A inteligência de ameaças para ataques à cadeia de suprimentos de software é a aplicação da inteligência atual sobre agentes de ameaça (especificamente, a inteligência sobre agentes de ameaça que têm como alvo fornecedores de software, infraestrutura de build, pacotes de código aberto e canais de distribuição de software) às prioridades de avaliação e à intensidade de monitoramento do programa de TPRM. A inteligência de ameaças à cadeia de suprimentos de software é uma categoria específica de inteligência que a maioria dos programas de TPRM não consome nem operacionaliza de forma sistemática: saber que um grupo específico de agentes de ameaça está atacando credenciais de contas de serviço de CI/CD em um setor específico é inteligência acionável para as prioridades de reavaliação de TPRM. Arquivar o relatório sem agir é a lacuna entre consumir inteligência e operacionalizá-la.
O cenário de agentes de ameaça à cadeia de suprimentos é específico e rastreável. Grupos de agentes de ameaça patrocinados por Estados que atacam cadeias de suprimentos de software (NOBELIUM na SolarWinds, Lazarus Group na 3CX e outros) têm táticas, técnicas e procedimentos específicos que os relatórios de inteligência descrevem em detalhes. Quando a CISA, a NSA ou fornecedores de segurança publicam alertas sobre grupos específicos que atacam vetores específicos da cadeia de suprimentos, esses alertas são acionáveis para TPRM: avalie se seus fornecedores de software no setor visado usam as plataformas de CI/CD, os tipos de SDK ou os mecanismos de distribuição específicos descritos no alerta e priorize a reavaliação dos fornecedores que se enquadram no perfil de alvo.
A lacuna de operacionalização é a falha específica de TPRM. Consumir inteligência sem operacionalizá-la não é gestão de riscos informada por inteligência: é consciência sem ação. O programa de TPRM que recebe um relatório de inteligência de ameaças à cadeia de suprimentos e não o traduz em prioridades de avaliação de fornecedores, ajustes na intensidade do monitoramento e perguntas de avaliação específicas que investiguem os vetores de ataque descritos recebeu a inteligência e descartou seu valor.
Por que isso importa
A operacionalização da inteligência de ameaças é importante para TPRM porque a inteligência de ameaças à cadeia de suprimentos oferece o sinal de risco voltado ao futuro que as avaliações históricas não conseguem oferecer: ela descreve o que os atacantes estão fazendo agora, quais setores estão atacando e quais vetores de ataque estão usando. Um programa de TPRM que não operacionaliza a inteligência de ameaças à cadeia de suprimentos não está usando as informações de risco mais atuais disponíveis.
- Inteligência de ameaças consumida, mas não operacionalizada
- Inteligência de ameaças específica da cadeia de suprimentos não extraída da inteligência de ameaças geral
- Prioridades de reavaliação de fornecedores não atualizadas com base na inteligência de ameaças à cadeia de suprimentos
- Perguntas de avaliação específicas por vetor de ataque não desenvolvidas a partir da inteligência
- Fluxo de inteligência para avaliação ausente do programa de TPRM
Como é uma boa prática
Programas maduros de inteligência de ameaças à cadeia de suprimentos estabelecem um fluxo que vai do consumo de inteligência à ação de TPRM. Especificamente: ao receber um alerta de ameaça à cadeia de suprimentos, avaliam se algum fornecedor do portfólio se enquadra no perfil de alvo, atualizam as prioridades de reavaliação dos fornecedores correspondentes, desenvolvem perguntas de avaliação que investiguem os vetores de ataque descritos e informam os responsáveis pelas relações com os fornecedores sobre a inteligência.
- Fluxo de inteligência para TPRM: processo definido do recebimento do alerta à ação de TPRM
- Correspondência com o perfil de alvo: avalie o portfólio de fornecedores em relação aos critérios de alvo descritos
- Reavaliação prioritária dos fornecedores correspondentes: revisão fora do ciclo para os fornecedores sinalizados pela inteligência
- Perguntas específicas por vetor de ataque: novas perguntas de avaliação com base nas TTPs descritas
- Comunicação da inteligência aos responsáveis pelas relações com os fornecedores: a consciência possibilita pressão comercial
Ferramentas
Inteligência de ameaças à cadeia de suprimentos: alertas da CISA sobre a cadeia de suprimentos; relatórios do Google TAG sobre a cadeia de suprimentos; Recorded Future para inteligência contínua de ameaças à cadeia de suprimentos
A CISA publica alertas que tratam especificamente de TTPs de ataques à cadeia de suprimentos; eles são diretamente acionáveis para a reavaliação de fornecedores em TPRM. A Recorded Future e plataformas semelhantes de inteligência de ameaças oferecem monitoramento contínuo de ameaças à cadeia de suprimentos com inteligência sobre alvos específicos de fornecedores. Para programas de TPRM, assinar os alertas da CISA e encaminhar os alertas específicos da cadeia de suprimentos à equipe de TPRM cria um fluxo básico de consumo de inteligência a custo zero.
