آليات تحديث البرمجيات، أي الوظائف المدمجة التي تتلقى من خلالها البرمجيات والبرامج الثابتة والأجهزة التحديثات وتطبّقها، هي في آن واحد بنية أمنية حيوية وسطح هجوم كبير في سلسلة التوريد. فآلية التحديث الآمنة تضمن ألا تُطبَّق إلا التحديثات المشروعة الصادرة عن مزود البرمجيات الأصلي. أما آلية التحديث المخترقة أو غير المصممة جيدًا فهي مسار مباشر من مزود البرمجيات إلى بيئة الإنتاج في المؤسسة، مسار يسمح للمهاجم، إن استُغل، بنشر شيفرة عشوائية على كل جهاز أو نظام يستخدم آلية التحديث تلك.
الخصائص الأمنية المهمة لآلية التحديث هي: التحقق من الأصالة (هل التحديث صادر عن المزود المشروع؟)، والتحقق من السلامة (هل عُدّل التحديث أثناء النقل؟)، وأمن النقل (هل يُسلَّم التحديث عبر قناة آمنة؟)، والحماية من التراجع (هل يستطيع المهاجم إجبار الجهاز على تثبيت إصدار أقدم يحتوي على ثغرات؟)، وتقييد الوصول المميز (هل يمكن استخدام آلية تحديث مخترقة للحصول على وصول يتجاوز ما يتطلبه التحديث؟). ويجب أن تُطبَّق كل خاصية من هذه الخصائص تطبيقًا صحيحًا وأن تُصان صيانة صحيحة، بما في ذلك الشهادات والمفاتيح المستخدمة في التحقق من الأصالة.
تمثّل مخاطر التحديث التلقائي بُعد الحوكمة. فآليات التحديث التلقائي التي تطبّق التحديثات دون مراجعة المؤسسة أو موافقتها تُدخل برمجيات إلى بيئات الإنتاج دون رؤية من الفريق الأمني ودون المرور بعملية إدارة التغيير. وفي البيئات المؤسسية التي تحكم فيها عمليات إدارة التغيير ما يُنشر من برمجيات وتوقيته، تمثل آليات التحديث التلقائي قناة نشر مستقلة تتجاوز تلك العمليات. وقد يكون التحديث التلقائي مناسبًا لبعض فئات البرمجيات، ولا سيما الأدوات الأمنية التي تتطلب نشر التصحيحات فورًا، لكن ينبغي أن يكون خيار إعداد مدروسًا، لا افتراضًا مفعّلًا تلقائيًا.
لماذا يهم هذا
يهمّ أمن آليات التحديث TPRM لأن موردي البرمجيات الذين يسلّمون منتجات بآليات تحديث تلقائي إنما يسلّمون قناة دائمة لنشر الشيفرة داخل بيئة المؤسسة. وأمن تلك القناة، من حيث التحقق من الأصالة وضوابط السلامة ونموذج الحوكمة، هو ما يحدد ما إذا كانت الصيانة الروتينية للبرمجيات ستصبح ناقلًا لهجوم على سلسلة التوريد.
- عدم تقييم آليات التحديث التلقائي إلى جانب أمن البرمجيات
- عدم تقييم إدارة الشهادات والمفاتيح الخاصة بأصالة التحديثات
- عدم التحقق من الحماية من التراجع
- حوكمة آلية التحديث: من يتحكم في التحديثات التي تُطبَّق وتوقيتها
- عدم مراجعة الإعداد الافتراضي للتحديث التلقائي عند النشر
كيف تبدو الممارسة الجيدة
تقيّم برامج أمن آليات التحديث الناضجة الخصائص الأمنية لآليات التحديث في جميع برمجيات الموردين التي تتمتع بقدرة التحديث التلقائي، وتعطّل التحديث التلقائي في الأنظمة الحيوية للمؤسسة حيث تحكم ضوابط إدارة التغيير عمليات النشر، وتشترط على الموردين الإخطار بالتحديثات عبر قناة مستقلة قبل تطبيقها.
- تقييم أمن آلية التحديث: الأصالة، والسلامة، والنقل، والتراجع
- مراجعة حوكمة التحديث التلقائي: هل التحديث التلقائي مناسب أم ينبغي تعطيله
- تقييم إدارة الشهادات والمفاتيح لبنية أصالة التحديثات
- اشتراط إخطار الموردين بالتحديثات عبر قناة مستقلة
- تسجيل تطبيق التحديثات: رؤية ما طُبّق ومتى
الأدوات
أمن التحديثات: إرشادات NIST SP 800-193 بشأن مرونة البرامج الثابتة للمنصات لأمن تحديثات البرامج الثابتة؛ وTUF (The Update Framework) لبنية التحديث الآمن
يوفر The Update Framework (TUF) بنية أمنية لأنظمة تحديث البرمجيات، تعالج اختراق المفاتيح وهجمات التراجع وهجمات البيانات اللانهائية من خلال بنية مفاتيح هرمية وبيانات وصفية مفوّضة. وبالنسبة لممارسي TPRM، فإن سؤال المورّد عمّا إذا كانت آلية التحديث لديه تطبّق TUF أو مبادئ مماثلة يوفر سؤالًا محددًا عن أمن آلية التحديث.
