九游老哥云
洞见RSA 2021｜备受热捧的“供应链攻击”怎样防御？
2021-05-28
什么是供应链攻击
供应链攻击是一种面向软件开发职员和供应商的新兴威胁 。目的是通过熏染正当应用分发恶意软件来会见源代码、构建历程或更新机制[1] 。软件供应链可划分为开发、交付、运行三个大的环节，每个环节都可能会引入供应链清静危害从而遭受攻击，上游环节的清静问题会转达到下游环节并被放大 。值得注重的是在供应链攻击中受到攻击的是上游厂商，受到威胁的则是上下游厂商 。上游的代码危害问题，着实就是下游厂商需要注重的供应链问题 。上游治理好软件开发历程中的危害有助于镌汰下游厂商面临的供应链攻击 。代码危害平台能够解决的就是软件开发历程中爆发的供应链攻击 。
在Imperva 的博客中提及了五种典范的攻击要领[2]：
1. 使用供应商的产品举行注入（典范的如SolarWinds事务）
2. 使用第三方应用程序（如邮件/浏览器误差）
3. 使用开放源代码库中包括的误差
4. 依赖关系混淆
5. 恶意接受（担当社区项目维护者，注入恶意代码）
在以上五种攻击要领中，依赖关系混淆可以通过准确设置制品库举行阻止 。使用第三方应用程序和使用开放源代码库中包括的误差，可以通过实时升级或者使用清静公司提供的补丁举行缓解，可是针对供应商产品注入和恶意接受方面并没有较量有用的通用计划 。
Apiiro针对供应商产品注入和恶意接受提出了使用识别编译历程注入和使用算法识别恶意接受的方法来应对这两种攻击方法 。针对软件开发历程中爆发的误差则给出基于变换的危害视图来实现清静左移，在变换爆发时评判变换中包括的危害等解决计划 。
Apiiro的解决计划
Apiiro是业内首先提出代码危害平台的企业 。Apiiro代码危害平台可以资助客户在SDLC历程的早期举行有用的危害治理，增强应用程序的治理与合规性检测，同时避免针对CI/CD的高级攻击 。Apiiro会剖析整个开发历程中的数据，以资助组织识别，确定优先顺序并调解有危害的重大变换 。Apiiro通过提供跨应用程序、基础架构、开发职员的知识和营业影响的危害可见性，资助组织构建应用程序危害妄想[3] 。
清静左移：识别变换中蕴含的危害并适时介入清静审查
针对软件设计和开发历程中的危害治理，Apiiro 使用基于时间点和危害维度的危害视图，凭证提交的转变，开发职员的知识和行为，营业影响等提醒用户变换中蕴含的危害[4] 。
1. 建设所有产品的营业影响、是否为网络应用、代码组件、清静控制、数据模子、允许证、依赖项以及开发职员的知识、位置和行为的清单 。例如：哪些产品和哪些组件（API、UI、后端、移动等）正在使用特定的库+谁对其举行了升级+何时+哪个开发职员更改了代码+他/她的知识+它在那里安排等 。
2. 确定所有代码组件的所有重大更改的历史审核跟踪 。例如：在特定库中跨所有危险物料更改的历史纪录举行实时过滤，以相识时间点和变换配景 。
3. 仅针对要害代码组件（例如，要害营业逻辑汇款）中的危害重大转变自动触发上下文清静流程（例如，清静设计审查、清静代码审查、SAST和DAST） 。
4. 针对每个提交、PR或宣布，在图中的所有节点上建设统一的危害视图 。这将资助您做出明智的基于危害的决议 。
5. 仅基于统一危害视图批准有危害的重大变换 。
基于这种方法可以对项目种蕴含的危害有一个全局的危害视图，基于这个危害视图可以看到某个开发职员针对某个代码库的变换造成了哪些影响 。并基于变换危害来批准有危害的重大变换 。
同时仅针对要害代码组件中的危害重大转变自动触发上下文清静流程，有助于将清静审查实力集中在主要组件中，加速DevSecOps速率 。
供应链清静：使用算法识别恶意接受
针对开发职员账户被窃取或者开源软件被恶意接受，Apiiro 使用UEBA和异常检测手艺，凭证用户的提交内容、提交时间和频率等来检测用户的提交是否偏离了正常用户的行为 。并自动对可疑提交的PR举行谈论 。算法触发异常警报的一些指标包括[3]：
1. 提交与提交强度有关的近期运动不符
2. 提交时间与用户的预期运动日期和时间有收支
3. 孝顺者偏离了他的偕行在存储库中常见的模式
4. 提交信息与剖析代码之间的重大差别
5. 添加的代码与该存储库的模子展望的代码显着差别
Apiiro基于以上指标，使用机械学习和人工智能算法训练出用于检测恶意行为的模子 。该检测模子基于行为和字符内容，与语言清静台无关 。这是一种可用于开源软件监测或者内部开发检测的通用方法，可以用于公司内部监测开源软件的恶意托管，也可用于监测内部开发账户是否被窃取并用于提交恶意代码 。
供应链清静：识别编译历程注入
SolarWinds供应链攻击示意图
针对SolarWinds事务，Apiiro 给出了一种可以检测源码和二进制文件是否匹配的要领 。使用来自二进制文件的标实体关系图和从源代码中学到的相同数据图执行较量算法 。当保存多个不匹配的危害因素时，批注该代码已被改动 。
