Tấn công chuỗi cung ứng: 9 ví dụ và phòng thủ

Title thẻ: Ví dụ về Tấn công Chuỗi Cung ứng: Hướng dẫn Đầy đủ (2013–2024) Mô tả meta: Tìm hiểu về tấn công chuỗi cung ứng và khám phá 9 ví dụ điển hình từ SolarWinds đến XZ Utils, với các cơ chế tấn công, dữ liệu tác động tài chính và các chiến lược phòng thủ.

Cú sốc nguồn cung là gì và ý nghĩa của nó đối với an ninh mạng

Cuộc tấn công mạng tốn kém nhất trong lịch sử ghi nhận không bắt đầu bằng việc hacker xâm nhập vào mạng lưới chính phủ. Nó bắt đầu bằng một bản cập nhật phần mềm. Một chương trình kế toán được hàng nghìn doanh nghiệp ở Ukraine sử dụng đã lặng lẽ cung cấp mã độc, thứ đã lan rộng khắp các mạng lưới doanh nghiệp toàn cầu chỉ trong vài giờ, cuối cùng gây ra thiệt hại ước tính 10 tỷ USD. Cuộc tấn công đó, NotPetya, là một trong chín ví dụ điển hình về tấn công chuỗi cung ứng mà hướng dẫn này trình bày chi tiết, bao gồm tác nhân, cơ chế và tác động tài chính đã được ghi nhận cho mỗi cuộc tấn công.

Hiểu về những sự cố này bắt đầu từ một khái niệm trong kinh tế học: cú sốc cung. Cú sốc cung là sự gián đoạn đột ngột, bất ngờ đối với nguồn cung của một sản phẩm hoặc dịch vụ, gây ra hiệu ứng lan tỏa đến tất cả những ai phụ thuộc vào nó. Những ví dụ điển hình là các lệnh cấm vận dầu mỏ và thiên tai. Những sự kiện này bắt nguồn từ một điểm duy nhất trong mạng lưới cung ứng nhưng gây ra thiệt hại liên hoàn cho hàng ngàn người tiêu dùng hạ nguồn, những người không đóng vai trò gì trong sự gián đoạn ban đầu.

Các cuộc tấn công chuỗi cung ứng an ninh mạng hoạt động như một dạng cú sốc cung ứng kỹ thuật số. Kẻ tấn công xâm nhập vào một nhà cung cấp phần mềm hoặc thành phần phần cứng đáng tin cậy ở thượng nguồn, và thiệt hại sẽ tự động lan truyền đến mọi tổ chức cài đặt phần mềm đó, tin tưởng nhà cung cấp đó hoặc phụ thuộc vào thành phần đó. Nạn nhân không hề làm gì sai. Các hệ thống phòng thủ của chính họ đã bị vượt qua hoàn toàn. Cuộc tấn công đã khai thác chuỗi cung ứng chứ không phải mục tiêu. Giống như một lệnh cấm vận dầu mỏ có thể làm tê liệt các ngành công nghiệp chưa từng tiếp xúc với nhà máy lọc dầu, một bản cập nhật phần mềm bị xâm nhập có thể tàn phá các tổ chức chưa từng tương tác với kẻ tấn công.

Hướng dẫn này cung cấp một bức tranh toàn cảnh: tấn công chuỗi cung ứng là gì, cơ chế hoạt động của chúng, mọi sự cố lớn có tên tuổi từ năm 2013 đến năm 2024 với dữ liệu tác động được định lượng, ai là người thực hiện và tại sao, cũng như những gì các tổ chức và nhà phát triển có thể làm để giảm thiểu rủi ro.

Tấn công chuỗi cung ứng là gì?

Tấn công chuỗi cung ứng là một cuộc tấn công mạng gây tổn hại cho một tổ chức một cách gián tiếp bằng cách nhắm mục tiêu vào một nhà cung cấp Bên thứ ba đáng tin cậy, thành phần phần mềm hoặc phần cứng trong chuỗi cung ứng của tổ chức đó. Kẻ tấn công chèn mã độc hoặc cửa hậu vào phần mềm hoặc phần cứng hợp pháp ở các giai đoạn trước đó, khiến nạn nhân vô tình tự đưa mối đe dọa vào hệ thống thông qua các quy trình cập nhật hoặc mua sắm thông thường. Các biện pháp kiểm soát bảo mật của chính nạn nhân bị bỏ qua vì cuộc tấn công xuất phát từ một nguồn đáng tin cậy.

Chuỗi cung ứng phần mềm bao gồm mọi thành phần, thư viện và quy trình liên quan đến việc xây dựng và phân phối một sản phẩm phần mềm. Điều này bao gồm các phần phụ thuộc mã nguồn của bên thứ ba, các thư viện mã nguồn mở, cơ sở hạ tầng xây dựng, máy chủ cập nhật và chương trình cơ sở phần cứng. Bất kỳ yếu tố nào trong số này cũng có thể trở thành một điểm xâm nhập.

