Supply Chain Integrity

Supply chain cybersecurity: waarom het ertoe doet

Operationele veerkracht is een belangrijke aanpak voor het beheersen van alle-risico’s in een organisatie. Het doel is om de operationele effectiviteit te handhaven bij aanvallen op en verstoringen van de supply chain, cyberaanvallen en bedrijfsverstoringen als gevolg van natuurrampen.

Neem vandaag contact op met het team voor hardwarebeoordelingen

Veel organisaties hebben hun toeleveringsketens wereldwijd uitgebreid, zelfs naar landen die duidelijk vijandig zijn, waarbij componenten, hardware, apparatuur, software en human resources wereldwijd worden beheerd, geproduceerd en ingekocht.

De globalisering heeft een overvloed aan kansen voor bedrijfsgroei en efficiëntie geboden, maar ook operationele kwetsbaarheid als gevolg van lange, complexe toeleveringsketens. Momenteel vinden er wezenlijke veranderingen plaats in het mondiale veiligheidslandschap, aangejaagd door een heropleving van de strijd tussen grootmachten, wat een inspanning versnelt om kritieke productiefaciliteiten en -capaciteiten te reshoren.

Bovendien blijft het risico op cyberaanvallen op de toeleveringsketen de groei en expansie van bedrijven belemmeren. In 2019 werd de digitale toeleveringsketen van SolarWinds gecompromitteerd door dreigingsactoren die een software-updatepijplijn infecteerden met kwaadwillende code die bekendstaat als Sunburst. In totaal werd oorspronkelijk gedacht dat 18.000 klanten onbedoeld een volgende kwaadwillende update hadden geïnstalleerd die door het bedrijf was vrijgegeven. SolarWinds herzag dit cijfer later naar ongeveer 100 klanten, waaronder overheidsinstanties zoals Microsoft, FireEye en Intel, wat de ernstige gevolgen van een onveilige toeleveringsketen onderstreept.

Een andere opmerkelijke gebeurtenis op het gebied van supply chain security in de afgelopen jaren staat bekend als Log4j, een kritieke kwetsbaarheid die werd ontdekt in het Apache Log4j open source logging-systeem, dat door talloze systemen en Java-gebaseerde softwareoplossingen wereldwijd wordt gebruikt. Op het hoogtepunt in 2021 registreerden security researchers meer dan 10 miljoen exploit pogingen per uur, wat de beveiliging van honderden miljoenen apparaten in gevaar bracht.

Enkele jaren later blijft het risico voor digitale toeleveringsketens zelfs de meest in het oog springende technologiebedrijven van vandaag de dag teisteren. Onlangs werd Microsoft-president Brad Smith ondervraagd door leden van het Congres in verband met de compromittering van Microsoft Exchange-e-mailaccounts van ambtenaren van het Amerikaanse ministerie van Buitenlandse Zaken.

Hardware kan ook de stabiliteit van de huidige toeleveringsketens ondermijnen. Het chipshortage tijdens en na de pandemie toont de kwetsbaarheid van gespecialiseerde wereldwijde toeleveringsketens, wat heeft geleid tot productproblemen bij talloze bedrijven en beperkte beschikbaarheid voor consumenten. Organisaties moeten nu ook rekening houden met veranderingen in de halfgeleidersector, zoals de Amerikaanse CHIPS Act van 2022 CHIPS Act, die federale financiering beperkt voor halfgeleiderorganisaties die ontwikkeling uitbesteden aan specifieke landen.

Sinds 2019 staat Huawei bijvoorbeeld op de Amerikaanse handelssanctielijst. Deze beperkingen zijn dit jaar aangescherpt, waardoor Amerikaanse chipmakers zoals Qualcomm en Intel geen specifieke goederen meer aan Huawei mogen exporteren of verkopen. Er zijn beschuldigingen dat Huawei banden heeft met het Chinese leger.

Het beveiligen van de supply chain en het waarborgen van de end-to-end-integriteit ervan is altijd een complexe en in sommige gevallen uiterst uitdagende taak geweest.

Organisaties moeten meer in ogenschouw nemen dan alleen softwareproblemen, logistieke problemen, namaak- of defecte hardware en interne dreigingen. In de afgelopen jaren heeft IOActive een verschuiving in tactieken waargenomen naar meer geavanceerde methoden, waarbij beoogde slachtofferorganisaties indirect worden gecompromitteerd via ketens van exploitaties, zoals via toeleveranciers en derde partijen.

