لم يبدأ اختراق سلسلة التوريد لدى شركة تأمين عالمية عند مورّدها الرئيسي، بل لدى شركة تكامل برمجيات تقدّم خدمات تطوير API لمورّد معالجة المطالبات لديها. وامتد الجدول الزمني للهجوم، الذي أُعيد بناؤه في تحليل ما بعد الحادث، عبر ثلاث مؤسسات وثمانية وأربعين يومًا. اليوم الأول: اختُرقت بيانات اعتماد GitHub لدى شركة تكامل البرمجيات عبر حشو بيانات الاعتماد ضد الحساب الشخصي لأحد المطورين الذي أعاد استخدام كلمة مرور كُشفت في خرق سابق. واستخدم المهاجم بيانات اعتماد المطور للوصول إلى مستودعات الشيفرة لدى شركة التكامل، والتي احتوت على بيانات اعتماد API لبيئة التطوير لدى مورّد معالجة المطالبات. اليوم الثاني عشر: استخدم المهاجم بيانات اعتماد API للوصول إلى بيئة التطوير لدى مورّد معالجة المطالبات، وأمضى أحد عشر يومًا في رسم خريطة البيئة وترسيخ وجوده وتحديد المسار إلى بيانات العملاء. اليوم الثالث والعشرون: انتقل المهاجم من بيئة التطوير إلى بيئة الإنتاج مستخدمًا حساب خدمة سيئ الإعداد يملك صلاحية وصول غير ضرورية إلى الإنتاج. من اليوم الثالث والعشرين إلى اليوم السادس والأربعين: أمضى المهاجم ثلاثة وعشرين يومًا في بيئة الإنتاج يرسم مواقع بيانات العملاء ويختبر مسارات التسريب ويجهّز البيانات لاستخراجها. اليوم السابع والأربعون: تسريب جماعي لبيانات مطالبات التأمين. اليوم الثامن والأربعون: كشف SOC لدى شركة التأمين نقلًا شاذًا للبيانات من نطاق IP الخاص بالمورّد. لقد قيّمت شركة التأمين مورّد معالجة المطالبات، وقيّم مورّد معالجة المطالبات شركة التكامل، ووجد كلا التقييمين وضعًا أمنيًا مُرضيًا. ولم يكشف أيٌّ منهما الهجوم الذي ظل يتنقل عبر سلسلة التوريد الخاصة بهما لمدة ثمانية وأربعين يومًا أو يحتويه.
لماذا يهم هذا
تكتسب مدة بقاء الهجمات عبر المورّدين أهميتها في TPRM لأن تعرّض بيانات العميل لا يبدأ حين يدخل المهاجم بيئة العميل، بل حين يحصل على وصول إلى أي بيئة في مسار سلسلة التوريد المؤدي إلى بيانات العميل. ومدة البقاء البالغة ثمانية وأربعين يومًا في السيناريو الافتتاحي تمثل ثمانية وأربعين يومًا من التحضير للهجوم في سلسلة التوريد قبل أن يتعرض العميل لأي أثر مباشر. ويتطلب خفض مدة البقاء في سلسلة التوريد تحسين قدرة الكشف لدى كل مورّد على حدة، وإنشاء آليات التنسيق العابرة للحدود المؤسسية التي تتيح كشفًا أسرع للهجمات متعددة المراحل.
يمثل مقياس متوسط الزمن حتى الكشف على مستوى المورّد المؤشر المباشر على مخاطر مدة البقاء في سلسلة التوريد. فالمورّد الذي يبلغ متوسط الزمن حتى الكشف لديه ثلاثين يومًا يمنح المهاجم ثلاثين يومًا في المتوسط من مدة البقاء للاستعداد للتنقل عبر سلسلة التوريد. وخفض MTTD لدى المورّد يقلل مدة البقاء المتاحة لتجهيز هجوم سلسلة التوريد. وMTTD لكل مورّد في مسار سلسلة التوريد مؤشر تراكمي للمخاطر، إذ إن مجموع مدد البقاء عبر مسار سلسلة التوريد هو إجمالي الوقت المتاح للمهاجم للتحضير للهجوم في المرحلة الأخيرة على العميل.