以.NET二进制文件为例 。Apiiro平台将对可执行文件举行剖析并执行以下操作[3]：
· 相识所有可能的逻辑流程和符号
· 扫除所有自动天生的编译器逻辑
· 调解运行时版本之间的预期差别等
当检测到编译的效果剖析到的数据图和源码中剖析到的数据图保存较多纷歧致的时间，就可以以为在编译历程中爆发了编译历程的恶意代码注入 。
这种解决计划针对的是在编译时注入代码的攻击方法 。在恶意代码的注入前后对文件举行剖析，并检测出是否包括编译时注入的危害 。关于上游厂商来说，包管自己编译历程不被注入这是一种有用的计划 。
关于下游受影响的厂商来说，由于编译历程注入是爆发在上游厂商，在不可获得源码的情形下若是要检查上游产品中是否包括恶意代码，只能通过二进制检查来剖析其中包括的危害，虽然二进制剖析针对恶意代码的漏报误报显然不如从源码和二进制同时举行剖析，但二进制剖析的笼罩面更广 。若是是在能获取到源码的情形下，使用SCA+SAST 配合上编译历程注入的检测计划，是能够确认上游提供的产品的清静性的 。以是这种方法需要上下游厂商的相助才华确认自己的上游不被这种攻击方法影响 。
代码危害平台怎样应对供应链攻击
关于供应链清静来说，一方面是包管上游产品没有清静问题，另一方面是要包管自身产品全周期的清静问题 。这就需要代码危害平台有对上游产品的检测和一连监测能力,并对自身产品Devsecops流程举行危害管控 。
关于上游产品来说我们可以提供清静监测服务，针对可以获取代码或二进制文件的情形下提供清静扫描能力 。同时关于恶意接受和软件/组件的果真误差提供清静监测服务 。
关于自身产品开发周期的清静问题则需要对Devsecops 流程举行危害控制 。需要我们协助软件开发组织排查Devsecops历程中每一个可能受到攻击的点，并对其举行一连的功效验证和设置核查 �？梢允褂们寰卜矫娴闹缎砑⒆橹挪镈evsecops整个流程中潜藏的危害并提供一套整体上的Devsecops解决计划 。这包括代码清静（SCA，SAST等）、代码库清静（恶意接受）、主机清静（SolarWinds事务是由于编译机被控制导致的）、制品库清静等 。这需要代码危害平台团结Devsecops清静能力、古板清静能力团结自身清静能力来笼罩这些容易受到攻击的点 。
最主要的是代码危害平台需要通过对项目中建设的全局危害视图的监测，来排查开发历程中包括的危害，实现清静左移 。这需要代码危害平台将清静能力集中在一个平台且具有对数据举行综合剖析的能力，对大宗清静工具的差别种类的告警信息和开发历程中爆发的数据举行剖析，给出基于危害的统一视图 。从而有用地资助软件开发组织控制开发历程中的危害，应对供应链攻击 。
九游老哥科技供应链清静实践
自Gartner 2017年第一次提到Devsecops看法到今年，Devsecops一直在探索落地实践之路 。2021年供应链清静类产品第一次获得RSA的沙盒冠军，说明Devsecops已经从看法转化为实践，找到了生长的偏向 。九游老哥科技经由多年积累，即将推出九游老哥代码清静审计系统（ SDA ），贯彻Devsecops理念思绪，接纳越发落地的方法来实现供应链清静中的一环 。通过静态剖析、因素组身剖析和固件剖析，在开发、测试、移交和宣布阶段，全方位包管应用交付的清静 。
独创性的固件剖析�？�，在没有源码的情形下，依然能够基于系统级别的扫描，完成误差与组件的剖析 。在因素组身剖析方面除了物料清单梳理外，还能凭证项目的清静生命周期举行跟踪；关于新发明的误差，能够快速排查受影响的项目 。无论是上游供应商泛起误差，照旧影响了下游使用者，都能实时评估危害规模 。
海内企业现在已逐步往Devops的开发模式举行迁徙，CI/CD流程越来越完善 。为了顺应迅速式的开发模式，九游老哥代码清静审计系统（ SDA ）提供无邪的接口，接纳非入侵的方法，轻松接入到企业已有的Pipeline中，不增添原有清静治理流程 。
类似Apiiro的上下文危害剖析，九游老哥代码清静审计系统（ SDA ）接纳针对全生命周期统一的缺陷危害评估标准，团结历史提交纪录、误差修复方法和人工审核效果，自动评估出误差修复优先级，以危害最小化为条件，加速应用版本的宣布 。
· 参考文献 ·
[1]https://baike.m.zhxhl.com/item/供应链攻击
[2]https://www.imperva.com/blog/5-ways-your-software-supply-chain-is-out-to-get-you-part-5-hostile-takeover/
[3]blog.nsfocus.net/rsa立异沙盒盘货-apiiro-代码危害平台/
[4]https://blog.apiiro.com/top-5-tips-to-prevent-the-solarwinds-solorigate-attack