Sự khác biệt then chốt giữa tấn công chuỗi cung ứng và tấn công mạng trực tiếp là vị trí mà kẻ tấn công nhắm tới. Trong một cuộc tấn công trực tiếp, kẻ tấn công nhắm mục tiêu vào các hệ thống, ứng dụng hoặc người dùng của chính nạn nhân và phải vượt qua các biện pháp kiểm soát bảo mật của tổ chức đó. Trong một cuộc tấn công chuỗi cung ứng, kẻ tấn công nhắm vào một nhà cung cấp mà nạn nhân đã tin tưởng, từ đó bỏ qua hoàn toàn các biện pháp kiểm soát đó. Một nhà cung cấp bị xâm nhập có thể gây nguy hại cho hàng nghìn tổ chức hạ nguồn cùng lúc.

Vi phạm dữ liệu là một kết quả, không phải là một phương thức tấn công. Các cuộc tấn công chuỗi cung ứng có thể gây ra vi phạm dữ liệu, nhưng không phải mọi vụ vi phạm dữ liệu đều liên quan đến việc xâm nhập chuỗi cung ứng. Không phải tất cả các cuộc tấn công chuỗi cung ứng đều dẫn đến đánh cắp dữ liệu: NotPetya gây ra sự phá hủy thay vì trích xuất dữ liệu trái phép.

Cách thức hoạt động của Tấn công chuỗi cung ứng

Các cuộc tấn công chuỗi cung ứng tuân theo một mô hình nhất quán: kẻ tấn công xâm nhập một nhà cung cấp đáng tin cậy thay vì nhắm trực tiếp vào tổ chức nạn nhân. Cuộc tấn công được thực hiện thông qua các kênh phân phối phần mềm, cập nhật hoặc mua sắm phần cứng thông thường.

Vòng đời tấn công: Từng bước

1. Kẻ tấn công xác định một nhà cung cấp hoặc thành phần phần mềm đáng tin cậy mà mục tiêu sử dụng
2. Kẻ tấn công giành quyền truy cập vào hệ thống build, kho mã nguồn hoặc máy chủ cập nhật của nhà cung cấp
3. Mã độc được chèn vào phần mềm hoặc phần cứng hợp pháp trước khi phân phối
4. Nhà cung cấp phân phối sản phẩm đã bị xâm nhập thông qua các kênh thông thường, đáng tin cậy của mình
5. Tổ chức mục tiêu cài đặt bản cập nhật hoặc triển khai thành phần này, từ đó đưa mối đe dọa vào môi trường
6. Kẻ tấn công sử dụng bàn đạp đã thiết lập để di chuyển ngang, thực hiện gián điệp hoặc triển khai các tải trọng phá hoại

Phân loại Vector Tấn công

Cập nhật Phần mềm Bị Chèn Mã Độc

Một bản cập nhật bị cài mã độc Trojan đặc biệt nguy hiểm vì nó vượt qua hầu hết mọi biện pháp kiểm soát an ninh tiêu chuẩn. Bản cập nhật này đến từ một nhà cung cấp mà tổ chức vốn đã tin tưởng, mang theo chứng chỉ ký mã kỹ thuật số hợp lệ, vượt qua các đợt quét diệt virus và bảo mật điểm cuối, và người dùng tự nguyện cài đặt nó như một phần của hoạt động bảo trì định kỳ. Không một ai trong tổ chức mục tiêu làm sai điều gì cả.

Một sự cố hệ thống build nhắm vào quy trình biên dịch tự động chuyển mã nguồn thành phần mềm thực thi. Kẻ tấn công chiếm quyền truy cập vào môi trường build của nhà cung cấp và chèn mã độc trong quá trình biên dịch. Gói phần mềm được tạo ra trông giống hệt phiên bản hợp pháp. Một quy trình CI/CD (Tích hợp Liên tục/Triển khai Liên tục) bị xâm phạm ở giai đoạn này sẽ lan truyền mã độc vào mọi bản phát hành phần mềm sau đó, ngay cả khi mã nguồn gốc vẫn sạch. Đây là lý do tại sao ngay cả việc kiểm tra mã nguồn kỹ lưỡng kho lưu trữ mã nguồn cũng không tiết lộ cuộc tấn công.

Hãy nghĩ theo cách này: hãy tưởng tượng một nhà cung cấp dược phẩm âm thầm thay thế một loại thuốc hợp pháp bằng một phiên bản bị nhiễm bẩn trước khi vận chuyển. Bệnh viện tiếp nhận và quản lý loại thuốc đó không làm gì sai cả. Cuộc tấn công đã khai thác chuỗi cung ứng, chứ không phải bệnh viện.

SolarWinds, CCleaner và ASUS ShadowHammer đều tuân theo mô hình này. Trong mỗi trường hợp, những kẻ tấn công đã xâm nhập vào cơ sở hạ tầng xây dựng của nhà cung cấp thay vì nhắm trực tiếp vào các tổ chức mục tiêu.

Các cuộc tấn công vào kho đăng ký gói mã nguồn mở

Các kho lưu trữ gói công khai là một trong những bề mặt tấn công tích cực nhất trong chuỗi cung ứng phần mềm. Điều này bao gồm npm dành cho JavaScript, PyPI dành cho Python, RubyGems dành cho Ruby, NuGet dành cho .NET và Maven dành cho Java. Riêng kho lưu trữ npm đã chứa hơn hai triệu gói. Một gói phổ biến bị xâm phạm duy nhất có thể lan truyền mã độc vào hàng triệu ứng dụng.