أين تخطئ معظم الفرق
الإخفاق الأكثر تكرارًا هو عدم قياس MTTD لدى المورّد أو طلبه بوصفه مقياسًا لمخاطر سلسلة التوريد. فتقييمات المورّدين الفردية تؤكد قدرات الكشف، أما MTTD المستمد من حوادث فعلية فيكشف المدة التي عمل فيها المهاجمون قبل كشفهم، أي مدة البقاء التجريبية لا قدرة الكشف النظرية.
- عدم طلب MTTD من المورّد: تأكيد قدرة الكشف دون مدة البقاء التجريبية
- عدم تقييم نقاط الدخول عبر الأطراف الرابعة: دخول الهجوم من مرحلتين أعلى في سلسلة التوريد
- عدم اعتبار مدة البقاء العابرة للحدود المؤسسية مقياسًا لمخاطر المحفظة
- قبول لقطات التقييم دون مراعاة التغيرات التشغيلية منذ التقييم
- لا مراقبة مستمرة توفر رؤية لمدة البقاء بين التقييمات
كيف تبدو الممارسة الجيدة
تطلب برامج إدارة مدة البقاء في سلسلة التوريد الناضجة MTTD الفعلي من سجلات حوادث المورّدين، وتراقب التصنيفات الأمنية المستمرة بحثًا عن إشارات على وجود مستمر للمهاجمين، وتأخذ نقاط الدخول عبر الأطراف الرابعة في الحسبان عند تحليل مخاطر سلسلة التوريد.
- اطلب MTTD الفعلي من سجل حوادث المورّد: تجريبيًا لا نظريًا
- مراقبة مستمرة للتصنيف الأمني لرصد علامات وجود المهاجمين بين التقييمات
- تقييم نقاط الدخول عبر الأطراف الرابعة: ما الذي يمكنه الوصول إلى المورّد وكيف
- تبادل استخبارات التهديدات عبر الحدود المؤسسية لتسريع كشف الهجمات متعددة المراحل
- مدة البقاء في سلسلة التوريد بوصفها مقياسًا للمحفظة: MTTD التراكمي عبر مسار سلسلة التوريد
الأدوات
استخبارات سلسلة التوريد: Interos، وRiskRecon
تراقب منصات استخبارات سلسلة التوريد سلسلة التوريد الممتدة، بما في ذلك العلاقات مع الأطراف الرابعة، فتحدد متى يتعرض مورّدو المورّدين لأحداث أمنية قد تشير إلى اختراق يمكن أن ينتقل عبر سلسلة التوريد. وبالنسبة لممارسي TPRM، توفر مراقبة استخبارات سلسلة التوريد لرصد أحداث الأطراف الرابعة الإنذار المبكر بالهجمات متعددة المراحل التي لا تستطيع تقييمات المورّدين الفردية كشفها.
تحديات الحوكمة
يتمثل تحدي الحوكمة في مدة بقاء المهاجمين عبر سلسلة التوريد في محدودية نطاق التقييم. فنقاط الدخول عبر الأطراف الرابعة تبعد عن العميل مرحلتين، إذ هي مورّدو المورّدين، وتقع خارج نطاق التقييم المباشر للعميل، وكثيرًا ما تقع خارج نطاق التقييم الرسمي الذي يجريه المورّد لمورّديه من الباطن. ويكمن الحل الحوكمي في الجمع بين أدوات الرؤية على الأطراف الرابعة وطلبات MTTD من المورّدين والمراقبة المستمرة القادرة على توفير إشارات على وجود المهاجم دون الحاجة إلى تقييم مباشر للأطراف الرابعة.
