اكتشاف هجمات سلسلة التوريد

كشف هجمات سلسلة التوريد هو القدرة المحددة، وغير المتطورة إلى حد كبير، على تحديد متى تعرّض مسار بناء البرمجيات أو البنية التحتية لتوزيع المكونات البرمجية أو سلسلة توريد التبعيات للاختراق، وهو أمر يختلف عن كشف الهجمات على بيئات الإنتاج وأنظمة المستخدمين النهائيين. فمراكز العمليات الأمنية التقليدية مهيأة لكشف تهديدات بيئة الإنتاج: اختراق الشبكات، واختراق نقاط النهاية، وإساءة استخدام بيانات الاعتماد، والتحرك الجانبي في الأنظمة التشغيلية. ونادرًا ما تُهيأ لاستيعاب الإشارات الخاصة بسلسلة التوريد أو ربطها أو التنبيه بشأنها: التغييرات غير المتوقعة في إعدادات مسار البناء، والأحجام غير المعتادة للمكونات البرمجية في الإصدارات المنشورة، والاتصالات الشبكية غير المتوقعة من وكلاء البناء، وحسابات المشرفين الجديدة على التبعيات الحرجة، أو التوقيعات الصادرة من خارج البنية التحتية المتوقعة للبناء.

فجوة الرؤية فجوة هيكلية. فالمراقبة الأمنية للإنتاج تستوعب السجلات وبيانات القياس عن بُعد من أنظمة الإنتاج، كالخوادم ونقاط النهاية وأجهزة الشبكات وأحمال العمل السحابية، لأن الإنتاج هو المجال الذي ركزت عليه فرق الأمن تقليديًا استثماراتها في المراقبة. أما مسارات البناء ومنصات CI/CD وسجلات المكونات البرمجية والبنية التحتية لإدارة التبعيات فتملكها عادةً فرق DevOps والهندسة، وتُشغَّل بوصفها بنية تحتية للتطوير، ولا تُوجَّه سجلاتها بشكل روتيني إلى SOC. والإشارات التي من شأنها كشف اختراق مسار البناء، مثل عمليات قراءة غير متوقعة للشيفرة المصدرية، وحسابات نشر مكونات برمجية غير معتادة، واتصالات شبكية من وكلاء البناء إلى بنية تحتية خارجية، موجودة في سجلات لا تستهلكها المراقبة الأمنية أبدًا.

تقيس مشكلة مدة الكمون حجم الفجوة. فمتوسط مدة الكمون في هجمات سلسلة التوريد، أي الفترة بين الاختراق الأولي واكتشافه، أطول بكثير منه في هجمات بيئة الإنتاج، وذلك تحديدًا لغياب البنية التحتية للكشف. فقد ظل هجوم SolarWinds كامنًا نحو أربعة عشر شهرًا قبل اكتشافه. وكان الباب الخلفي في XZ Utils نشطًا نحو شهرين قبل أن يلاحظ أحد المطورين تراجعًا غير طبيعي في الأداء. وفي الحالتين، استقر الهجوم في سلسلة توريد البرمجيات، أي في البنية التحتية للبناء والتوزيع، حيث لم تكن المراقبة الأمنية التقليدية تنظر.

لماذا يهم هذا

يكتسب كشف هجمات سلسلة التوريد أهميته في TPRM لأن المورد الذي تتميز مراقبته الأمنية للإنتاج بالامتياز بينما لا يولّد مسار البناء لديه أي إشارات إلى SOC يعاني فجوة في الكشف تخص تحديدًا ناقل الهجوم الذي تستخدمه هجمات سلسلة التوريد. وتقييم نضج SOC لدى المورد دون تقييم قدرته على الكشف الخاص بسلسلة التوريد يقدّم ضمانًا بشأن أمن الإنتاج بينما يترك سطح هجوم سلسلة التوريد دون مراقبة.