Ba kiểu tấn công khác nhau nhắm vào hệ sinh thái này. Trong tấn công đạo nhái (typosquatting), kẻ tấn công đăng ký một gói phần mềm với tên gần giống hệt một gói hợp pháp phổ biến (ví dụ: lodahs thay vì lodash) với hy vọng lừa những nhà phát triển thiếu cẩn trọng. Trong nhầm lẫn phụ thuộc (dependency confusion), kẻ tấn công sử dụng tên giống hệt tên gói nội bộ riêng của một tổ chức mục tiêu trên kho lưu trữ công khai. Các hệ thống biên dịch kiểm tra kho lưu trữ công khai trước kho lưu trữ riêng sẽ tự động tải về phiên bản độc hại. Trong tiêm gói phần mềm độc hại (malicious package injection), một gói phần mềm hợp pháp bị xâm phạm sau khi xuất bản, bằng cách đánh cắp thông tin xác thực của người bảo trì hoặc thông qua tấn công kỹ thuật xã hội vào dự án.

Nhầm lẫn phụ thuộc lần đầu được nhà nghiên cứu bảo mật Alex Birsan trình diễn công khai trên quy mô lớn vào năm 2021, người đã thực thi mã lệnh thành công trong các quy trình xây dựng của Apple, Microsoft, PayPal và 35 công ty lớn khác bằng kỹ thuật này. Cuộc tấn công thành công không phải do lỗi, mà là do cách các trình quản lý gói giải quyết xung đột tên giữa các kho lưu trữ công khai và riêng tư.

Về Log4Shell: Log4Shell (CVE-2021-44228), lỗ hổng bảo mật nghiêm trọng được phát hiện vào tháng 12 năm 2021 trong thư viện ghi nhật ký Java Apache Log4j, thường được mô tả là một cuộc tấn công chuỗi cung ứng. Thực tế không phải vậy. Log4Shell là một lỗ hổng phần mềm không cố ý. Không có kẻ tấn công nào chèn nó vào cơ sở mã Log4j. Sự nhầm lẫn phát sinh vì sự hiện diện của Log4j như một phần phụ thuộc trong hàng nghìn sản phẩm phần mềm khiến việc xác định tất cả các hệ thống bị ảnh hưởng trở nên giống như một vấn đề kiểm toán chuỗi cung ứng. Mô hình mối đe dọa là khác nhau: các cuộc tấn công chuỗi cung ứng liên quan đến mã độc hại do kẻ tấn công cố ý chèn vào, trong khi Log4Shell là một lỗi vô tình mà kẻ tấn công sau đó đã khai thác.

Compromise và Di chuyển ngang trong MSP

Nhà cung cấp dịch vụ được quản lý (MSP) là một công ty quản lý cơ sở hạ tầng, bảo mật và hệ thống CNTT của tổ chức khách hàng từ xa. MSP thường được các doanh nghiệp nhỏ và vừa sử dụng do thiếu đội ngũ CNTT nội bộ. Việc chiếm quyền kiểm soát một MSP mang lại cho kẻ tấn công quyền truy cập quản trị đồng thời vào tất cả khách hàng của MSP đó, biến các MSP thành vector tấn công nhân bội lực với khả năng lan rộng không cân xứng xuống hạ nguồn. CISA Advisory AA22-131A đặc biệt cảnh báo các MSP rằng họ là mục tiêu ưu tiên cao.

Sau khi xâm nhập vào bất kỳ mạng nào thông qua một bản cập nhật giả mạo hoặc thành phần phụ thuộc bị xâm phạm, kẻ tấn công thường sử dụng các kỹ thuật di chuyển ngang. Các kỹ thuật này khai thác thông tin đăng nhập hợp lệ và các đường dẫn truy cập mạng để chuyển từ hệ thống ban đầu bị xâm phạm sang các mục tiêu nhạy cảm hơn. Trong vụ tấn công SolarWinds, APT29 đã sử dụng backdoor SUNBURST làm điểm xâm nhập ban đầu, sau đó di chuyển ngang sang các hệ thống email và kho lưu trữ dữ liệu nhạy cảm trên các cơ quan chính phủ.

Các ví dụ lớn về tấn công chuỗi cung ứng

Bảng sau đây tóm tắt các ví dụ điển hình nhất về các cuộc tấn công chuỗi cung ứng từ năm 2013 đến năm 2024, được sắp xếp theo tác nhân, vectơ và tác động đã được ghi nhận.

Vụ vi phạm dữ liệu Target (2013)

Target (2013) — một nhóm tội phạm đã giành được quyền truy cập vào mạng lưới điểm bán hàng của Target bằng cách trước tiên xâm nhập vào Fazio Mechanical Services, một nhà thầu HVAC và điện lạnh bên thứ ba nắm giữ thông tin xác thực mạng để truy cập từ xa vào các hệ thống của Target.

Vụ xâm nhập dữ liệu của Target là ví dụ sớm nhất được nghiên cứu rộng rãi về mô hình tấn công chuỗi cung ứng. Những kẻ tấn công không trực tiếp vượt qua các hệ thống phòng thủ vòng ngoài của Target. Chúng đã lấy được thông tin đăng nhập từ một nhà cung cấp dịch vụ HVAC nhỏ, sử dụng những thông tin đó để truy cập vào mạng lưới của Target thông qua một đường truy cập hợp lệ, sau đó thực hiện di chuyển ngang sang các hệ thống điểm bán hàng (POS) chuyên xử lý dữ liệu thẻ thanh toán.