De supply chain is een instap naar bedrijfsnetwerken die door threat actors, in groten getale, nu wordt aangevallen.

Het handhaven van de integriteit van de supply chain vereist toegewijde, robuuste beveiligingspraktijken op elke schakel in de waardeketen. Leveranciers, verkopers en hun leveranciers en verkopers moeten ook een hoog niveau van vertrouwen verdienen en behouden. De minste vlek in de activiteiten van een derde partij kan de beveiliging van de gehele supply chain ondermijnen, de integriteit en het vertrouwen ondergraven, de operationele continuïteit verstoren en reputatieschade veroorzaken.

De toeleveringsketens van vandaag moeten een staat van veerkracht bereiken, opgebouwd vanuit trust roots op siliciumniveau en gestructureerd op een manier die security implementeert in elke laag van de technologie en elk niveau van de toeleveringsketen.

Hierin ligt de uitdaging. Naarmate supply chains groter en complexer worden, kan het risico exponentieel toenemen. Volgens schattingen van analisten van McKinsey heeft een autofabrikant gemiddeld banden met ongeveer 250 tier-one suppliers, maar dit aantal loopt op tot ongeveer 18.000 over de gehele supply chain. Ter vergelijking: een technologiebedrijf werkt met ongeveer 200 tier-one suppliers, wat oploopt tot ongeveer 12.000 over alle lagen van de supply chain.

Weinig bedrijven zullen precies onthullen hoeveel leveranciers ze hebben, maar als je bedenkt dat alleen al Walmart een toeleveringsketen heeft met meer dan 100.000 leveranciers, zien we dat beveiliging van de toeleveringsketen niet kan worden bereikt met een traditionele aanpak van cybersecurity-verdediging en risicobeheer.

IOActive hanteert een unieke “attacker’s mindset”-aanpak voor security en combineert expertonderzoek met beproefde technieken om moderne supply chains te beschermen op alle niveaus van de technologiestack, inclusief het siliciumniveau. In deze handleiding bespreken we hoe u de operationele risico’s van moderne supply chains beheert en waarom de implementatie van een secure-by-design-framework cruciaal is voor de integriteit van de supply chain van vandaag.

Supply Chain Security, explained

Supply chains bestaan uit een netwerk van entiteiten, waaronder fabrikanten, bedrijven, distributeurs en partnerleveranciers die producten of diensten produceren.

Deze ketens, anders omschreven als stappen in een productienetwerk, worden nu sterk beïnvloed door technologie en kunnen van alles omvatten, van fysieke componenten tot menselijke operators en next-generation technologieën zoals automatisering en kunstmatige intelligentie (AI).

Fysieke producten en componenten, waaronder processors en andere kritieke computerhardware, worden geproduceerd en bewegen langs een toeleveringsketen, om uiteindelijk organisaties of consumenten te bereiken. Digitale toeleveringsketens zijn vergelijkbaar, aangezien softwareontwikkelingslevenscycli door ontwikkelingsstadia verlopen, mogelijk inclusief code- en configuratiewijzigingen, voordat ze worden vrijgegeven aan licentiehouders en eindgebruikers.

Echter, elke schakel in een waardeketen – of het nu gaat om hardware, software of services – creëert een uitgebreider aanvalsoppervlak. Risicofactoren zijn verouderde, kwetsbare componenten, namaak- en valse hardware, interne dreigingen, zero-day en bekende, niet gepatchte of gemitigeerde kwetsbaarheden, en het falen om basisveiligheidsnormen tussen partners in de toeleveringsketen te communiceren of vast te stellen.

Organisaties moeten de veerkracht en integriteit van de toeleveringsketen waarborgen en tegelijkertijd operationele verstoringen voorkomen. Voor de beste resultaten moeten organisaties in staat zijn incidenten snel aan te pakken om terug te keren naar het operationele niveau en de capaciteiten van vóór de crisis.

De urgentie van het implementeren van robuuste beveiligingspraktijken binnen een supply chain en de moderne risico’s die gepaard gaan met de productie van hoog geïntegreerde, complexe producten zijn niet onopgemerkt gebleven, maar we hebben nog een lange weg te gaan om echte supply chain-integriteit en -veerkracht te bereiken.

