NCSC ソフトウェアサプライチェーン攻撃リポート

NCSC（国家サイバーセキュリティーセンター）より、ソフトウェアサプライチェーン攻撃リポートが公開されました。
攻撃者は、信頼できるサプライヤを攻撃ベクトルとして使用することが多く、スパイ活動、データ盗難、または妨害行為のための主要な製品やサービスは危険にさらされています。 ソフトウェアサプライチェーンへの攻撃はその代表的な例です。

Software Supply Chain Attacks

Software Supply Chain Attacks can target
products at any stage of the development
lifecycle to achieve access, conduct 　espionage, and enable sabotage.

www.dni.gov

定義：ライフサイクル全体の任意の段階で、サイバー攻撃、内部脅威、またはその他の悪意のある活動を通じてソフトウェアを危険にさらすこと。

❶Repository

❷Infrastructure

❸ Infrastructure

❹ Certificates

❺ SDK

❻ Trojan

❼ Certificates

❽ Library

❾ Trojan

❿ Infrastructure

ソフトウェアサプライチェーン攻撃は、開発ライフサイクルの任意の段階で製品を標的にして、アクセスを実現し、スパイ活動を行い、妨害行為を可能にする可能性があります。

• ソフトウェアサプライチェーン攻撃は、マルウェアを正当な製品に偽装するなどの単純なディセプション テクニックを使用したり、複雑な手段を使用して本物のプログラムのソースコードを変更したりする可能性があります。
• 攻撃者は、開発者やディストリビューターのメンバーやインフラストラクチャを危険にさらすだけでなく、ツール、依存関係、共有ライブラリ、サードパーティのコードを悪用しようとする可能性があります。
• ソフトウェアのライフサイクルを超えた後も使用すると、サイバー攻撃を受けるリスクが増加します。

悪意の目的

ハッカーは、ソフトウェアサプライチェーンを標的にして、セキュリティで保護されたシステムやネットワークへのステルスで永続的なアクセスを取得します。 これらの攻撃により、特定の被害者を標的にすることから、接続されたネットワークに対する無差別攻撃まで、さまざまな操作が可能になります。
多くのソフトウェア開発および配布チャネルには十分な保護がないため、ほとんどのネットワークおよびコンピューターでのサイバーセキュリティ体制の改善により、ソフトウェアサプライチェーン攻撃ベクトルはますます魅力的になっています。 ソフトウェアサプライチェーン攻撃は、スパイ活動だけでなく、データを操作または破壊するためにも使用でき、将来の攻撃のためにアクセスを検出するのが困難になります。

ソフトウェアの整合性

ソフトウェアサプライチェーン攻撃は、セキュリティ更新を依存しているソフトウェアプロバイダーに対する消費者の信頼を損なうため、潜行性です。 ライフサイクルの開発および配布段階でソフトウェアがマルウェアで汚染されていると、検出が困難になります。 場合によっては、攻撃者はソフトウェアコードがコンパイルされて署名される前にマルウェアを挿入し、標準のセキュリティ署名の背後にマルウェアを埋め込み、ウイルス対策ユーティリティによる検出の可能性を減らします。 他の例では、攻撃者はソフトウェアのリリースとアップグレードのための本物のアップデートとパッチを通して悪意のあるコードを注入しました。

ソフトウェア整合性プロトコル
•コード署名：署名されたコードには、ソフトウェアが開発者によって承認され、その後変更されていないことを確認する、信頼できる暗号的に安全なインジケーターが含まれています。
•ハッシュ：ソフトウェアを配布する開発者は、ハッシュアルゴリズムによって生成された固有の情報文字列を提供することがよくあります。 ユーザーは同じアルゴリズムを適用して、ソフトウェアが変更されていないことを確認できます。

…窃取の標的
•悪意のある攻撃者は、これらのセキュリティ署名の生成に使用される暗号化キーを盗んだり、ソフトウェアが完成、署名、またはハッシュされる前に開発プロセスを危険にさらしたりする可能性があります。

• 2020年7月、連邦大陪審は、中国国家安全保障省（MSS）と協力して、知的財産と機密ビジネス情報を標的としたグローバルなコンピューター侵入キャンペーンを行った2人のハッカーを起訴しました。
• 2020年10月、連邦大陪審は、サイバー犯罪でロシアの軍事諜報機関の6人のメンバーを起訴しました。これには、銀行、商業、公益事業、物流を不自由にし、世界中で数十億ドルの損害をもたらした2017年のNotPetya攻撃が含まれます。
• 2020年12月に発見された、SolarWinds Orionインフラストラクチャ監視プラットフォームのソースコードの侵害は、これまでに米国に影響を与えた最も損害を与えるソフトウェアサプライチェーンの侵害です。調査は進行中ですが、米国政府と主要な商用サイバーセキュリティ企業は、このAdvanced Persistent Threat（APT）がロシア起源である可能性が高いと特定しています。
• 2021年2月、連邦大陪審は、ソフトウェアサプライチェーン攻撃によってサポートされる暗号通貨スキームを含むサイバー犯罪で3人の北朝鮮のコンピュータープログラマーを起訴しました。

注：ここに含まれる情報は、このトピックのパブリックドメインで見つかった最も信頼できる情報源を表しています。 入手可能な場合は、国土安全保障省CERT、FBI、認められた商業情報源、および評判の良い技術ニュース機関からの文書が使用されました。

投稿者: 二本松 哲也

SPbD:Security&Privacy by Design Founder ー OWASP Member ー ITは人々の生活をあらゆる面でより良い方向に変化させること ー 競争原理から共創原理へ 二本松 哲也 のすべての投稿を表示