Plus de 20 000 vulnérabilités et expositions courantes (CVE) ont été publiées l'année dernière dans la base de données nationale sur les vulnérabilités (NVD). Cela représente une hausse de 10 % par rapport à 2020 et constitue un nouveau record historique pour la cinquième année consécutive. La gestion des risques cybernétiques liés à ces failles constituerait un véritable défi, même dans les meilleures conditions. Mais la situation devient encore plus difficile à mesure que les organisations développent leurs investissements numériques et accélèrent leurs projets logiciels développés en interne.
Comme l’explique Tim Morris, responsable de la stratégie technologique chez Tanium, dans une nouvelle vidéo, la clé pour gérer cette complexité croissante de la chaîne d’approvisionnement – et se prémunir contre les attaques visant la chaîne d’approvisionnement logicielle – consiste à obtenir une visibilité totale sur les logiciels en cours d’exécution, puis à disposer du contrôle nécessaire pour résoudre tout problème.
Qu'est-ce que la gestion de la chaîne d'approvisionnement logicielle ?
Les chaînes d'approvisionnement constituent un maillon essentiel de la production des produits que nous consommons au quotidien. Qu'il s'agisse d'un nouveau jean ou d'une boîte d'aspirine, vous trouverez toujours une liste des ingrédients ou des composants fournie par les fournisseurs. À première vue, il en va de même pour les logiciels. Les logiciels sont constitués de composants de base, et ces composants sont développés par les nombreux développeurs, équipes et entreprises qui composent la chaîne d'approvisionnement logicielle. Mais contrairement à la plupart des produits manufacturés, les organisations qui utilisent des logiciels ont peu de chances de disposer d'une liste pratique des composants fournie par leurs fournisseurs.
En effet, les chaînes d'approvisionnement logicielles gagnent en complexité, car de plus en plus d'équipes DevOps cherchent à développer des produits en interne en utilisant du code open source provenant de tiers. Si cela permet d'accélérer la rentabilisation, cela crée toutefois davantage d'opacité et pourrait exposer l'organisation à des risques supplémentaires. Il suffit de jeter un œil à l'utilitaire Log4j . Lorsque des failles sont dissimulées dans des « poupées russes » de fichiers compressés, il devient plus difficile de détecter et de corriger les CVE dans l'ensemble de l'environnement lorsqu'elles sont mises au jour.
Tout cela attire comme un aimant les acteurs malveillants. Le code open source a considérablement élargi la surface d'attaque des entreprises, leur offrant davantage d'occasions non seulement d'exploiter des failles connues dans le code, mais aussi d'en introduire de nouvelles dans les bibliothèques de code. Mais ce n'est pas tout. Les pirates redoublent également d'efforts pour compromettre des logiciels propriétaires réputés fiables. Par exemple, c'est ce qui s'est passé avec SolarWinds.
La sécurité de la chaîne d'approvisionnement commence par l'identification des composants qui composent les composants
Tout cela se passe au niveau des terminaux, ce qui en fait la nouvelle ligne de front dans la lutte contre les cyberrisques. Le défi réside dans le fait que les équipes de sécurité d'aujourd'hui doivent non seulement savoir à tout moment quelles applications s'exécutent sur ces terminaux, mais aussi quels composants sont utilisés au sein de ces applications. Et s'il y avait, par exemple, un bug caché dans l'un de ces composants ? Ou bien si le composant lui-même a été mal configuré et risque désormais d'être compromis ?
Cela s'inscrit également dans le contexte d'un environnement de terminaux qui s'est considérablement développé depuis la période d'avant la pandémie. En raison de l'essor fulgurant des appareils de télétravail et des investissements dans le cloud, la surface d'attaque n'a jamais été aussi vaste. Et il suffit que les méchants aient de la chance une seule fois.
Il est temps de passer à l'action
À quoi ressemblent donc les meilleures pratiques en matière de gestion des risques pour la chaîne d'approvisionnement logicielle ? Tout se résume aux principes fondamentaux de la cyber-hygiène : connaître, gérer, sécuriser. Les organisations ne peuvent pas sécuriser ce qu'elles ne gèrent pas, et elles ne peuvent pas gérer ce qu'elles ne connaissent pas. La première étape consiste à obtenir une visibilité sur les éléments en cours d'exécution grâce à l'inventaire complet des actifs d' , (s'ouvre dans un nouvel onglet),, , ainsi qu'à la gestion de la configuration.
Tanium vous aide en vous fournissant ces informations en continu, rapidement et à grande échelle, ce qui permet aux équipes de poser des questions sur leur environnement, d'analyser en détail le contenu des applications et de prendre des mesures immédiates en cas d'anomalie. Cette visibilité complète permet également d’assurer une réponse aux incidents en temps réel, ce qui n’est tout simplement pas possible avec des outils tels que la détection et la réponse étendues (XDR). Si les pirates agissent en quelques secondes ou minutes, nous ne pouvons pas nous permettre de réagir aux incidents plusieurs jours plus tard.
Bénéficiez d'une vue d'ensemble de votre profil de risque grâce à notre évaluation gratuite des risques. Demandez dès aujourd'hui votre rapport sur les risques. (s'ouvre dans un nouvel onglet)
