Pelanggaran SolarWinds Ungkap Kerentanan Keamanan IoT dan Rantai Pasokan

Terlepas dari industri, pelanggaran keberatan siber sepertinya semakin meningkat dalam ukuran dan skala.

Kampanye hacking yang meluas yang diluncurkan oleh Rusia tiga bulan yang lalu — yang mempengaruhi hingga 18.000 pelanggan dari pembuat perangkat lunak SolarWinds Corp. berbasis Texas — adalah contoh yang mencolok dari jangkauan jauh dari potensi serangan rantai pasokan.

Istilah "risiko rantai pasokan" adalah payung besar yang mencakup banyak ancaman dan kerentanan keamanan. Dalam kasus SolarWinds, pelaku ancaman, yang dipercaya bekerja atas nama pemerintah asing, trojanisasi pembaruan perangkat lunak untuk alat populer SolarWinds Orion. Serangan ini meninggalkan titik masuk pintu belakang potensi untuk ratusan perusahaan dan sembilan agen federal. Dan itu hanya yang kita tahu — kemungkinan besar kita akan terus mengungkap dampak pelanggaran ini untuk bertahun-tahun mendatang.

Risiko rantai pasokan lainnya dapat muncul sebagai kekurangan keamanan yang tertanam dalam perangkat elektronik. Produsen smartphone, printer, router, perangkat internet-of-things, dan sistem infrastruktur kritis membeli komponen dari pihak ketiga. Komponen ini dikirim dengan firmware tertanam yang mungkin memiliki kekurangan keamanan yang ada. Yang lebih buruk lagi, beberapa firmware tersebut tidak ditulis oleh produsen, tetapi berasal dari kode sumber open-source yang dikelola oleh relawan di komunitas I.T.

Ini adalah apa yang perlu diketahui oleh industri rantai pasokan yang lebih luas tentang serangan siber.

Perangkat Lunak yang Diselimuti

Terdapat gerakan yang berkembang di kalangan pembeli yang menuntut daftar komprehensif perangkat lunak dalam suatu perangkat — namun untuk saat ini, jarang produsen yang menyediakannya. Daftar tersebut, dikenal sebagai software bill of material (SBOM), adalah kunci keamanan rantai pasokan, tetapi penting untuk dicatat bahwa itu bukan obat ampuh. Misalnya, SBOM tidak akan menangkap pintu belakang SolarWinds. Yang dibutuhkan adalah seorang anggota tim keamanan menganalisis file perangkat lunak akhir itu sendiri, sebelum dirilis ke pelanggan.

Di Bangku Belakang

Pengembang perangkat lunak dan produsen perangkat telah beralih ke proses pengembangan yang cepat. Di sisi perangkat lunak, kerangka pengembangan agile ini mendorong pembaruan yang banyak dan cepat, terkadang untuk menambahkan fitur baru, sesekali untuk memperbaiki kekurangan keamanan. Ada dorongan yang sama di sisi perangkat — dan ini benar-benar berlaku untuk perangkat IoT yang dijual sebagai produk komoditas dalam jumlah besar.

Dalam kedua kasus, keamanan seringkali berada di bangku belakang. Tugas kepemimpinan organisasi untuk mengenali risiko dari tidak memprioritaskan keamanan, dan tanggung jawab tim pengembangan untuk proaktif dalam mengurangi risiko tersebut sebelum dapat dieksploitasi. Kenyataannya, pelaku ancaman jauh di depan industri. Itu telah menempatkan organisasi dalam postur reaktif dan memberikan naissance pada banyak peraturan dan standar. Semakin penting dari sebelumnya bagi perusahaan, produsen, dan pembeli untuk mengambil pendekatan proaktif.

Potensi Akses

Rantai pasokan global telah menjadi target yang sangat menarik karena sistem mereka yang sebagian besar terhubung dan seringkali tidak teramankan dengan baik. Praktik umum adalah menduplikasi perangkat lunak di lebih dari satu perangkat — yang berarti jika hacker menemukan kerentanan dalam kamera pintu, mungkin juga mungkin untuk mengeksploitasi merek pintu lain, TV pintu, kulkas terhubung, atau termostat rumah.

Bagi hacker, kerentanan yang mempengaruhi satu perangkat adalah tidak signifikan, karena sulit untuk monetisasi jenis hack tersebut, namun kerentanan rantai pasokan yang meluas dapat jauh lebih berharga. Bagi eksekutif rantai pasokan, penting untuk memikirkan semua perangkat dalam bisnis Anda yang dapat memungkinkan pergeseran ke sistem lain.

Pelanggaran SolarWinds adalah panggilan bangun bagi banyak orang dalam komunitas keamanan siber dan di luarnya. Untuk yang lain, itu adalah konfirmasi dari apa yang kita ketahui, dan apa yang kita kerjakan keras untuk mencegah.

Pelajaran terpenting dari serangan ini adalah kita perlu mengevaluasi ulang kepercayaan yang kita tempatkan pada vendor, perangkat lunak, dan perangkat. Terlepas dari di mana Anda berada dalam rantai pasokan, dari pengguna enterprise perangkat lunak ke OEM hingga pemasok perangkat lunak, Anda kemungkinan meletakkan jumlah kepercayaan yang luar biasa pada vendor dan produk mereka. Kita perlu mengubah cara kita menilai hubungan kepercayaan tersebut, dan yang terpenting, kita perlu memahami bagaimana kita dapat memverifikasi keamanan perangkat lunak, firmware, dan perangkat keras ini selama seluruh siklus hidup.

Matt Wyckhouse adalah founder dan CEO of Finite State.