Volgens een recente enquête en rapport van het Agentschap van de Europese Unie voor cybersecurity (ENISA) passen 86 procent van de ondervraagden beleid voor cybersecurity van de toeleveringsketen voor informatie- en communicatietechnologie (ICT) en operationele technologie (OT) toe, maar minder dan de helft – 47 procent – heeft budgetten toegewezen voor gerelateerde activiteiten.

In totaal vereisen 61% van de organisaties die betrokken zijn bij toeleveringsketens een beveiligingscertificering van leveranciers, gebruiken 43% beveiligingsbeoordelingsdiensten en beweren 37% dat ze due diligence of risicobeoordelingen uitvoeren. Helaas geven 9% van de respondenten van de ondervraagde organisaties aan dat ze de beveiligingsrisico’s van hun toeleveringsketen niet evalueren.

Het vaststellen van geschikte beveiligingsbeleid en responsplannen voor het beheersen van risico’s in de toeleveringsketen kan moeilijk zijn, omdat er een grote variatie bestaat in het begrip van cyberbeveiligingsdreigingen: Wanneer zullen ze plaatsvinden? Waar zullen ze hun oorsprong hebben? Wat zullen de gevolgen zijn? Welke aanvallen zijn mogelijk?

Deze problemen raken alle sectoren, waaronder kritieke infrastructuur, energie, productie, telecom, technologie, logistiek en transport. Omdat de economie van vandaag afhankelijk is van de tijdige beschikbaarheid van producten en diensten, kan één verstoring – zoals een chipschaarste of de sluiting van een fabrieksvloer als gevolg van een cyberaanval – verstrekkende gevolgen hebben.

In plaats van zich uitsluitend te richten op events met hoge impact maar laag risico, zoals aanvallen uitgevoerd door state-sponsored cyberattack groups, moeten de meeste organisaties vandaag de dag hun algehele supply chain resiliency verbeteren door op elke stap van productie en distributie een veilige basis te creëren.

“Meestal gaat het bij supply chain attacks niet om het initiële doelwit. Het gaat erom dat ze hun initiële doelwit gebruiken om zich zijwaarts door een supply chain te verplaatsen.“ John Sheehy, SVP, Research and Strategy bij IOActive

Een beveiligde toeleveringsketen moet security centraal stellen. Voor moderne bedrijven betekent dit dat security vanaf de onderste laag van de technologiestack, het siliciumniveau, moet worden meegenomen.

Het implementeren van security controls op het traditionele informatie-technologie (IT)-, netwerk- en applicatieniveau is niet langer voldoende. Hardware-gebaseerde supply chain-aanvallen nemen toe, waaronder het plaatsen van namaakhardware in toeleveringsketens, diefstal van intellectueel eigendom om toekomstige aanvallen mogelijk te maken, en silicon-gebaseerde cyberaanvallen, zoals datalekken en surveillance, implants, backdoors en ongeautoriseerde toegang tot bedrijfsmiddelen.

Bij IOActive weten we dat het cruciaal is dat componenten en hardware worden geverifieerd voordat ze een toeleveringsketen betreden. Ons team voor silicon security helpt klanten de opkomende risico’s van silicon-level attacks te begrijpen. Wij ondersteunen legitieme organisaties bij het beoordelen van chips, apparaten en systemen om de algehele resiliency van de toeleveringsketen te verbeteren.

Al decennia lang staat IOActive voorop in cybersecurity-onderzoek naar hardware en embedded systemen. We zetten onze expertise op dit gebied in om onze aanvalstechnieken te verfijnen bij het operationeel maken van aanval en verdediging op het gebied van supply chain- en silicon security.

IOActive hanteert een unieke “aanvallersmentaliteit” bij het uitvoeren van silicongebaseerde aanvallen, waaronder white-, gray- en black-boxactiviteiten die bijdragen aan de ontwikkeling van op maat gemaakte dreigingsmodellen die waardevol zijn voor onze klanten. Onze diensten omvatten:

• Onderzoek en analyse
• Beoordeling en bevestiging van securityfuncties
• Data- en netlistextractie (NVM’s)
• Steekproeven en dreigingsmodellering van risico’s in de toeleveringsketen
• Hardware backdoor detectie
• Steun bij schending van intellectueel eigendom
• Risicobeoordelingen

De beveiliging van de toeleveringsketen is afhankelijk van goed hardwarebeveiligingsontwerp en -implementatie. Inzicht in chips, hun beveiligingsarchitectuur en risicoprofielen leidt tot weloverwogen zakelijke beslissingen met betrekking tot leveranciers, partnerschappen, bedrijfsinitiatieven en de bescherming van intellectueel eigendom.

