El año pasado se publicaron más de 20,000 vulnerabilidades y exposiciones comunes (CVE) en la Base de Datos Nacional de Vulnerabilidades (NVD). Esto supone un aumento del 10 % con respecto a 2020 y representa un nuevo máximo histórico por quinto año consecutivo. Gestionar los riesgos cibernéticos asociados a estos errores supondría un reto incluso en las mejores circunstancias. Sin embargo, la situación se está complicando aún más a medida que las organizaciones amplían sus inversiones digitales y aceleran sus proyectos de software de desarrollo propio.
Tal y como explica Tim Morris, estratega tecnológico de Tanium, en un nuevo vídeo, la clave para gestionar esta complejidad creciente de la cadena de suministro —y defenderse de los ataques a la cadena de suministro de software — consiste en obtener una visibilidad completa de lo que se está ejecutando y, a continuación, el control necesario para solucionar cualquier problema.
¿En qué consiste la gestión de la cadena de suministro de software?
Las cadenas de suministro son un canal esencial para la fabricación de los productos que consumimos a diario. Ya se trate de unos vaqueros nuevos o de un frasco de aspirina, siempre habrá una lista de ingredientes o materiales facilitada por los proveedores. A primera vista, el software no es diferente. El software se compone de componentes básicos, y dichos componentes son creados por los distintos desarrolladores, equipos y empresas que conforman la cadena de suministro de software. Sin embargo, a diferencia de la mayoría de los productos manufacturados, es poco probable que las organizaciones que utilizan software dispongan de una lista de componentes facilitada por sus proveedores.
De hecho, las cadenas de suministro de software se están volviendo cada vez más complejas, a medida que un número creciente de equipos de DevOps se propone desarrollar productos de forma interna utilizando código abierto de terceros. Si bien esto acelera la obtención de valor, genera una mayor opacidad y podría exponer a la organización a riesgos adicionales. No tiene más que consultar la utilidad Log4j . Cuando los errores se ocultan en «muñecas rusas» de archivos comprimidos, resulta más difícil detectar y corregir las vulnerabilidades CVE en todo el entorno cuando salen a la luz.
Todo esto resulta muy atractivo para los autores de amenazas. El código abierto ha ampliado considerablemente la superficie de ataque de las empresas, lo que les brinda más oportunidades tanto para aprovechar los errores conocidos del código como para introducir otros nuevos en las bibliotecas de código. Pero eso no es todo. Los atacantes también están intensificando sus esfuerzos para comprometer software propietario de confianza. Por ejemplo, esto es lo que ocurrió con SolarWinds.
La seguridad de la cadena de suministro comienza por identificar los componentes que hay dentro de los componentes
Todo esto está ocurriendo en los dispositivos finales, lo que convierte a estos en la nueva primera línea de batalla contra los riesgos cibernéticos. El reto radica en que los equipos de seguridad actuales no solo deben saber qué aplicaciones se están ejecutando en estos dispositivos en todo momento, sino también qué componentes se utilizan dentro de dichas aplicaciones. ¿Y si, por ejemplo, hubiera un error oculto en uno de estos componentes? ¿O tal vez el propio componente se haya configurado incorrectamente y ahora corra el riesgo de verse comprometido?
Esto también se produce en el contexto de un entorno de dispositivos finales que ha crecido considerablemente desde la época anterior a la pandemia. Gracias al auge de los dispositivos para el teletrabajo y a las inversiones en la nube, la superficie de ataque nunca ha sido tan amplia. Y a los malos les basta con tener suerte una sola vez.
Es hora de pasar a la acción
¿En qué consisten, pues, las mejores prácticas en materia de gestión de riesgos para la cadena de suministro de software? Todo se reduce a los principios fundamentales de la ciberhigiene: conocer, gestionar y proteger. Las organizaciones no pueden proteger lo que no gestionan, y no pueden gestionar lo que desconocen. El primer paso consiste en obtener visibilidad de lo que se está ejecutando a través de , un inventario exhaustivo de activos (se abre en una nueva pestaña) y la gestión de la configuración.
Tanium contribuye a ello proporcionando esta información de forma continua, con rapidez y a gran escala, lo que permite a los equipos realizar consultas sobre su entorno, analizar en profundidad el contenido de las aplicaciones y tomar medidas inmediatas si algo no va bien. Esta visibilidad integral también permite llevar a cabo el tipo de respuesta a incidentes en tiempo real que simplemente no es posible con herramientas como la detección y respuesta ampliadas (XDR). Si los delincuentes actúan en cuestión de segundos y minutos, no podemos permitirnos responder a los incidentes días después.
Obtenga una visión global de su situación de riesgo con nuestra evaluación de riesgos gratuita. Solicite hoy mismo su informe de riesgos. (se abre en una nueva pestaña)
