La inteligencia de amenazas para los ataques a la cadena de suministro de software es la aplicación de la inteligencia actual sobre actores de amenazas (en concreto, la inteligencia sobre actores que atacan a proveedores de software, infraestructura de compilación, paquetes de código abierto y canales de distribución de software) a las prioridades de evaluación y la intensidad del monitoreo del programa de TPRM. La inteligencia de amenazas de la cadena de suministro de software es una categoría concreta de inteligencia que la mayoría de los programas de TPRM no consumen ni ponen en práctica de forma sistemática: saber que un grupo concreto de actores de amenazas está atacando credenciales de cuentas de servicio de CI/CD en un sector concreto es inteligencia accionable para las prioridades de reevaluación de TPRM. Archivar el informe sin actuar en consecuencia es la brecha entre consumir la inteligencia y ponerla en práctica.
El panorama de actores de amenazas de la cadena de suministro es concreto y se puede seguir. Los grupos de actores de amenazas patrocinados por Estados que atacan las cadenas de suministro de software (NOBELIUM (SolarWinds), Lazarus Group (3CX) y otros) tienen tácticas, técnicas y procedimientos concretos que los informes de inteligencia describen en detalle. Cuando CISA, NSA o los proveedores de seguridad publican avisos sobre grupos concretos que atacan vectores concretos de la cadena de suministro, esos avisos son accionables para TPRM: evalúe si sus proveedores de software del sector atacado usan las plataformas de CI/CD, los tipos de SDK o los mecanismos de distribución concretos descritos en el aviso, y priorice la reevaluación de los proveedores que coinciden con el perfil de ataque.
La brecha de puesta en práctica es la falla concreta de TPRM. Consumir inteligencia sin ponerla en práctica no es gestionar el riesgo con base en la inteligencia: es tener conciencia sin acción. El programa de TPRM que recibe un informe de inteligencia de amenazas a la cadena de suministro y no lo traduce en prioridades de evaluación de proveedores, ajustes en la intensidad del monitoreo y preguntas de evaluación concretas que indaguen en los vectores de ataque descritos ha recibido la inteligencia y ha desechado su valor.
Por qué es importante
La puesta en práctica de la inteligencia de amenazas es importante para TPRM porque la inteligencia de amenazas de la cadena de suministro aporta la señal de riesgo prospectiva que las evaluaciones históricas no pueden aportar: describe lo que los atacantes están haciendo ahora, a qué sectores apuntan y qué vectores de ataque usan. Un programa de TPRM que no pone en práctica la inteligencia de amenazas de la cadena de suministro no está usando la información de riesgo más actual disponible.
- Inteligencia de amenazas consumida pero no puesta en práctica
- Inteligencia de amenazas específica de la cadena de suministro no extraída de la inteligencia de amenazas general
- Prioridades de reevaluación de proveedores no actualizadas según la inteligencia de amenazas de la cadena de suministro
- Preguntas de evaluación específicas del vector de ataque no elaboradas a partir de la inteligencia
- Circuito de inteligencia a evaluación ausente del programa de TPRM
Cómo se ve una buena práctica
Los programas maduros de inteligencia de amenazas de la cadena de suministro establecen un circuito que va del consumo de inteligencia a la acción de TPRM; en concreto: cuando se recibe un aviso de amenazas a la cadena de suministro, evalúan si algún proveedor de la cartera coincide con el perfil de ataque, actualizan las prioridades de reevaluación de los proveedores que coinciden, elaboran preguntas de evaluación que indagan en los vectores de ataque descritos e informan sobre la inteligencia a los responsables de la relación con los proveedores.
- Circuito de inteligencia a TPRM: proceso definido desde la recepción del aviso hasta la acción de TPRM
- Cotejo con el perfil de ataque: evalúe la cartera de proveedores frente a los criterios de ataque descritos
- Reevaluación prioritaria de los proveedores que coinciden: revisión fuera de ciclo de los proveedores señalados por la inteligencia
- Preguntas específicas del vector de ataque: nuevas preguntas de evaluación basadas en las TTP descritas
- Informe de inteligencia a los responsables de la relación con los proveedores: la conciencia permite ejercer presión comercial
Herramientas
Inteligencia de amenazas de la cadena de suministro: avisos de CISA sobre la cadena de suministro; informes de Google TAG sobre la cadena de suministro; Recorded Future para inteligencia continua de amenazas a la cadena de suministro
CISA publica avisos que abordan específicamente las TTP de ataque a la cadena de suministro, directamente aplicables a la reevaluación de proveedores de TPRM. Recorded Future y plataformas similares de inteligencia de amenazas ofrecen monitoreo continuo de las amenazas a la cadena de suministro con inteligencia sobre ataques dirigidos a proveedores concretos. Para los programas de TPRM, suscribirse a las alertas de avisos de CISA y enviar los avisos específicos de la cadena de suministro al equipo de TPRM constituye un circuito básico de consumo de inteligencia sin costo alguno.