Desafios de governança
O desafio de governança na operacionalização da inteligência de ameaças é o problema da capacidade de análise. Converter relatórios de inteligência de ameaças em ações específicas de TPRM exige tempo dos analistas para ler, extrair os detalhes relevantes sobre a cadeia de suprimentos, associá-los aos perfis dos fornecedores e desenvolver perguntas de avaliação. A solução de governança é um modelo simples de inteligência para ação que padronize o processo de operacionalização e reduza o esforço de análise por alerta.
- Assine os alertas da CISA sobre a cadeia de suprimentos
- Desenvolva um modelo de inteligência para ação: processo estruturado de operacionalização
- Compare os perfis de alvo dos alertas com o portfólio de fornecedores assim que os receber
- Priorize a reavaliação dos fornecedores que se enquadram no perfil de alvo: revisão fora do ciclo
- Acompanhe o fluxo de alerta para ação como métrica do programa
Se você faz parte de uma equipe pequena
Assine os Cybersecurity Alerts and Advisories da CISA, gratuitos e que incluem alertas sobre ataques à cadeia de suprimentos. Para cada alerta sobre a cadeia de suprimentos que receber, conclua uma etapa simples de operacionalização: liste os fornecedores do seu portfólio que se enquadram no perfil de alvo descrito (setor, pilha tecnológica, plataforma de CI/CD) e agende com cada um uma conversa de avaliação fora do ciclo para perguntar especificamente sobre os vetores de ataque descritos. Essa única etapa transforma o recebimento de inteligência em ação de inteligência para os alertas mais relevantes para o seu portfólio de fornecedores.
- Assine os alertas da CISA sobre a cadeia de suprimentos
- Compare cada alerta com o perfil de alvo do portfólio de fornecedores
- Agende uma avaliação fora do ciclo para os fornecedores correspondentes
- Desenvolva perguntas de avaliação específicas por alerta a partir das TTPs descritas
O que exigir
Pergunte diretamente:
“Recebemos informações de inteligência que descrevem [grupo específico de agentes de ameaça] atacando [vetor de ataque específico: credenciais de CI/CD, injeção em SDK]. Vocês usam as plataformas específicas descritas no alerta e avaliaram sua exposição aos vetores de ataque descritos?”
O que esperar como evidência
- Conhecimento do fornecedor sobre o alerta de ameaça descrito
- Avaliação da exposição aos vetores de ataque descritos
- Ações de correção ou mitigação adotadas em resposta
- Monitoramento das TTPs descritas no ambiente do fornecedor
Um fornecedor que confirma ter segurança da cadeia de suprimentos deve ser questionado especificamente sobre os alvos descritos pela inteligência. A segurança geral da cadeia de suprimentos cobre modelos de ameaça históricos. A avaliação específica por alerta cobre a atividade atual dos agentes de ameaça. Ambas são necessárias para um quadro completo do risco atual.
Como comprovar
- Registros do fluxo de inteligência para TPRM
- Registros da associação entre alertas e fornecedores
- Registros das avaliações fora do ciclo para fornecedores sinalizados pela inteligência
- Desenvolvimento de perguntas de avaliação específicas por alerta
Principal conclusão
Relatório de inteligência de ameaças recebido. Ataques a CI/CD e injeção em SDK: descritos. Avaliações de fornecedores: não atualizadas. Dois fornecedores atacados: 6 meses depois. A inteligência descreveu o ataque antes que ele acontecesse. A operacionalização teria traduzido a inteligência em prioridades de reavaliação de fornecedores e em perguntas de avaliação específicas para os vetores de ataque antes que os ataques ocorressem. Consumir inteligência sem operacionalizá-la é ter consciência sem ação. O fluxo que vai do recebimento do alerta à ação de TPRM converte essa consciência na resposta de gestão de riscos que a inteligência foi publicada para possibilitar.