Tazabek — Киберэксперты фиксируют всплеск атак на цепочку поставок: злоумышленники всё чаще проникают в информационные системы через подрядчиков и уязвимые сторонние программные компоненты. Об этом Об этом 10 июля на семинаре по кибербезопаности в Бишкеке рассказал старший менеджер Лаборатории Касперского Сергей Полицын.
Почему цепочка поставок под ударом
Доступ подрядчиков. Внешние интеграторы, разработчики и обслуживающие фирмы получают учетные записи в сетях заказчика, но защищены хуже, чем сам заказчик.
Сторонние библиотеки. Современные приложения собираются из «кирпичей» open source и коммерческого кода. Если компонент устарел или содержит закладку, уязвимость наследует всё приложение.
Рост атакующих возможностей. По данным Positive Technologies, число зарегистрированных атак на supply chain в регионе выросло на 62% за последний год.
Риски для бизнеса и государства
1. Неавторизованный доступ к данным граждан и корпоративной информации.
2. Саботаж процессов (пример — нарушение работы цепочек поставок после заражения сервера сборки).
3. Финансовые потери и штрафы за утечку персональных данных согласно новым нормам ЕАЭС.
Как защититься
| Zero Trust к подрядчикам | Выдавать минимальные права, сегментировать сети, применять многофакторную аутентификацию.
| Инвентаризация кода | Вести реестр всех сторонних библиотек и регулярно проверять их на CVE.
| SCA-сканеры и SBOM | Встраивать Software Bill of Materials в CI/CD и блокировать сборку при обнаружении критических дыр.
| Контракты с ИБ-требованиями | Включать в договоры с поставщиками пункты о периодическом пентесте и ревокации доступов.
За последними событиями следите в Телеграм-канале @tazabek_official
По сообщению сайта Tazabek