การประนีประนอมซัพพลายเชนในระบบนิเวศของแพ็คเกจ: การเจาะลึกรูปแบบภัยคุกคามที่เกิดขึ้นซ้ำๆ

ซัพพลายเชนซอฟต์แวร์ยังคงเป็นช่องทางโจมตีที่สำคัญ ซึ่งมักตกเป็นเป้าหมายของคู่แข่งที่ซับซ้อน การประนีประนอมแพ็คเกจที่ใช้กันอย่างแพร่หลายเมื่อเร็วๆ นี้ ทำหน้าที่เป็นเครื่องเตือนใจที่ชัดเจนถึงภัยคุกคามที่กำลังดำเนินอยู่เหล่านี้ เหตุการณ์นี้เห็นแพ็คเกจหลายรายการภายในเนมสเปซยอดนิยม ซึ่งรวมกันมีการดาวน์โหลดจำนวนมากทุกสัปดาห์ ถูกใช้เป็นอาวุธเพื่อเผยแพร่โค้ดที่เป็นอันตราย วิธีการของผู้โจมตี ซึ่งเกี่ยวข้องกับการฉีดโค้ดผ่านการคอมมิต GitHub แสดงให้เห็นถึงความเข้าใจที่ชัดเจนเกี่ยวกับไปป์ไลน์การพัฒนาที่ทันสมัยและความไว้วางใจโดยธรรมชาติที่มีอยู่ในส่วนประกอบโอเพนซอร์สที่ใช้กันอย่างแพร่หลาย

เกิดอะไรขึ้น

การโจมตีซัพพลายเชนครั้งใหญ่เกิดขึ้นกับระบบนิเวศของแพ็คเกจ โค้ดที่เป็นอันตรายถูกฉีดเข้าไปในแพ็คเกจ npm ที่ใช้กันอย่างแพร่หลายหลายรายการ ซึ่งส่งผลกระทบต่อโปรเจกต์ที่มีการดาวน์โหลดหลายล้านครั้งต่อสัปดาห์ การประนีประนอมนี้ดำเนินการผ่านการคอมมิต GitHub ซึ่งเป็นจุดวิกฤตในวงจรชีวิตการพัฒนาซอฟต์แวร์ ซึ่งบ่งชี้ถึงการละเมิดภายในไปป์ไลน์ Continuous Integration (CI) ของโปรเจกต์ โค้ดที่ถูกฉีดได้รับการออกแบบมาเพื่อขโมยข้อมูลประจำตัวจากเครื่องมือของนักพัฒนาที่ติดเชื้อและส่งออกไปยังเซิร์ฟเวอร์ระยะไกลที่ควบคุมโดยผู้โจมตี

การโจมตีนี้ใช้กลไก 'การส่งเพย์โหลดขณะนำเข้า' ซึ่งหมายความว่าโค้ดที่เป็นอันตรายจะทำงานทันทีที่แพ็คเกจที่ถูกบุกรุกถูกนำเข้าสู่โปรเจกต์ เทคนิคนี้เลี่ยงเครื่องมือวิเคราะห์สถิติแบบดั้งเดิมและการตรวจสอบรันไทม์จำนวนมาก ทำให้การตรวจจับทำได้ยาก เหตุการณ์นี้ชี้ให้เห็นถึงผู้คุกคามที่ซับซ้อนที่ใช้กลยุทธ์ที่รับรู้ CI โดยอาจใช้ประโยชน์จากช่องโหว่ที่เปิดเผยต่อสาธารณะภายในไปป์ไลน์ CI ของโปรเจกต์เพื่อเข้าถึงบัญชีบอทที่รับผิดชอบการเผยแพร่

