Los expertos en seguridad advierten de un aumento interanual del 430% en los ataques dirigidos directamente a los componentes de código abierto con el fin de infectar de forma encubierta las principales cadenas de suministro de software.
Desde Sonatype nos hablarán en CISO Day 2020 de la importancia del DevSecOps y la gestión de OSS
Se registraron 929 ataques entre julio de 2019 y mayo de 2020, según el informe anual de Sonatype sobre el estado de la cadena de suministro de software. El estudio se compiló a partir del análisis de 24.000 proyectos de código abierto y 15.000 organizaciones de desarrollo, junto con entrevistas a 5600 desarrolladores de software.
El objetivo de los componentes de código abierto por parte de los agentes maliciosos es preocupante debido a su popularidad entre los equipos de DevOps para acelerar el tiempo de comercialización. Según el informe, se proyectan 1,5 billones de solicitudes de descarga de componentes en 2020 en todos los principales ecosistemas de código abierto. Se cree que los repositorios Node.js (npm) y Python (PyPI) se encuentran entre los objetivos más comunes de los atacantes, ya que el código malicioso se puede activar fácilmente durante la instalación de los paquetes.
Este tipo de ataque a la cadena de suministro de software es posible porque en el mundo del código abierto es más difícil discriminar entre los actores buenos y malos, y debido a la naturaleza interconectada de los proyectos, afirmó Sonatype. En este último punto, los proyectos de código abierto pueden tener cientos o miles de dependencias de otros proyectos que pueden contener vulnerabilidades conocidas que pueden ser explotadas.
En 2019, más del 10% de las descargas mundiales de OSS de Java tenían al menos una vulnerabilidad de código abierto, y los nuevos fallos se explotaban en estado salvaje a los tres días de su divulgación pública, según el informe.
Hoy en día, el 90% de los componentes de una aplicación son de código abierto y el 11% de ellos se sabe que contienen vulnerabilidades.
El director general de Sonatype, Wayne Jackson, estableció una distinción entre los ataques de «próxima generación» y los ataques a la cadena de suministro de software «heredado», en los que los atacantes van tras las vulnerabilidades de los productos tan pronto como se revelan antes de que las organizaciones tengan tiempo de remediarlas.»Nuestra investigación muestra que los equipos de ingeniería comercial están acelerando su capacidad de responder a las nuevas vulnerabilidades de día cero«, dijo. «Por lo tanto, no debería sorprender que los ataques a la cadena de suministro de próxima generación hayan aumentado un 430%, ya que los adversarios están desplazando sus actividades ‘hacia arriba’ donde pueden infectar un único componente de código abierto que tiene el potencial de ser distribuido ‘hacia abajo’ donde puede ser estratégica y secretamente explotado«.
Los equipos de desarrollo capaces de mitigar estos riesgos tienen más probabilidades de utilizar herramientas de análisis de composición de software (SCA) automatizadas a lo largo del ciclo de vida del dispositivo, y de mantener centralmente una lista de materiales de software (SBOM) para las aplicaciones, según el informe.