- اطلب MTTD من حوادث فعلية لدى المورّد: مدة البقاء التجريبية
- راقب الأطراف الرابعة في سلسلة التوريد لرصد الأحداث الأمنية
- اطلب ممارسات المورّد في تقييم مورّديه من الباطن
- أدرج مخاطر الأطراف الرابعة في تقييم أمن سلسلة التوريد
- المراقبة الأمنية المستمرة لرصد الإشارات المبكرة على مدة البقاء
إذا كنت فريقًا صغيرًا
اطرح على المورّدين الثلاثة الأعلى مخاطر لديك سؤالًا واحدًا: في الحوادث الأمنية التي وقعت لديكم خلال العامين الماضيين وطالت بيانات العملاء، ما متوسط الزمن حتى الكشف من الوصول الأولي للمهاجم حتى الاكتشاف؟ إن MTTD التجريبي هذا هو المقياس المنفرد الأكثر إفادة بشأن مخاطر مدة البقاء في سلسلة التوريد، وهو أكثر إفادة من أي تقييم للقدرات، لأنه يصف المدة التي عمل فيها المهاجمون فعليًا قبل كشفهم، لا المدة التي توحي بنية الكشف بأنه كان ينبغي أن يتمكنوا من العمل خلالها.
- اطلب من المورّدين MTTD التجريبي من حوادث فعلية طالت بيانات العملاء
- قارن MTTD التجريبي بزمن الكشف النظري المستند إلى تقييم القدرات
- راقب التصنيفات الأمنية المستمرة لرصد إشارات مدة البقاء
- قيّم نقاط الدخول عبر الأطراف الرابعة للعلاقات الأعلى مخاطر مع المورّدين
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
«بالنسبة للحوادث الأمنية في بيئتكم خلال العامين الماضيين، ما متوسط الزمن حتى الكشف أو نطاقه من الوصول الأولي حتى الاكتشاف؟ وهل جاء الكشف أساسًا عبر مراقبة SOC لديكم أم عبر إخطار خارجي؟»
ما تتوقعه دليلًا
- MTTD التجريبي من حوادث فعلية
- مصدر الكشف: SOC الداخلي أم الإخطار الخارجي
- أطول مدة بقاء في الحوادث الأخيرة
- اتجاه مدة البقاء: متحسّن أم مستقر
ينبغي أن يُطلب من المورّد الذي يؤكد نضج قدرته على الكشف تقديمُ MTTD التجريبي لديه من حوادث فعلية. فزمن الكشف النظري يصف البنية، أما MTTD التجريبي فيصف أداء هذه البنية في مواجهة مهاجمين فعليين.
كيف تُثبت ذلك
- سجلات MTTD التجريبي لدى المورّد
- مراقبة الأطراف الرابعة في سلسلة التوريد
- المراقبة الأمنية المستمرة لرصد إشارات مدة البقاء
- مقياس المحفظة لمدة البقاء في سلسلة التوريد
الخلاصة الرئيسية
ثمانية وأربعون يومًا عبر ثلاث مؤسسات. كشف العميل الهجوم في اليوم الثامن والأربعين. وبدأ الهجوم في اليوم الأول لدى شركة تكامل برمجيات تمثل طرفًا رابعًا. واكتمل التنقل عبر سلسلة التوريد قبل أن يولّد SOC لدى العميل أول تنبيه. وقد تأكد أن الوضع الأمني الفردي لكل مؤسسة كان مُرضيًا وقت التقييم. لكن مدة البقاء تراكمت في الفجوات بين التقييمات، وعبر الحدود المؤسسية، وفي تأخر الكشف لدى ثلاثة فرق أمنية مستقلة تحقق في الهجوم نفسه من جوانب مختلفة. إن MTTD التجريبي من حوادث فعلية هو الوصف الأصدق لمخاطر مدة البقاء لدى المورّدين. فاطلبه. فقدرة الكشف النظرية تصف ما ينبغي أن يحدث، أما MTTD التجريبي فيصف ما حدث فعلًا.