IOActive is gespecialiseerd in full-stack security assessments en kan de beveiliging op elk niveau beoordelen, van silicium en hardware tot programma’s, beleid en governance, om onze klanten een holistisch beeld te geven van hoe veerkrachtig hun toeleveringsketens zijn tegen exploitatie.

Neem vandaag nog contact met ons op voor meer informatie over onze silicon- en full stack-beoordelingsdiensten.

Bekijk de datasheet voor silicon security services

Hoe nieuwe chipregelgeving de toeleveringsketen beïnvloedt

Dreigingen in het productieproces vormen een risico voor wereldwijde toeleveringsketens en hebben daarom invloed op het politieke landschap. Regelgevers over de hele wereld onderzoeken de dreigingen van namaakhardware en -componenten die in toeleveringsketens worden geïntroduceerd en de nationale veiligheid en de openbare veiligheid in gevaar kunnen brengen, naast de gevaren van cyberaanvallen.

Als reactie op geopolitieke spanningen, die noodzakelijkerwijs gepaard gaan met een gebrek aan vertrouwen, en aangejaagd door de wens om de binnenlandse economische groei te stimuleren, proberen talrijke overheden via reshoring-inspanningen de kritieke elementen van de toeleveringsketen terug te halen binnen de nationale grenzen.

Een goed voorbeeld van deze inspanning is de Amerikaanse CHIPS Act. Deze wet, die in 2022 van kracht werd, beperkt federale financiering en subsidies door te verbieden dat ontvangende halfgeleiderorganisaties hun activiteiten uitbreiden in elk land dat als een “dreiging voor de nationale veiligheid” van de Verenigde Staten wordt beschouwd. Op dit moment omvatten deze landen de Volksrepubliek China (PRC).

Een vergelijkbare wet is de European Chips Act. Met een geschatte productie van één biljoen microchips wereldwijd in 2020 en een verwachte verdubbeling van de vraag tegen 2023, stelt deze wet een kader voor om de halfgeleiderproductie door lidstaten van de Europese Unie (EU) te versterken, de veerkracht van toeleveringsketens te verbeteren en externe afhankelijkheden van kritieke technologieën en componenten te verminderen.

Sinds de inwerkingtreding in 2023 stelt de Europese Commissie dat de wet “het concurrentievermogen en de veerkracht van Europa op het gebied van halfgeleidertechnologieën en -toepassingen zal versterken.”

Aan de slag met het beveiligen van uw toeleveringsketen

Het beveiligen van de toeleveringsketen brengt complexe uitdagingen met zich mee, en het volledig verifiëren van elke component, processor, fysiek apparaat, leverancier, stukje broncode en ontwikkelings- of distributieproces is vrijwel zeker onmogelijk.

Dit betekent echter niet dat we machteloos zijn om de veerkracht van de huidige toeleveringsketens te verbeteren en het risico op operationele verstoring te verkleinen – verre van dat.

Het beveiligen van de toeleveringsketen is een doorlopend proces, niet het resultaat van een enkele audit of verificatiecontrole. Om u op dit pad te ondersteunen, bespreken wij hieronder de belangrijkste aspecten van het beveiligen van uw toeleveringsketen tegen moderne dreigingen.

Bouw een beveiligde hardwarebasis

De afgelopen jaren heeft IOActive een verschuiving in tactieken van cybercriminelen vastgesteld. Er is nu een ongelukkige belangstelling voor het compromitteren van hardware om wereldwijde toeleveringsketens te infiltreren. Dit omvat het plaatsen van implants, rootkits, malware die is ontworpen om embedded systems aan te vallen, en het exploiteren van onbedoelde fouten in computercomponenten en configuraties.

Nu de halfgeleidersector blijft groeien en de operationele betekenis van consumenten- en zakelijke apparaten toeneemt, is het waarborgen van de integriteit van hardware cruciaal voor de beveiliging van de toeleveringsketen.