Kết quả là dữ liệu thẻ thanh toán của khoảng 40 triệu khách hàng và dữ liệu cá nhân của khoảng 110 triệu người đã bị đánh cắp. Tổng chi phí của Target từ vụ vi phạm này đã vượt quá ước tính 200 triệu đô la cho các khoản bồi thường, phí pháp lý và khắc phục. Vụ tấn công đã thiết lập một khuôn mẫu mà các vụ tấn công sau này đã tinh chỉnh: xâm phạm một nhà cung cấp đáng tin cậy có quyền truy cập vào mục tiêu thực sự, sau đó sử dụng quyền truy cập đó làm điểm đột nhập. Các cuộc điều tra của Cơ quan Mật vụ Hoa Kỳ và Bộ Tư pháp đã xác nhận con đường thông qua nhà cung cấp bên thứ ba là vectơ xâm nhập.

Vụ Tấn công Chuỗi Cung ứng SolarWinds (2020)

SolarWinds (2020) — APT29 (Cozy Bear), được cho là của Cơ quan Tình báo Đối ngoại Nga SVR, đã xâm nhập quy trình xây dựng của nền tảng giám sát CNTT Orion, chèn cửa hậu SUNBURST vào một bản cập nhật phần mềm thông thường được tải xuống bởi khoảng 18.000 khách hàng của SolarWinds.

SolarWinds được xem rộng rãi là vụ tấn công chuỗi cung ứng mạng nghiêm trọng nhất trong lịch sử. Orion là một nền tảng giám sát CNTT được triển khai rộng rãi, được sử dụng trong các cơ quan chính phủ Hoa Kỳ và các tập đoàn lớn. Những kẻ tấn công đã chèn backdoor SUNBURST vào quy trình xây dựng phần mềm, nghĩa là mã độc đã được biên dịch trực tiếp vào gói cập nhật Orion hợp pháp, được ký bằng chứng chỉ SolarWinds hợp lệ và phân phối qua các kênh cập nhật chính thức.

Trong số khoảng 18.000 tổ chức đã tải xuống bản cập nhật bị cài mã độc trojan, những kẻ tấn công đã chọn ra các mục tiêu có giá trị cao để thực hiện hành vi khai thác thứ cấp. Các mục tiêu này bao gồm Bộ Tài chính, Bộ Thương mại, Bộ An ninh Nội địa và Bộ Ngoại giao Hoa Kỳ, cũng như Microsoft, FireEye và các công ty công nghệ lớn khác. Vụ xâm nhập đã không bị phát hiện trong khoảng chín tháng trước khi FireEye phát hiện ra khi đang điều tra một điểm bất thường trong hệ thống của chính họ.

APT29 đã sử dụng điểm tựa SUNBURST làm điểm truy cập ban đầu, sau đó di chuyển ngang hàng qua các mạng bị xâm nhập để tiếp cận hệ thống email và các thông tin liên lạc nhạy cảm. Hoạt động này được đánh giá là một chiến dịch gián điệp thay vì một cuộc tấn công mang tính phá hoại. Phản ứng của chính phủ Hoa Kỳ, được điều phối thông qua CISA Advisory AA20-352A, bao gồm các chỉ thị khẩn cấp ảnh hưởng đến tất cả các cơ quan dân sự liên bang.

NotPetya (2017)

NotPetya (2017) — Sandworm, được cho là do cơ quan tình báo quân đội GRU của Nga (Đơn vị 74455) thực hiện, đã chèn mã độc vào bản cập nhật phần mềm cho M.E.Doc, một ứng dụng kế toán của Ukraine được phần lớn các doanh nghiệp đang hoạt động tại Ukraine sử dụng.

NotPetya không phải là ransomware. Nó hiển thị một thông báo đòi tiền chuộc, nhưng đó chỉ là chiêu trò đánh lạc hướng. Mã độc đã ghi đè lên Bản ghi khởi động chính (MBR) của các hệ thống bị nhiễm và khiến chúng không thể phục hồi vĩnh viễn. Đây là một phần mềm xóa dữ liệu mang tính hủy diệt được thiết kế để gây thiệt hại tối đa, không có cơ chế thanh toán thực tế nào. Vẻ ngoài giống như đòi tiền chuộc nhằm mục đích che giấu nguồn gốc tấn công trong giai đoạn ứng phó ban đầu.

Vectơ lây nhiễm ban đầu là bản cập nhật M.E.Doc, nhưng NotPetya chênh lệch giá nhanh chóng vượt ra ngoài Ukraine thông qua lỗ hổng EternalBlue và sự lây lan qua mạng, trở thành một thảm họa toàn cầu chỉ trong vài giờ. Tổng thiệt hại ước tính khoảng 10 tỷ USD trên toàn thế giới, khiến nó trở thành cuộc tấn công mạng có sức tàn phá lớn nhất trong lịch sử xét về tác động tài chính. Các nạn nhân được nêu tên bao gồm gã khổng lồ vận tải Maersk (thiệt hại khoảng 300 triệu USD; công ty đã phải cài đặt lại 45.000 máy tính cá nhân và 4.000 máy chủ từ đầu), nhà sản xuất dược phẩm Merck, FedEx/TNT Express, và Mondelez International. Nhiều tổ chức trong số này không có mối liên hệ trực tiếp với Ukraine và là những nạn nhân gián tiếp bị ảnh hưởng thông qua kết nối mạng toàn cầu.