• تقييم نضج SOC دون نطاق كشف هجمات سلسلة التوريد
• عدم استيعاب المراقبة الأمنية لسجلات مسار البناء
• عدم مراقبة أحداث الوصول إلى سجل المكونات البرمجية والنشر فيه
• عدم دمج إشارات تغيّر التبعيات مع معلومات التهديدات
• غياب قواعد الكشف الخاصة بسلسلة التوريد عن SIEM

كيف تبدو الممارسة الجيدة

توسّع برامج كشف هجمات سلسلة التوريد الناضجة نطاق المراقبة الأمنية ليشمل سجلات نشاط مسار البناء، وأحداث الوصول إلى سجل المكونات البرمجية والنشر فيه، واستخدام البنية التحتية للتوقيع، وإشارات تغيّر التبعيات، مع منطق كشف محدد للحالات الشاذة التي تنتجها هجمات سلسلة التوريد: التعديلات غير المتوقعة على المسار، وحسابات نشر المكونات البرمجية غير المعتادة، والاتصالات الشبكية الخارجية من وكلاء البناء، وتغييرات المشرفين على التبعيات.

• استيعاب سجلات مسار البناء في SIEM أو البنية التحتية للمراقبة
• مراقبة الوصول إلى سجل المكونات البرمجية: حسابات أو أحجام نشر غير معتادة
• مراقبة استخدام البنية التحتية للتوقيع: أحداث توقيع غير متوقعة
• التنبيه بتغيّر التبعيات: حسابات مشرفين جديدة على الحزم الحرجة
• قواعد كشف خاصة بسلسلة التوريد في SIEM للحالات الشاذة في البناء

الأدوات

كشف هجمات سلسلة التوريد: Legit Security وOx Security لوضع أمن سلسلة توريد البرمجيات وكشف الحالات الشاذة

توفر منصات أمن سلسلة توريد البرمجيات طبقة المراقبة التي لا تغطيها أدوات SOC التقليدية، إذ تستوعب تحديدًا نشاط مسار البناء وتغييرات إعدادات المستودعات وأحداث سجل المكونات البرمجية وتحديثات التبعيات لتحديد الحالات الشاذة. وبالنسبة إلى ممارسي TPRM، فإن السؤال عمّا إذا كان المورد قد نشر مراقبة خاصة بسلسلة التوريد تتجاوز المراقبة الأمنية لبيئة الإنتاج يمثل سؤالًا محددًا عن فجوة الكشف.

التكامل مع SIEM: سجلات تدقيق GitHub Actions وسجلات CI/CD في GitLab إلى SIEM؛ ومراقبة سجل الشفافية في Sigstore

يمكن إعادة توجيه سجلات مسار البناء من منصات CI/CD الرئيسية إلى منصات SIEM لربطها بالإشارات الأمنية الأخرى. ويوفر سجل الشفافية Rekor من Sigstore سجلًا مقاومًا للتلاعب لأحداث التوقيع يمكن مراقبته بحثًا عن الحالات الشاذة، مثل الشهادات غير المتوقعة أو أحجام التوقيع غير المتوقعة أو أحداث التوقيع خارج المنطقة الزمنية المتوقعة للبنية التحتية للبناء.

تحديات الحوكمة

يتمثل التحدي الحوكمي في كشف هجمات سلسلة التوريد في مسألة الملكية. فالمراقبة الأمنية للإنتاج من اختصاص SOC. ومراقبة مسار البناء من اختصاص فريق DevOps. ويقع كشف هجمات سلسلة التوريد في الفجوة بين هذين النطاقين. ويكمن الحل الحوكمي في إسناد صريح لملكية كشف هجمات سلسلة التوريد، سواء إلى SOC أو إلى فريق DevSecOps مخصص أو وفق نموذج مسؤولية مشتركة بنقاط تسليم محددة.