ทำไมรูปแบบนี้ถึงเกิดขึ้นซ้ำอีก

การเกิดซ้ำของการโจมตีซัพพลายเชน npm มีสาเหตุมาจากปัจจัยเชิงระบบหลายประการ การเชื่อมโยงกันอย่างกว้างขวางของการพัฒนาซอฟต์แวร์สมัยใหม่ ซึ่งพึ่งพาแพ็คเกจโอเพนซอร์สเป็นอย่างมาก สร้างพื้นที่การโจมตีที่กว้างขวาง นักพัฒนาซอฟต์แวร์มักจะรวมการพึ่งพาของบุคคลที่สามหลายร้อยรายการ หากไม่ใช่หลายพันรายการ ซึ่งหลายรายการได้รับการดูแลโดยอาสาสมัครหรือทีมขนาดเล็กที่มีสถานะความปลอดภัยที่แตกต่างกัน

นอกเหนือจากการประนีประนอมแพ็คเกจโดยตรงแล้ว ไปป์ไลน์ CI/CD เองก็กลายเป็นเป้าหมายหลัก ผู้โจมตีตระหนักดีว่าการประนีประนอมระบบบิลด์หรือระบบอัตโนมัติในการเผยแพร่ทำให้พวกเขามีจุดได้เปรียบที่ทรงพลังในการฉีดโค้ดที่เป็นอันตรายเข้าสู่ซอฟต์แวร์ที่ถูกต้อง ความไว้วางใจโดยธรรมชาติในกระบวนการอัตโนมัติ ควบคู่ไปกับความเร็วในการพัฒนา มักจะทำให้มีเวลาไม่เพียงพอสำหรับการตรวจสอบความปลอดภัยอย่างละเอียดของทุกการพึ่งพาและทุกขั้นตอนของไปป์ไลน์

ความไว้วางใจโดยนัยที่มีต่อการพึ่งพาต้นน้ำและกระบวนการ CI/CD แบบอัตโนมัติสร้างจุดบอดที่สำคัญซึ่งผู้โจมตีที่ซับซ้อนกำลังหาประโยชน์อย่างต่อเนื่อง

นอกจากนี้ ปริมาณแพ็คเกจและการอัปเดตจำนวนมากทำให้การตรวจสอบความปลอดภัยด้วยตนเองไม่สามารถทำได้ การพึ่งพาระบบอัตโนมัตินี้ แม้ว่าจะจำเป็นสำหรับความเร็ว แต่ก็สร้างจุดบกพร่องหากความปลอดภัยไม่ได้ถูกฝังลึกในทุกขั้นตอน การโจมตีเช่นเหตุการณ์นี้แสดงให้เห็นว่าการสแกนหาช่องโหว่ที่ทราบแล้วไม่เพียงพออีกต่อไป การป้องกันเชิงรุกหลายชั้นจึงเป็นสิ่งจำเป็น

แผนการเล่นของผู้โจมตีทีละขั้นตอน

เหตุการณ์นี้ให้ภาพประกอบที่ชัดเจนของแผนการโจมตีซัพพลายเชน npm สมัยใหม่ ประการแรก ผู้โจมตีระบุและใช้ประโยชน์จากช่องโหว่ภายในไปป์ไลน์ CI ของโปรเจกต์ ซึ่งน่าจะเกี่ยวข้องกับการใช้ประโยชน์จากจุดอ่อนที่เปิดเผยต่อสาธารณะเพื่อประนีประนอมข้อมูลประจำตัวของบัญชีบอทที่ใช้สำหรับการเผยแพร่แพ็คเกจ การละเมิดครั้งแรกนี้มีความสำคัญอย่างยิ่ง เนื่องจากช่วยให้ผู้โจมตีสามารถจัดการกระบวนการเผยแพร่อย่างเป็นทางการได้

เมื่อเข้าถึงได้แล้ว ผู้โจมตีได้ฉีดโค้ดที่เป็นอันตรายเข้าสู่แหล่งที่มาของแพ็คเกจที่ถูกต้องผ่านการคอมมิต GitHub วิธีการที่ซ่อนเร้นนี้ทำให้เพย์โหลดที่เป็นอันตรายสามารถรวมเข้ากับโค้ดเบสโดยตรง ทำให้ดูเหมือนเป็นส่วนที่ถูกต้องของโปรเจกต์ โค้ดได้รับการออกแบบมาสำหรับการ 'ส่งเพย์โหลดขณะนำเข้า' เพื่อให้แน่ใจว่าจะทำงานเมื่อมีการรวมและใช้งานแพ็คเกจ