تحديات الحوكمة
يتمثل تحدي الحوكمة في أمن آليات التحديث في التوتر مع إدارة التغيير. فعمليات إدارة التغيير المؤسسية التي تحكم نشر البرمجيات قد تتعارض مع آليات التحديث التلقائي لدى الموردين المصممة لضمان نشر التصحيحات بسرعة. ويكمن حل الحوكمة في حوكمة التحديثات المتدرجة حسب المخاطر: التحديث التلقائي مناسب للأدوات منخفضة الأهمية، ومراجعة إدارة التغيير إلزامية لتحديثات مكونات البنية التحتية الحيوية.
- قيّم أمن آليات التحديث لجميع برمجيات الموردين الحيوية التي تتمتع بالتحديث التلقائي
- عطّل التحديث التلقائي في البنية التحتية الحيوية حيث تحكم إدارة التغيير
- اشترط الإخطار بالتحديثات عبر قناة مستقلة قبل تطبيقها
- دقّق سجل التحديث التلقائي: ما الذي طُبّق تلقائيًا
- اشترط القدرة على التراجع في تحديثات البرمجيات الحيوية
إذا كنت فريقًا صغيرًا
حدّد جميع البرمجيات والبرامج الثابتة في بيئتك التي يكون التحديث التلقائي فيها مفعّلًا. واسأل بشأن كل منها: هل التحقق من الأصالة في آلية التحديث التلقائي محدَّث، وتحديدًا متى دُوّرت شهادة التوقيع آخر مرة، وهل تخضع للمراقبة بحثًا عن الاختراق؟ وهل التحديث التلقائي هو نموذج الحوكمة المناسب لهذا النظام، أم ينبغي تطبيق التحديثات عبر عملية إدارة التغيير لديك؟ يكشف هذان السؤالان الوضع الأمني لآليات التحديث ومدى توافق الحوكمة في منظومة البرمجيات ذاتية التحديث لديك.
- حدّد جميع البرمجيات والبرامج الثابتة التي يكون التحديث التلقائي فيها مفعّلًا
- اسأل الموردين عن تدوير شهادات التوقيع ومراقبتها بحثًا عن الاختراق
- راجع ما إذا كان التحديث التلقائي مناسبًا لكل نظام حيوي
- طبّق الإخطار بالتحديثات عبر قناة مستقلة للبرمجيات الحيوية
ما الذي ينبغي اشتراطه
اسأل مباشرةً:
"كيف يُطبَّق التحقق من الأصالة في آلية التحديث لديكم، وتحديدًا ما بنية الشهادات أو المفاتيح المستخدمة، وكم مرة تُدوَّر، وهل تعرّضت للاختراق من قبل؟ وهل تدعم آلية التحديث التلقائي لديكم جدولة التحديثات تحت سيطرة المؤسسة في البيئات التي تحكم فيها إدارة التغيير عمليات النشر؟"
ما تتوقعه دليلًا
- وصف البنية الأمنية لآلية التحديث
- سياسة إدارة الشهادات والمفاتيح وتدويرها
- خيار جدولة التحديثات تحت سيطرة المؤسسة
- عملية الإخطار باختراق بنية التحديث
ينبغي سؤال المورّد الذي يسلّم برمجيات بتحديث تلقائي عن أمن آلية التحديث وخيارات الحوكمة المتاحة للمؤسسة. فالتحديث التلقائي قناة لنشر الشيفرة، وأمن تلك القناة والحوكمة على ما تنشره يحددان ما إذا كانت ميزة تشغيلية مريحة أم مخاطرة في سلسلة التوريد.
كيف تُثبت ذلك
- سجلات تقييم أمن آليات التحديث
- مراجعة حوكمة التحديث التلقائي
- تقييم إدارة الشهادات والمفاتيح
- دمج إدارة التغيير في تحديثات البرمجيات الحيوية
الخلاصة الرئيسية
التحديث التلقائي: مفعّل افتراضيًا. شهادة التوقيع: مخترقة قبل 3 أشهر. التحديثات: طُبّقت تلقائيًا، وربما كانت مخترقة. المؤسسة: غير مدركة للأمور الثلاثة جميعها. آليات التحديث التلقائي قنوات لنشر الشيفرة بوصول على مستوى الإنتاج إلى أجهزة المؤسسة وأنظمتها. ويعتمد أمنها على بنية الأصالة التي تتحقق من مشروعية التحديثات، واختراق الشهادة يجعل تلك البنية غير موثوقة. وجدولة التحديثات تحت سيطرة المؤسسة تجعل النشر قابلًا للحوكمة. وكلاهما مطلوب لجعل التحديث التلقائي ميزة أمنية لا سطح هجوم في سلسلة التوريد.