Cuộc tấn công được ghi lại chi tiết trong cuộc điều tra hồi cứu của Wired và được Hoa Kỳ, Vương quốc Anh và Úc quy kết cho Sandworm. Sandworm khác biệt với APT29/Cozy Bear: họ hoạt động dưới các cơ quan tình báo Nga khác nhau (GRU so với SVR) với các nhiệm vụ hoạt động khác nhau.

Cuộc tấn công Kaseya VSA (2021)

Kaseya VSA (2021) — REvil, một nhóm tội phạm mạng theo mô hình ransomware dưới dạng dịch vụ (RaaS) không có liên kết với bất kỳ quốc gia nào, đã khai thác một lỗ hổng zero-day trong Kaseya VSA để đồng loạt đẩy các bản cập nhật độc hại đến các khách hàng MSP.

Kaseya VSA là một nền tảng quản lý và giám sát từ xa được các Nhà cung cấp Dịch vụ được Quản lý (MSP) sử dụng rộng rãi. REvil, một nhóm tội phạm có động cơ tài chính, đã xác định được bề mặt tấn công của MSP và khai thác nó trên quy mô lớn. Bằng cách xâm nhập nền tảng VSA, REvil có thể đẩy các bản cập nhật độc hại có vẻ như bắt nguồn từ MSP đáng tin cậy tới tất cả các tổ chức khách hàng tuyến dưới cùng một lúc.

Kết quả: khoảng 60 nhà cung cấp dịch vụ quản lý (MSP) đã bị xâm phạm, và thông qua họ, khoảng 1.500 doanh nghiệp trực thuộc đã bị tấn công bằng ransomware (phần mềm độc hại mã hóa dữ liệu của nạn nhân và yêu cầu thanh toán để có khóa giải mã). REvil đòi 70 triệu đô la Bitcoin để cung cấp công cụ giải mã phổ quát. Vụ tấn công minh họa rõ ràng logic nhân sức mạnh của việc nhắm mục tiêu vào MSP: một nền tảng bị xâm phạm đã tiếp cận hàng trăm tổ chức trong một hoạt động duy nhất. Cảnh báo CISA AA21-200B) cung cấp phân tích kỹ thuật đầy đủ.

Tấn công chuỗi cung ứng Codecov (2021)

Codecov (2021) — một kẻ tấn công chưa được xác định đã can thiệp trái phép vào tập lệnh Codecov Bash Uploader, một công cụ báo cáo độ bao phủ mã nguồn được tích hợp trong các quy trình CI/CD của hàng nghìn tổ chức, và sử dụng nó để trích xuất các biến môi trường bao gồm thông tin xác thực và các mã thông báo API.

Codecov là một dịch vụ phân tích độ bao phủ mã nguồn (code coverage) được các nhóm phát triển phần mềm sử dụng để theo dõi độ bao phủ kiểm thử. Kẻ tấn công đã sửa đổi tập lệnh Bash Uploader mà các tổ chức tải xuống và thực thi như một phần của quy trình xây dựng tự động. Do tập lệnh chạy bên trong môi trường CI/CD, nó có quyền truy cập trực tiếp vào các biến môi trường chứa thông tin xác thực, token và khóa truy cập kho lưu trữ.

Vụ xâm nhập này đã không bị phát hiện trong khoảng hai tháng trước khi Codecov phát hiện ra nó vào tháng 4 năm 2021. Trong số các tổ chức bị ảnh hưởng có Twilio, HashiCorp và Confluent, những đơn vị đã tiết lộ rằng thông tin xác thực của họ đã bị lộ. Cuộc tấn công này thể hiện một vectơ chuỗi cung ứng đặc thù cho CI/CD: thay vì xâm phạm sản phẩm phần mềm cuối cùng, những kẻ tấn công nhắm mục tiêu vào các công cụ mà các tổ chức sử dụng để xây dựng và kiểm thử phần mềm. Cuộc tấn công này nằm ở điểm giao thoa giữa việc xâm phạm quy trình xây dựng và hành vi trộm thông tin xác thực, thể hiện một mẫu hình riêng biệt so với các vectơ phân phối cập nhật được sử dụng trong vụ SolarWinds và CCleaner.

Vụ Tấn Công Chuỗi Cung Ứng CCleaner (2017)

CCleaner (2017) — nhóm AXIOM, được cho là do nhóm tin tặc được chính phủ Trung Quốc bảo trợ thực hiện, đã xâm nhập vào môi trường xây dựng của Piriform (nhà phát triển CCleaner) và chèn mã độc Floxif vào trình cài đặt CCleaner chính thống được phân phối qua các kênh chính thức.