ขั้นตอนสุดท้ายเกี่ยวข้องกับการส่งข้อมูลประจำตัว เพย์โหลดที่เป็นอันตรายเมื่อทำงานบนเครื่องของนักพัฒนาจะขโมยข้อมูลที่ละเอียดอ่อนและส่งไปยังเซิร์ฟเวอร์ที่ควบคุมโดยผู้โจมตี ลำดับทั้งหมดนี้ ตั้งแต่การประนีประนอมเริ่มต้นไปจนถึงการส่งข้อมูล แสดงให้เห็นถึงความเข้าใจที่ซับซ้อนเกี่ยวกับเวิร์กโฟลว์การพัฒนาและแนวทางที่มุ่งเป้าไปที่การแทรกซึมซัพพลายเชน

สิ่งที่ผู้ป้องกันพลาดไป

ในการประนีประนอมนี้ ชั้นการป้องกันหลายชั้นน่าจะล้มเหลว การละเมิดไปป์ไลน์ CI ครั้งแรกบ่งชี้ถึงการขาดการควบคุมความปลอดภัยที่แข็งแกร่งรอบสภาพแวดล้อมการสร้างและเผยแพร่ ซึ่งอาจรวมถึงการควบคุมการเข้าถึงที่ไม่เพียงพอสำหรับบัญชีบอท ช่องโหว่ที่ยังไม่ได้แก้ไขในเครื่องมือ CI หรือแนวทางปฏิบัติในการจัดการความลับที่อ่อนแอ

ประการที่สอง การฉีดโค้ดที่เป็นอันตรายผ่านการคอมมิต GitHub บ่งชี้ว่ากระบวนการตรวจสอบโค้ด หากมีอยู่ ก็ล้มเหลวในการตรวจจับการเปลี่ยนแปลงที่ละเอียดอ่อนหรือถูกข้ามไปทั้งหมด เครื่องมือวิเคราะห์สถิติอัตโนมัติอาจไม่ได้กำหนดค่าให้ตรวจจับรูปแบบเฉพาะของเพย์โหลดขณะนำเข้านี้ หรือโค้ดที่เป็นอันตรายถูกทำให้คลุมเครือเพียงพอที่จะหลีกเลี่ยงการตรวจจับ ข้อเท็จจริงที่ว่าแพ็คเกจถูกดาวน์โหลดหลายล้านครั้งก่อนที่จะตรวจพบ ชี้ให้เห็นถึงช่องว่างในการตรวจสอบหลังการเผยแพร่และการวิเคราะห์พฤติกรรม

สุดท้าย โซลูชันการตรวจจับและตอบสนองปลายทาง (EDR) บนเครื่องของนักพัฒนาอาจไม่ได้ระบุหรือป้องกันการส่งข้อมูลประจำตัวอย่างมีประสิทธิภาพ สิ่งนี้เน้นย้ำถึงความจำเป็นในการตรวจสอบอย่างต่อเนื่อง ไม่ใช่แค่สภาพแวดล้อมการผลิตเท่านั้น แต่ยังรวมถึงเวิร์กสเตชันของนักพัฒนา ซึ่งกำลังกลายเป็นเป้าหมายที่มีมูลค่าสูงสำหรับการเข้าถึงเริ่มต้นมากขึ้นเรื่อยๆ

รายการตรวจสอบการป้องกันเชิงปฏิบัติ

CISO และวิศวกรความปลอดภัยต้องใช้กลยุทธ์เชิงรุกและครอบคลุมเพื่อลดความเสี่ยงของซัพพลายเชน npm ซึ่งเกี่ยวข้องกับการเสริมสร้างการควบคุมตลอดวงจรชีวิตการพัฒนาซอฟต์แวร์ทั้งหมด

