Lo que debe saber
El riesgo asociado a la cadena de suministro de software se ha convertido en una de las principales preocupaciones para las empresas del sector privado y los organismos públicos de cualquier tamaño. La razón principal de este riesgo creciente es el gran número de paquetes y bibliotecas de código abierto que se utilizan. Por ejemplo, GitHub, una plataforma en línea que gestiona software para terceros, alberga más de 200 millones de repositorios de software. Además, JavaScript y Python, dos lenguajes de programación muy utilizados, cuentan con más de un millón de paquetes entre ambos.
Ante la demanda de un desarrollo rápido de software, los paquetes y las bibliotecas de código abierto se han convertido en componentes fundamentales que permiten esta rápida implementación. Sin embargo, el seguimiento y la catalogación de este proceso son limitados. Se sabe muy poco sobre hasta qué punto los desarrolladores y los proveedores de software utilizan estos paquetes. No existe ninguna base de datos que indique qué empresas utilizan qué componentes de software. Es posible que las propias empresas ni siquiera sean conscientes de la variedad de programas informáticos que utilizan para sus operaciones empresariales fundamentales.
El reto consiste en encontrarlo
La clave para reducir el riesgo de su organización consiste en identificar y corregir o mitigar cualquier implementación afectada lo antes posible. Sin embargo, el reto radica en aplicar parches a bibliotecas de código abierto de terceros de uso generalizado, como cURL, y localizar todas las instancias en las que se utilizan en toda la empresa.
CURL, al igual que otras bibliotecas de código abierto, es código fuente que los proveedores de software deben compilar y que puede distribuirse de diversas formas, desde su integración estática en su programa hasta su uso como recursos enlazados dinámicamente. A los escáneres de vulnerabilidades tradicionales les resulta difícil (o, en muchos casos, imposible) detectar este tipo de dependencias. Por lo tanto, para identificarlos es necesario adoptar un enfoque multifacético.
¿Cómo puede ayudar Tanium SBOM?
La Lista de materiales de software (SBOM) de Tanium, al combinarse con Tanium Asset, ofrece la posibilidad de identificar las bibliotecas de terceros asociadas a los paquetes de software. Tanium SBOM es una funcionalidad adicional que funciona tanto con Asset como con Comply.
Mediante el uso de un único agente de Tanium, Tanium SBOM ofrece visibilidad en tiempo real de entornos de software complejos, lo que permite a las organizaciones tomar decisiones mejor fundamentadas en materia de gestión de riesgos en los terminales.
Una vez configurado Tanium SBOM, dispondrá de información detallada sobre todas las aplicaciones de software de su entorno y sobre la presencia de paquetes vulnerables. Basta con que formule una pregunta a Tanium SBOM y obtendrá una respuesta de todo su entorno en cuestión de segundos, a gran escala.
Cómo utilizar Tanium SBOM para solucionar la vulnerabilidad de cURL
Actualmente, Tanium SBOM admite el análisis de los siguientes ecosistemas: Java, JavaScript, Python, PHP, Ruby y binarios de GoLang. Hay algunos pasos adicionales que debe seguir para instalar y configurar el contenido de la SBOM.
Con Tanium, podrá:
- Comprender cada componente de software en tiempo de ejecución, identificando los paquetes de software y examinando todos los componentes que los conforman sin depender del proveedor del software. Puede analizar archivos de clientes «thick» e inspeccionar entornos de clientes «thin».
- Solucione las vulnerabilidades o los errores de configuración detectados en dichos componentes.
- Tome medidas para mitigar el riesgo dejando de utilizar el dispositivo afectado, cerrando los procesos pertinentes o incluso eliminando por completo las aplicaciones de los terminales afectados.
La plataforma Tanium Converged Endpoint Management (XEM) puede identificar y solucionar vulnerabilidades como la de cURL en la actualidad, y preparar mejor a su organización para futuras vulnerabilidades en la cadena de suministro.
Puede encontrar más información, incluido el artículo « : Cómo puede ayudar Tanium con la vulnerabilidad CVE-2023-38545 de cURL»