CCleaner là một tiện ích tối ưu hóa PC phổ biến với hàng triệu người dùng cá nhân và doanh nghiệp. Cuộc tấn công đã chứng minh rằng các vụ xâm phạm chuỗi cung ứng không chỉ giới hạn ở phần mềm doanh nghiệp. Khoảng 2,27 triệu người dùng đã tải xuống phiên bản bị nhiễm trojan trước khi vụ xâm phạm được phát hiện.

Cuộc tấn công có giai đoạn thứ hai: một payload được nhắm mục tiêu đã được cấu hình sẵn để chỉ kích hoạt trên các hệ thống thuộc về khoảng 40 công ty công nghệ cao, bao gồm Cisco, Intel, Samsung và Sony. Đối với phần lớn người dùng bị ảnh hưởng, phần mềm độc hại thu thập dữ liệu một cách thụ động. Đối với các công ty công nghệ bị nhắm mục tiêu, nó là một cuộc xâm nhập nghiêm trọng vào các mạng nhạy cảm. Bản phân tích của Cisco Talos) về cơ sở hạ tầng lệnh và kiểm soát của CCleaner đã cung cấp bản phân tích kỹ thuật chi tiết đầy đủ đầu tiên về cuộc tấn công.

ASUS ShadowHammer (2019)

ASUS ShadowHammer (2019) — Nhóm BARIUM, bị cáo buộc là tin tặc do nhà nước Trung Quốc bảo trợ, đã xâm phạm tiện ích Live Update của ASUS và phân phối một phiên bản chứa mã độc ẩn, được ký bằng chứng chỉ số hợp pháp của ASUS qua các máy chủ cập nhật chính thức của ASUS.

Cuộc tấn công này cho thấy một hệ lụy quan trọng đối với niềm tin kỹ thuật số: các chứng chỉ ký mã hợp pháp không thể được tin cậy làm bằng chứng về tính toàn vẹn của phần mềm nếu chính cơ sở hạ tầng ký mã đã bị xâm phạm. Bản cập nhật ASUS bị trojan hóa mang chứng chỉ ASUS hợp lệ và được phân phối thông qua cơ chế cập nhật chính thức của ASUS, vượt qua mọi quy trình kiểm tra xác minh tiêu chuẩn. Khoảng 500.000 người dùng ASUS đã nhận được bản cập nhật chứa mã độc.

Những kẻ tấn công không quan tâm đến toàn bộ 500.000 người dùng. Mã độc đã được cấu hình sẵn để chỉ kích hoạt trên các hệ thống có khoảng 600 địa chỉ MAC cụ thể, cho thấy thông tin tình báo trước đó về các mục tiêu cụ thể. Chiến dịch được phát hiện và ghi nhận bởi đội ngũ nghiên cứu của Kaspersky (Securelist)) vào năm 2019.

Các cuộc tấn công chuỗi cung ứng phần cứng và firmware mang lại một mối lo ngại đặc biệt: những sửa đổi được thực hiện ở cấp độ firmware sẽ vẫn tồn tại sau khi cài đặt lại hệ điều hành và không thể bị phát hiện bởi các công cụ bảo mật dựa trên phần mềm.

Cuộc tấn công chuỗi cung ứng 3CX (2023)

3CX (2023) — Lazarus Group, được cho là thuộc Tổng cục Trinh sát (RGB) của Triều Tiên, đã thực hiện cuộc tấn công chuỗi cung ứng trên chuỗi cung ứng đầu tiên được xác nhận công khai, xâm nhập vào môi trường xây dựng của 3CX thông qua một lỗ hổng chuỗi cung ứng trước đó của phần mềm Trading Technologies.

Máy tính cá nhân của một nhân viên 3CX đã bị xâm nhập thông qua một trình cài đặt bị gắn mã độc trojan của Trading Technologies X_TRADER, một nền tảng giao dịch tài chính. Bản thân trình cài đặt Trading Technologies đó đã bị Lazarus Group xâm nhập chuỗi cung ứng trong một chiến dịch trước đó. Máy tính của nhân viên bị xâm nhập đã cấp cho những kẻ tấn công quyền truy cập vào môi trường xây dựng của 3CX, nơi chúng sử dụng để chèn phần mềm độc hại vào 3CX Desktop App, một nền tảng liên lạc VoIP được sử dụng bởi hơn 600.000 công ty và 12 triệu người dùng hàng ngày trên toàn thế giới.

Cuộc tấn công đã nhắm mục tiêu không tương xứng vào các công ty trong lĩnh vực tài chính. Vì sự cố xâm nhập 3CX bản thân nó là hệ quả hạ nguồn của một cuộc tấn công chuỗi cung ứng trước đó, đây là trường hợp đầu tiên được xác nhận về một cuộc tấn công chuỗi cung ứng kích hoạt một cuộc tấn công chuỗi cung ứng thứ hai. Hệ quả thực tế: các tổ chức hiện nay không chỉ cần cân nhắc xem các nhà cung cấp trực tiếp của họ có an toàn hay không, mà còn phải xem liệu các nhà cung cấp của chính nhà cung cấp của họ có bị xâm phạm hay không. Toàn bộ phân tích kỹ thuật chi tiết được trình bày trong phân tích sự cố của Mandiant.