• ใช้การเสริมความแข็งแกร่ง CI/CD อย่างเคร่งครัด: ตรวจสอบและรักษาความปลอดภัยไปป์ไลน์ CI/CD ของคุณเป็นประจำ ตรวจสอบให้แน่ใจว่ามีสิทธิ์น้อยที่สุดสำหรับเอเจนต์บิลด์ หมุนเวียนข้อมูลประจำตัวบ่อยครั้ง และใช้การรับรองความถูกต้องแบบหลายปัจจัยสำหรับการเข้าถึงแพลตฟอร์ม CI/CD ทั้งหมด
• ปรับปรุงการตรวจสอบโค้ดและการวิเคราะห์สถิติ: กำหนดให้มีการตรวจสอบโค้ดอย่างละเอียดสำหรับการเปลี่ยนแปลงทั้งหมด รวมถึงการเปลี่ยนแปลงจากบอทอัตโนมัติ ผสานรวมเครื่องมือทดสอบความปลอดภัยของแอปพลิเคชันเชิงสถิติ (SAST) ขั้นสูงที่สามารถตรวจจับรูปแบบการทำงานที่คลุมเครือและขณะนำเข้าได้
• การตรวจสอบและการตรึงการพึ่งพา: รักษาบัญชีรายการซอฟต์แวร์ (SBOM) ที่ถูกต้องสำหรับโปรเจกต์ทั้งหมด ตรึงการพึ่งพาไปยังเวอร์ชันที่ระบุและตรวจสอบช่องโหว่ที่ทราบเป็นประจำ พิจารณาการลงทะเบียนแพ็คเกจส่วนตัวสำหรับการพึ่งพาที่สำคัญ
• การตรวจสอบรันไทม์และการวิเคราะห์พฤติกรรม: ใช้การป้องกันตัวเองของแอปพลิเคชันรันไทม์ (RASP) หรือเทคโนโลยีที่คล้ายกันเพื่อตรวจสอบพฤติกรรมของแพ็คเกจแบบเรียลไทม์ มองหาการเชื่อมต่อเครือข่ายที่ผิดปกติหรือการพยายามเข้าถึงระบบไฟล์โดยแพ็คเกจที่ติดตั้ง
• ความปลอดภัยของเวิร์กสเตชันของนักพัฒนา: ถือว่าเครื่องของนักพัฒนาเป็นเป้าหมายที่มีมูลค่าสูง บังคับใช้ความปลอดภัยของปลายทางที่แข็งแกร่ง การแบ่งส่วนเครือข่าย และการตรวจสอบอย่างต่อเนื่องเพื่อตรวจจับและป้องกันการขโมยและส่งข้อมูลประจำตัว
• การจัดการความเสี่ยงของซัพพลายเชน: ประเมินสถานะความปลอดภัยของการพึ่งพาและผู้ดูแลต้นน้ำ จัดลำดับความสำคัญของแพ็คเกจที่มีการบำรุงรักษาอย่างต่อเนื่อง นโยบายความปลอดภัยที่ชัดเจน และประวัติการแก้ไขช่องโหว่อย่างรวดเร็ว
• การสแกนช่องโหว่อัตโนมัติ: ใช้การสแกนแอปพลิเคชันที่ปรับใช้และการพึ่งพาอย่างต่อเนื่องสำหรับช่องโหว่ใหม่ โดยเฉพาะอย่างยิ่งในบริบทของการโจมตีซัพพลายเชน npm และ Python ที่ทำงานบนเครื่องของนักพัฒนา

การทดสอบเชิงรุกสมัยใหม่จะตรวจพบสิ่งนี้ได้อย่างไร

การทดสอบการเจาะระบบแบบดั้งเดิมมักจะมุ่งเน้นไปที่แอปพลิเคชันที่ปรับใช้ ทำให้ไปป์ไลน์การพัฒนามีช่องโหว่ การทดสอบเชิงรุกสมัยใหม่ โดยเฉพาะการทดสอบเชิงรุกอัตโนมัติ จะระบุจุดอ่อนที่ถูกใช้ประโยชน์ในการประนีประนอมนี้ได้เร็วกว่ามาก ด้วยการตรวจสอบไปป์ไลน์ CI/CD ระบบบิลด์ และกระบวนการจัดการการพึ่งพาอย่างต่อเนื่องและอัตโนมัติ การทดสอบดังกล่าวสามารถจำลองขั้นตอนของผู้โจมตีได้