Waar mogelijk moeten toeleveringsketens zijn ontworpen voor security, veerkracht en integriteit, met beveiligingsbeoordelingen op een risicogebaseerd niveau – door organisaties zelf of door vertrouwde derde partijen – om componenten te verifiëren en te waarborgen dat hun prestaties en output voldoen aan de verwachtingen.

Daarnaast moeten organisaties consequent firmware-controles uitvoeren en risicobeheerstrategieën richten op de bredere vraagstukken van kwaliteit en integriteit van componenten, in plaats van alleen op zeldzame, maar ernstige incidenten, zoals het risico op door de staat gesponsorde aanvallen. Het supply chain-beoordelingskader van Open Compute Project (OCP), OCP SAFE, is een uitstekend voorbeeld van een doordachte aanpak voor het beheersen van de risico’s op het gebied van hardware en firmware-integriteit.

Meer informatie over de diensten van IOActive OCP S.A.F.E.

Software: beveiligde code ontwikkelen

Hoewel hardware centraal moet staan voor echte supply chain-integriteit, mogen we het belang van softwarebeveiliging niet vergeten, aangezien elk niveau van de technologiestapel beveiligd moet zijn tegen aanvallen.

Er zijn uitdagingen verbonden aan software-integriteit en verificatiecontroles, zoals mogelijk beperkte toegang tot broncode en IP, maar we beschikken over talrijke schaalbare tools die kunnen helpen bij reviews en beoordelingen door derden, waaronder security reviews van binaries.

Organisaties moeten codeondertekening en encryptiecontroles integreren, changelogs van leveranciers controleren en ervoor zorgen dat ze op de hoogte worden gesteld van belangrijke wijzigingen aan software en updates, ongeacht of deze propriëtaire of open source zijn.

Beschouw de Secure Product Development Lifecycle (SDL)

De beveiligde productontwikkelingscyclus (SDL) is van cruciaal belang voor het beveiligen van softwaretoeleveringsketens.

Een SDL omvat het creëren en afdwingen van een reeks praktijken voor kwaliteits-, beveiligings- en privacyborging in alle fasen van de productontwikkeling. Door het volledige softwareontwikkelingsproces in kaart te brengen en op elke fase controles, audits en reviews te integreren, kunnen organisaties kwetsbaarheden oplossen, potentiële aanvalsmogelijkheden elimineren en de beveiliging van producten vóór uitrol verbeteren.

Zoals door het Amerikaanse Cybersecurity and Infrastructure Security Agency (CISA) wordt uitgelegd, definiëren SDL-kaders de procedures en beleidslijnen in de productie, waarin wordt beschreven hoe en wanneer productontwikkeling, verificatie en validatie plaatsvinden. Deze kunnen onder meer veilige codeerpraktijken, codebeoordelingen, testen, kwetsbaarheidsbeoordelingen, kwaliteitsborgingscontroles omvatten, evenals de manier waarop veilige distributie- en implementatiekanalen worden opgezet en beheerd. Een uitstekend voorbeeld van een gestandaardiseerd SDL-kader voor een specifieke verticale sector is SAE ISO 21434, dat “vereisten voor cybersecurity-processen en een gemeenschappelijke taal voor het communiceren en beheren van cybersecurity-risico’s omvat.”

Een gedachte over AI

Het is ook belangrijk om de veranderingen in acht te nemen die machine learning (ML) en artificial intelligence (AI) onvermijdelijk zullen aanbrengen in het SDL-proces en de toeleveringsketenintegriteit als geheel.

AI, die verder gaat dan chatassistents en basismodellen voor machine learning (ML), kan een waardevol hulpmiddel worden voor het verminderen van onbeveiligde code. Tegelijkertijd moeten organisaties overwegen hoe AI voor kwaadwillende doeleinden kan worden gebruikt, zoals bij het schrijven van malware die specifiek is ontworpen om bepaalde componenten of software aan te vallen, wat voor veel threat actors anders buiten bereik zou liggen.

Toeleveringsketens moeten van nature flexibel en wendbaar zijn. Disruptieve technologieën, waaronder AI en andere technologieën van de volgende generatie, kunnen het gezicht van de wereldwijde productie en distributie veranderen. Door zich te richten op veerkracht en integriteit, geven organisaties zichzelf de beste kans om eventuele toekomstige verstoringen van hun operationele effectiviteit het hoofd te bieden.

