftar lengkap perangkat lunak di dalam perangkat — tetapi untuk saat ini, jarang ada produsen yang menyediakannya. Daftar itu, yang dikenal sebagai perangkat lunak bill of material (SBOM) adalah kunci untuk keamanan rantai pasokan, tetapi penting untuk dicatat bahwa itu bukan obat untuk semua. Misalnya, SBOM tidak akan menangkap backdoor SolarWinds. Yang diperlukan adalah anggota tim keamanan menganalisis sendiri file perangkat lunak akhir, sebelum dirilis ke pelanggan.

Kursi Belakang

Pengembang perangkat lunak dan produsen perangkat telah beralih ke proses pengembangan yang cepat. Di sisi perangkat lunak, kerangka pengembangan yang gesit ini mendorong pembaruan yang banyak dan cepat, terkadang untuk menambahkan fitur baru, terkadang untuk memperbaiki kelemahan keamanan. Ada dorongan serupa di sisi perangkat — dan ini terutama berlaku untuk perangkat IoT yang dijual sebagai produk komoditas dalam jumlah besar.

Dalam kedua kasus, keamanan sering berakhir mengambil kursi belakang. Terserah kepemimpinan organisasi untuk mengenali risiko tidak memprioritaskan keamanan, dan terserah pada tim pengembangan untuk proaktif dalam mengurangi risiko tersebut sebelum dapat dieksploitasi. Kenyataannya adalah, penyerang jauh di depan industri. Itu telah menempatkan organisasi dalam sikap reaktif dan memunculkan banyak peraturan dan standar. Lebih penting dari sebelumnya bagi perusahaan, produsen, dan pembeli, untuk mengambil pendekatan proaktif.

Potensi Akses

Rantai pasokan global telah menjadi target yang sangat menarik karena sebagian besar sistem mereka terhubung dan seringkali kurang aman. Ini adalah praktik umum untuk menduplikasi perangkat lunak di lebih dari satu perangkat — artinya jika peretas menemukan kerentanan di kamera bel pintu, mungkin juga mengeksploitasi merek bel pintu lain, TV pintar, kulkas yang terhubung, atau termostat rumah.

Untuk peretas, kerentanan yang memengaruhi satu perangkat tidak signifikan, karena sulit untuk memonetisasi jenis peretasan tersebut, tetapi kerentanan rantai pasokan yang meluas bisa jauh lebih berharga. Untuk eksekutif rantai pasokan, penting untuk memikirkan semua perangkat di bisnis Anda yang dapat mengaktifkan pivot ke sistem lain.

Pelanggaran SolarWinds adalah peringatan bagi banyak orang di dalam komunitas keamanan siber dan di luarnya. Bagi yang lain, itu adalah konfirmasi dari apa yang sudah kami ketahui, dan apa yang telah kami upayakan dengan keras untuk dicegah.

Hal terpenting yang dapat diambil dari serangan ini adalah kita perlu mengevaluasi kembali kepercayaan yang kita berikan kepada vendor, perangkat lunak, dan perangkat. Di mana pun Anda berada dalam rantai pasokan, dari pengguna perangkat lunak perusahaan hingga OEM hingga pemasok perangkat lunak, kemungkinan besar Anda menempatkan kepercayaan yang luar biasa pada vendor Anda dan produk mereka. Kami perlu memikirkan kembali bagaimana kami menilai hubungan kepercayaan tersebut, dan yang terpenting, kami perlu memahami bagaimana kami dapat memverifikasi keamanan perangkat lunak, firmware, dan perangkat keras ini di seluruh siklus hidup.

Matt Wyckhouse adalah pendiri dan CEO Finite State.