แพลตฟอร์มของเรา secops เชี่ยวชาญในการทดสอบเชิงรุกอัตโนมัติด้วย Proof-of-Concepts (PoCs) ที่สามารถเรียกใช้งานได้ ในบริบทของรูปแบบเหตุการณ์นี้ secops สามารถระบุการกำหนดค่าไปป์ไลน์ CI ที่มีช่องโหว่ที่อนุญาตให้มีการประนีประนอมบัญชีบอทเริ่มต้นได้โดยอัตโนมัติ จากนั้นสามารถแสดงให้เห็นผ่าน PoC ที่สามารถเรียกใช้งานได้ว่าผู้โจมตีสามารถฉีดโค้ดที่เป็นอันตรายผ่านการคอมมิต GitHub และเรียกใช้การส่งเพย์โหลดขณะนำเข้าได้อย่างไร

นอกจากนี้ secops ยังสามารถทดสอบประสิทธิภาพของกลไกการตรวจจับที่มีอยู่โดยการจำลองการพยายามส่งข้อมูลประจำตัว ตรวจสอบว่าเครื่องมือ EDR หรือการตรวจสอบเครือข่ายจะแจ้งกิจกรรมที่น่าสงสัยหรือไม่ มุมมองที่เป็นปฏิปักษ์อย่างต่อเนื่องนี้ให้ข้อมูลเชิงลึกที่สามารถดำเนินการได้เกี่ยวกับเส้นทางการโจมตีในโลกแห่งความเป็นจริง ช่วยให้องค์กรสามารถแก้ไขช่องโหว่ก่อนที่จะถูกผู้ไม่หวังดีใช้ประโยชน์

สิ่งที่ต้องจับตาดูต่อไป

ภูมิทัศน์ภัยคุกคามสำหรับ npm และระบบนิเวศของแพ็คเกจอื่นๆ จะยังคงพัฒนาต่อไป เราสามารถคาดการณ์ถึงการเพิ่มขึ้นของการโจมตีแบบ 'living off the land' ภายในสภาพแวดล้อมของนักพัฒนา ซึ่งผู้โจมตีใช้เครื่องมือและกระบวนการของนักพัฒนาที่ถูกต้องเพื่อซ่อนกิจกรรมของตน การมุ่งเน้นอาจจะเปลี่ยนไปสู่การประนีประนอมเวิร์กสเตชันของนักพัฒนาและไปป์ไลน์ CI/CD ในฐานะจุดเข้าถึงเริ่มต้น แทนที่จะกำหนดเป้าหมายเฉพาะแอปพลิเคชันที่เปิดเผยต่อสาธารณะ

คาดว่าจะได้เห็นเทคนิคที่ซับซ้อนมากขึ้นสำหรับการส่งเพย์โหลดและการทำให้คลุมเครือ ซึ่งออกแบบมาเพื่อหลีกเลี่ยงการวิเคราะห์สถิติและการตรวจจับตามลายเซ็นแบบดั้งเดิม การเพิ่มขึ้นของเครื่องมือและเอเจนต์การพัฒนาที่ขับเคลื่อนด้วย AI ทำให้เกิดช่องทางการโจมตีใหม่ๆ ซึ่งอินสแตนซ์ AI ที่ถูกบุกรุกสามารถฉีดโค้ดที่เป็นอันตรายที่ตรวจไม่พบเข้าสู่โปรเจกต์ได้ ความระมัดระวัง การทดสอบความปลอดภัยอย่างต่อเนื่อง และแนวคิดด้านความปลอดภัยแบบ shift-left เป็นสิ่งสำคัญยิ่งสำหรับการนำทางในสภาพแวดล้อมภัยคุกคามที่กำลังพัฒนาอยู่ตลอดเวลา