Firmware-updates voor fysieke producten

Gedurende het afgelopen decennium hebben we vastgesteld dat er een gebrek is aan robuuste securitypraktijken met betrekking tot firmware updates voor fysieke producten, waaronder het ontbreken van beveiligde updates, sterke cryptografische integriteitscontroles, sterke firmware encryptie om reverse engineering te weerstaan, en onnodig uitgestelde updates.

Nu er wereldwijd miljarden apparaten zijn aangesloten, waarvan er veel nog steeds hardcoded credentials bevatten en worden geproduceerd door leveranciers die geen tijdige patchprocesses bieden, is het van cruciaal belang om de firmware van fysieke producten te onderzoeken om de toeleveringsketen te beveiligen.

Zoals vermeld in een rapport uit 2022 van het Amerikaanse ministerie van Handel en het ministerie van Homeland Security, besteden veel OEM’s tegenwoordig ook firmwareontwikkeling uit aan derden, wat “risico’s met zich meebrengt in verband met het gebrek aan transparantie over de programmeer- en cybersecuritynormen van leveranciers.”

Hoewel de beveiliging van sommige fysieke producten wordt beperkt door de mogelijkheden van ingebedde chips en het vermogensbudget, moet firmware, net als traditionele software voor computers, worden beschermd tegen cyberdreigingen met regelmatige security-updates. Dit geldt des te meer gezien de rechten die aan firmware zijn toegewezen, die in verkeerde handen kunnen leiden tot het omzeilen van beveiligingscontroles.

Chipsarchitectuur: waarom is dit belangrijk?

Nu het aantal consumenten- en zakelijke apparaten exponentieel groeit, is het beheer en de verificatie van de chips die deze aandrijven cruciaal voor de integriteit van de toeleveringsketen.

Het kiezen van de juiste chiparchitectuur en leverancier, gebaseerd op uitgevoerde security assurance-tests, is noodzakelijk om problemen te voorkomen die het gehele productieproces kunnen verstoren en gevolgen hebben voor de reputatie, ongeacht of deze verband houden met de software supply chain of de industriële productielijn.

Als namaakchips bijvoorbeeld zonder gespecialiseerde hulp niet van originele ontwerpen te onderscheiden zijn, kan het gebruik ervan uiteindelijk leiden tot datalekken en/of hardwarestoringen. Vergelijkbaar daarmee kunnen sommige chiparchitecturen inherente ontwerpfouten bevatten die door dreigingsactoren kunnen worden uitgebuit.

Organisaties moeten er ook voor zorgen dat zij op de hoogte zijn van wijzigingen in regelgeving en compliance op het gebied van halfgeleiders. Dit is bijzonder belangrijk in een periode waarin overheden wereldwijd chipontwikkeling binnen hun grenzen stimuleren en in sommige scenario’s sancties opleggen als chipproductie buiten hun grenzen wordt uitbesteed.

Reversing the Chip: risico’s minimaliseren bij routers, switches en namaakhardware

Organisaties moeten hardware, waaronder routers en switches, proactief beoordelen en valideren om het risico voor hun toeleveringsketen te minimaliseren.

Het screenen van partners en fabrikanten binnen de toeleveringsketen kan het risico op operationele verstoringen, technische problemen, juridische kwesties en reputatieschade ook aanzienlijk verminderen.

Een voorbeeld van falende hardwareverificatie met catastrofale gevolgen werd aangehaald door de FBI, die namaakproducten van Cisco ontdekte, vervaardigd door Chinese partners en uiteindelijk terechtgekomen in de Amerikaanse militaire toeleveringsketen.

Producenten van namaakgoederen ondermijnen de prijzen van originele producten, terwijl georganiseerde misdaad en buitenlandse overheidsinstanties kwaadwillende implants, zoals code of verborgen subroutines, in namaakchips kunnen toevoegen.

Afgezien van zorgen over de nationale veiligheid, leiden substandaard- en namaaknetwerkapparatuur, hardware en processors vaak tot instabiliteit binnen authentieke producten, waarbij de legitieme fabrikant de gevolgen en kosten draagt.

Het opsporen van dergelijke compromissen binnen een toeleveringsketen is moeilijk, vooral bij due diligence op siliciumniveau. Dit vereist gespecialiseerde apparatuur, microcode-extractie, bronmateriaal en gekwalificeerde specialisten die in staat zijn microprocessorbewerkingen op het diepste niveau te doorgronden.