XZ Utils Backdoor (2024)

XZ Utils (2024) — hoạt động dưới vỏ bọc giả mạo "Jia Tan", trong một hoạt động mà các nhà nghiên cứu bảo mật đánh giá là của quốc gia dựa trên các chỉ số hành vi, dù chưa có xác nhận công khai về thủ phạm cụ thể, một đối tượng chưa xác định đã dành khoảng hai năm để xâm nhập dự án mã nguồn mở XZ Utils trước khi chèn một cửa hậu nhắm vào cơ chế xác thực SSH trên các hệ thống Linux.

XZ Utils là một thư viện nén dữ liệu hoạt động như một cơ sở hạ tầng vô hình trên hàng triệu máy chủ Linux. Đây không phải là một ứng dụng dành cho người dùng cuối, mà là loại phần mềm nền tảng mà các phần mềm khác phụ thuộc vào một cách âm thầm. Một kẻ tấn công hoạt động dưới danh nghĩa "Jia Tan" đã bắt đầu đóng góp mã nguồn hợp lệ, chất lượng cao cho dự án XZ Utils vào năm 2022, từ đó xây dựng uy tín và cuối cùng giành được quyền commit thông qua quá trình tương tác bền bỉ với người duy trì dự án.

Đầu năm 2024, "Jia Tan" đã cài cắm một cửa hậu vào XZ Utils phiên bản 5.6.0 và 5.6.1. Cửa hậu này được thiết kế để xâm phạm cơ chế xác thực SSH trên các bản phân phối Linux bị ảnh hưởng, có khả năng cho phép kẻ tấn công truy cập từ xa vào bất kỳ máy chủ nào đang chạy phiên bản thư viện bị ảnh hưởng. SSH là giao thức quản trị từ xa chính cho các máy chủ Linux trên toàn thế giới, khiến phạm vi ảnh hưởng tiềm tàng trở nên đáng kể.

Lỗ hổng bảo mật đã bị phát hiện trước khi triển khai trên diện rộng bởi Andres Freund, một kỹ sư Microsoft. Ông nhận thấy mức tiêu thụ CPU bất thường và hiệu suất SSH suy giảm trong quá trình làm việc thông thường, từ đó truy tìm ra nguồn gốc. Phát hiện của ông, được công bố vào tháng 3 năm 2024, đã ngăn chặn một vụ tấn công chuỗi cung ứng có thể ảnh hưởng đến hàng triệu máy chủ. Khuyến nghị OpenSSF (CVE-2024-3094) cung cấp đầy đủ thông tin kỹ thuật.

Tại sao các cuộc tấn công chuỗi cung ứng lại nguy hiểm đến vậy

Các cuộc tấn công chuỗi cung ứng rất khó phát hiện và ngăn chặn vì chúng khai thác sự tin tưởng của các tổ chức dành cho nhà cung cấp phần mềm của họ, thay vì nhắm vào các lỗ hổng trong chính hệ thống của tổ chức đó. Có bốn yếu tố làm gia tăng thách thức trong việc phát hiện.

Phần mềm độc hại đến từ một nguồn đáng tin cậy: một nhà cung cấp mà tổ chức mục tiêu đã ủy quyền chứng chỉ, tên miền và cơ sở hạ tầng cập nhật của họ. Các bản cập nhật bị cài cắm mã độc thường mang các chứng chỉ ký mã số hợp lệ được cấp cho nhà cung cấp hợp pháp, do đó quá trình xác minh chứng chỉ diễn ra suôn sẻ. Các công cụ diệt virus và phát hiện điểm cuối có thể không cảnh báo phần mềm được ký bởi nhà cung cấp đáng tin cậy và phân phối qua các kênh chính thức. Những kẻ tấn công tinh vi cũng cố tình trì hoãn các hoạt động thực tế sau khi truy cập ban đầu để tránh kích hoạt tính năng phát hiện bất thường. APT29 đã hoạt động bên trong các mạng bị SolarWinds xâm phạm trong khoảng chín tháng trước khi bị phát hiện, một khoảng thời gian tồn tại (dwell time) minh họa rõ ràng khoảng cách có thể kéo dài giữa thời điểm xâm phạm và thời điểm phát hiện.

Các cuộc tấn công chuỗi cung ứng đã gia tăng về tần suất và mức độ tinh vi trong thập kỷ qua. Các báo cáo về Bối cảnh Đe dọa của ENISA ghi nhận xu hướng tăng trưởng bền vững, với các cuộc tấn công chuỗi cung ứng được xác định là danh mục mối đe dọa hàng đầu đối với các lĩnh vực cơ sở hạ tầng quan trọng. Sự leo thang này có thể thấy rõ trong lịch sử: vụ tấn công CCleaner năm 2017 ảnh hưởng đến 2,27 triệu người dùng cá nhân; chiến dịch SolarWinds năm 2020 xâm phạm hơn 100 cơ quan chính phủ Hoa Kỳ; vụ suýt xảy ra với XZ Utils năm 2024 nhắm vào cơ sở hạ tầng Linux cốt lõi được sử dụng bởi hàng triệu máy chủ trên toàn cầu. Tham vọng tấn công đã tăng lên đáng kể qua mỗi chu kỳ.