• توسيع نطاق الاستيعاب في SOC ليشمل سجلات مسار البناء والسجل
• تحديد قواعد كشف سلسلة التوريد للحالات الشاذة في المسار والسجل
• إسناد ملكية مراقبة سلسلة التوريد إلى SOC أو فريق DevSecOps
• مراقبة سجل الشفافية في Sigstore بحثًا عن حالات شاذة في التوقيع
• تضمين نطاق كشف هجمات سلسلة التوريد في تقييم SOC لدى المورد

إذا كنت فريقًا صغيرًا

اطرح سؤال فجوة الكشف على موردي البرمجيات الحرجين لديك مباشرة: لو اخترق مهاجم مسار البناء لديكم وبدأ بحقن شيفرة في المكونات البرمجية، فما المراقبة التي ستكشف ذلك وخلال أي إطار زمني؟ يكشف هذا السؤال ما إذا كان كشف هجمات سلسلة التوريد موجودًا. فالمورد الذي لا يستطيع الإشارة إلى مراقبة محددة للحالات الشاذة في مسار البناء، مثل التغييرات غير المتوقعة في المسار، والنشر غير المعتاد للمكونات البرمجية، والاتصالات الشبكية الخارجية من وكلاء البناء، يعاني فجوة الكشف ذاتها التي أدت إلى مدة الكمون البالغة ثمانية أشهر في المثال الافتتاحي.

• اسأل الموردين مباشرة: ما المراقبة التي ستكشف اختراق مسار البناء؟
• اسأل عن نطاق استيعاب السجلات: هل سجلات مسار البناء ضمن نطاق رؤية SOC؟
• اسأل عن مراقبة الوصول إلى سجل المكونات البرمجية
• تقييم نطاق كشف هجمات سلسلة التوريد في تقييم أمن المورد

ما الذي ينبغي اشتراطه

اسأل مباشرةً:

«لو اخترق مهاجم مسار البناء لديكم وبدأ بحقن شيفرة خبيثة في مكوناتكم البرمجية، فما المراقبة التي ستكشف ذلك، وإلى أين تُوجَّه تلك التنبيهات، وما الإطار الزمني المتوقع لديكم للكشف من لحظة الاختراق حتى التنبيه؟»

ما تتوقعه دليلًا

• نطاق مراقبة مسار البناء واستيعاب السجلات
• مراقبة الوصول إلى سجل المكونات البرمجية
• قواعد كشف خاصة بسلسلة التوريد في SIEM
• الإطار الزمني المتوقع لكشف اختراق مسار البناء

ينبغي سؤال المورد الذي يتمتع بتغطية ممتازة من SOC تحديدًا عمّا إذا كانت تلك التغطية تشمل مراقبة مسار البناء وتوزيع المكونات البرمجية. فالمراقبة الأمنية للإنتاج والمراقبة الأمنية لسلسلة التوريد قدرتان متكاملتان لكنهما متمايزتان. وثمانية أشهر من الكمون في مسار البناء أمر يتسق مع وجود مراقبة ممتازة للإنتاج وغياب مراقبة سلسلة التوريد في الوقت نفسه.

كيف تُثبت ذلك

• تقييم نطاق كشف هجمات سلسلة التوريد
• سجلات استيعاب سجلات مسار البناء
• قواعد كشف خاصة بسلسلة التوريد
• الإطار الزمني المتوقع لكشف اختراق البناء

الخلاصة الرئيسية

تغطية SOC: ممتازة. كشف نقاط النهاية: مضبوط بدقة. الربط في SIEM: قوي. مسار البناء: غير مراقَب. الاختراق: 8 أشهر في البنية التحتية للبناء لم تره مراقبة الإنتاج قط. تكشف المراقبة الأمنية للإنتاج التهديدات في أنظمة الإنتاج. أما هجمات سلسلة التوريد فتستقر في البنية التحتية للبناء والتوزيع، في مرحلة سابقة لمحيط الإنتاج الذي تحميه المراقبة التقليدية. ويؤدي استيعاب سجلات مسار البناء ومراقبة الوصول إلى سجل المكونات البرمجية وقواعد الكشف الخاصة بسلسلة التوريد إلى توسيع محيط المراقبة ليشمل سطح الهجوم الذي يستهدفه مهاجمو سلسلة التوريد تحديدًا.