Echter, zoals IOActive in zijn onderzoek en vermogen om nepchips binnen de toeleveringsketen op te sporen heeft aangetoond, zijn er kosteneffectieve methoden beschikbaar die het aanvalsoppervlak verkleinen en de veerkracht en integriteit van de huidige toeleveringsketens verbeteren.

Strategieën voor het beveiligen van de toeleveringsketen

Het dreigingslandschap ontwikkelt zich voortdurend en het opbouwen van een toeleveringsketen gebaseerd op integriteit is de beste manier om het risico op compromittering te mitigeren. U kunt niet vertrouwen op wat u niet kunt verifiëren.

Niet-gemitigeerde dreigingen en kwetsbaarheden in software-, hardware- en services-toeleveringsketens vormen een aanzienlijk risico voor organisaties. Cyberdreigingsactoren hebben aangetoond dat een toeleveringsketen slechts zo sterk is als de beveiliging van de zwakste daarin betrokken organisaties.

Naarmate organisaties hun cybersecurityoperaties hebben gematureerd en hun securityposture hebben verbeterd, wordt hun toeleveringsketen een meer praktisch doel voor een hoogst rationele dreigingsactor. Hardware, firmware, operationele procedures, leveranciers of menselijke factoren bieden aantrekkelijke doelen voor een dreigingsactor die te maken heeft met een doel met solide cyberhygiëne, waardoor deze in staat is zijn aanvalsreeks uit te voeren om een netwerk te infiltreren en er lateraal doorheen te bewegen, en daarbij ingrijpende gevolgen achterlaat.

Volgens het onderzoek Global Cybersecurity Outlook van het World Economic Forum uit 2023, is de meerderheid van de ondervraagde bedrijfsleiders van mening dat cyberdreigingen zich nu meer richten op bedrijfsverstoring en reputatieschade. Als gevolg daarvan geven huidige bedrijfsleiders aan dat cyberresilience is geïntegreerd in de enterprise risk-managementstrategieën van hun organisatie.

De toeleveringsketen is niet vrijgesteld van deze zorgen en veerkracht is nodig om ze te bestrijden.

Organisaties moeten zich richten op een doordacht risicobeheer en het behoud van operationele effectiviteit tijdens security-incidenten of verstoringen in de toeleveringsketen, om echte resiliency en security maturity te bereiken.

IOActive beveelt de volgende stappen aan om uw reis op het gebied van supply chain-integriteit en -beveiliging te beginnen:

• Het identificeren van de entiteiten binnen uw toeleveringsketen, inclusief inventarissen van producten, componenten, softwarebibliotheken en firmware-gebruik. Het gebruik van SBOM en HBOM zou hierbij behulpzaam zijn; het gebruik ervan wordt ondersteund door een executive order uit 2021 die federale organisaties verplicht deze documenten te gebruiken.
• Start een programma voor supply chain-integriteit dat earned trust en verificatieprocessen voor partners, leveranciers en hardware combineert
• Werk samen met partnerorganisaties om het beveiligingsniveau van uw volledige toeleveringsketens te verhogen en de technische kosten en gevolgen voor cyberaanvallers die ze willen treffen, te vergroten
• Prioriteer technische en risicobeoordelingen van risicovolle gebieden met hoge impact, zoals aanvallen op basis van silicium en firmware, die tot uitgebreide compromittering kunnen leiden
• Maak threat models om aanvalsvektoren, risico’s en gevolgen te enumereren en te begrijpen, en maak roadmaps om gewenste security maturity-niveaus te bereiken
• Beoordeel maatregelen en toeleveringsketen-componenten regelmatig opnieuw
• Houd rekening met next-generation tools en aanvalsvectoren die de integriteit en security van de toeleveringsketen kunnen beïnvloeden, waaronder kunstmatige intelligentie

“Zoek niet naar kwaadwillende, door de staat gesponsorde implantaten als u geen kwaliteitsproblemen met een beveiligingsimpact opspoort, zoals namaak. Een dreigingsactor hoeft geen langzame, risicovolle en dure supply chain-aanval uit te voeren als u uw servers niet patcht.” John Sheehy, SVP, Research and Strategy bij IOActive

Veelgestelde vragen