Desafíos de gobernanza
El desafío de gobernanza de la puesta en práctica de la inteligencia de amenazas es el problema de la capacidad de análisis. Convertir los informes de inteligencia de amenazas en acciones concretas de TPRM requiere tiempo de los analistas para leerlos, extraer los detalles relevantes de la cadena de suministro, cotejarlos con los perfiles de los proveedores y elaborar preguntas de evaluación. La solución de gobernanza es una plantilla ligera de inteligencia a acción que estandarice el proceso de puesta en práctica y reduzca la carga de análisis por aviso.
- Suscríbase a los avisos de CISA sobre la cadena de suministro
- Elabore una plantilla de inteligencia a acción: proceso estructurado de puesta en práctica
- Coteje los perfiles de ataque de los avisos con la cartera de proveedores al recibirlos
- Priorice la reevaluación de los proveedores que coinciden con el perfil de ataque: revisión fuera de ciclo
- Mida el circuito de aviso a acción como métrica del programa
Si usted forma parte de un equipo pequeño
Suscríbase a las alertas y avisos de ciberseguridad de CISA: son gratuitos e incluyen avisos sobre ataques a la cadena de suministro. Para cada aviso sobre la cadena de suministro que reciba, complete un sencillo paso de puesta en práctica: enumere los proveedores de su cartera que coinciden con el perfil de ataque descrito (sector, pila tecnológica, plataforma de CI/CD) y programe con cada uno una llamada de evaluación fuera de ciclo para preguntar específicamente por los vectores de ataque descritos. Ese único paso convierte la recepción de inteligencia en acción para los avisos más relevantes para su cartera de proveedores.
- Suscríbase a los avisos de CISA sobre la cadena de suministro
- Coteje cada aviso con el perfil de ataque de la cartera de proveedores
- Programe una evaluación fuera de ciclo para los proveedores que coinciden
- Elabore preguntas de evaluación específicas de cada aviso a partir de las TTP descritas
Qué exigir
Pregunte directamente:
"Hemos recibido inteligencia que describe a [grupo concreto de actores de amenazas] atacando [vector de ataque concreto: credenciales de CI/CD, inyección de SDK]. ¿Usan ustedes las plataformas concretas que se describen en el aviso y han evaluado su exposición a los vectores de ataque descritos?"
Evidencia que debe esperar
- Conocimiento del proveedor sobre el aviso de amenazas descrito
- Evaluación de la exposición a los vectores de ataque descritos
- Medidas de corrección o mitigación adoptadas en respuesta
- Monitoreo de las TTP descritas en el entorno del proveedor
A un proveedor que confirma la seguridad de su cadena de suministro se le debe preguntar específicamente por los ataques descritos por la inteligencia. La seguridad general de la cadena de suministro cubre modelos de amenazas históricos. La evaluación específica de cada aviso cubre la actividad actual de los actores de amenazas. Ambas son necesarias para tener un panorama de riesgo actual y completo.
Cómo demostrarlo
- Registros del circuito de inteligencia a TPRM
- Registros del cotejo entre avisos y proveedores
- Registros de las evaluaciones fuera de ciclo de los proveedores señalados por la inteligencia
- Elaboración de preguntas de evaluación específicas de cada aviso
Conclusión clave
Informe de inteligencia de amenazas recibido. Ataques a CI/CD e inyección de SDK: descritos. Evaluaciones de proveedores: sin actualizar. Dos proveedores atacados: 6 meses después. La inteligencia describió el ataque antes de que ocurriera. Ponerla en práctica habría convertido la inteligencia en prioridades de reevaluación de proveedores y en preguntas de evaluación específicas del vector de ataque antes de que se produjeran los ataques. Consumir inteligencia sin ponerla en práctica es tener conciencia sin acción. El circuito que va desde la recepción del aviso hasta la acción de TPRM convierte esa conciencia en la respuesta de gestión de riesgos que la inteligencia se publicó para hacer posible.