Hậu quả tài chính tương xứng với quy mô đó. NotPetya gây thiệt hại ước tính 10 tỷ USD trên toàn cầu, riêng Maersk báo cáo khoản lỗ khoảng 300 triệu USD. Vụ tấn công Kaseya đã tạo ra yêu cầu đòi tiền chuộc 70 triệu USD từ 1.500 doanh nghiệp bị ảnh hưởng. Phản ứng của chính phủ Hoa Kỳ đối với vụ SolarWinds tiêu tốn hàng trăm triệu USD cho việc khắc phục và đầu tư tăng cường an ninh. Các tổ chức chính phủ và khu vực công (SolarWinds), các công ty dịch vụ tài chính (3CX), các công ty công nghệ (mục tiêu tấn công giai đoạn hai của CCleaner), và các nhà khai thác cơ sở hạ tầng trọng yếu trên các lĩnh vực ưu tiên do CISA chỉ định đều đã trở thành mục tiêu. Không ngành nào phụ thuộc vào phần mềm hoặc dịch vụ được quản lý từ bên thứ ba nằm ngoài phạm vi bị ảnh hưởng.

Ai thực hiện các cuộc tấn công chuỗi cung ứng

Các cuộc tấn công chuỗi cung ứng được thực hiện bởi hai loại tác nhân đe dọa riêng biệt: các nhóm Tấn công có chủ đích (APT) của quốc gia và các tổ chức tội phạm có động cơ tài chính.

Mối đe dọa dai dẳng nâng cao (APT) là một tác nhân đe dọa tinh vi, có nguồn lực dồi dào, thường là một cơ quan tình báo quốc gia hoặc đơn vị mạng quân sự, tiến hành các chiến dịch xâm nhập kéo dài, có mục tiêu với các mục tiêu chiến lược cụ thể. Các APT ưa thích các cuộc tấn công chuỗi cung ứng vì một lần xâm nhập từ nguồn cung cấp ban đầu có thể cung cấp quyền truy cập đồng thời tới hàng trăm hoặc hàng nghìn mục tiêu giá trị cao, tối đa hóa lợi tức tình báo của một hoạt động đơn lẻ đồng thời giảm thiểu rủi ro bị phát hiện. Việc quy kết hoạt động của APT mang tính xác suất, dựa trên các dấu hiệu pháp y bao gồm trùng lặp mã, các mẫu cơ sở hạ tầng và thời điểm hoạt động thay vì bằng chứng trực tiếp.

Các nhóm quốc gia liên quan đến các cuộc tấn công chuỗi cung ứng đã được ghi nhận bao gồm: APT29 (Cozy Bear), được cho là thuộc Cơ quan Tình báo Đối ngoại SVR của Nga, đơn vị đã thực hiện chiến dịch SolarWinds; Sandworm, được cho là thuộc cơ quan tình báo quân đội GRU của Nga, đơn vị đã thực hiện NotPetya thông qua M.E.Doc; Lazarus Group, được cho là thuộc Tổng cục Trinh sát của Triều Tiên, đơn vị đã thực hiện cuộc tấn công 3CX; nhóm BARIUM, được cho là thuộc các hoạt động do nhà nước Trung Quốc bảo trợ, đơn vị đã thực hiện ASUS ShadowHammer; và nhóm AXIOM, cũng được cho là thuộc các hoạt động do nhà nước Trung Quốc bảo trợ, đơn vị đã thực hiện cuộc tấn công CCleaner. BARIUM và AXIOM là các nhóm riêng biệt mặc dù cả hai đều được cho là có nguồn gốc từ Trung Quốc.

Không phải tất cả các cuộc tấn công chuỗi cung ứng đều là hoạt động của nhà nước. Vụ tấn công Kaseya VSA được thực hiện bởi REvil, một tổ chức tội phạm mạng nói tiếng Nga cung cấp dịch vụ ransomware dưới dạng dịch vụ, không có liên kết với nhà nước. Các nhóm tội phạm có động cơ tài chính đã áp dụng các kỹ thuật chuỗi cung ứng bởi vì việc xâm phạm một Nhà cung cấp Dịch vụ Quản lý (MSP) duy nhất sẽ gửi mã độc tống tiền đến hàng trăm tổ chức khách hàng trong một hoạt động, làm tăng đáng kể lợi nhuận so với việc nhắm mục tiêu vào từng nạn nhân riêng lẻ.

Cách phòng chống các cuộc tấn công chuỗi cung ứng

Phòng chống các cuộc tấn công chuỗi cung ứng đòi hỏi bạn phải mở rộng chương trình bảo mật của mình ra ngoài hệ thống của chính mình để bao quát các nhà cung cấp, thành phần phần mềm và cơ sở hạ tầng mà tổ chức của bạn phụ thuộc vào. Mục tiêu không phải là xây dựng một vành đai hoàn hảo, mà là giảm thiểu phạm vi ảnh hưởng khi một nhà cung cấp đáng tin cậy bị xâm phạm.

Danh sách kiểm tra phòng thủ cho doanh nghiệp và tổ chức

• Triển khai chính sách Danh mục thành phần phần mềm (SBOM) cho tất cả phần mềm mà tổ chức của bạn thu mua hoặc xây dựng, để bạn có thể xác định các thành phần bị ảnh hưởng khi một sự cố xâm phạm chuỗi cung ứng được tiết lộ
• Kiểm tra các thực hành bảo mật của nhà cung cấp Bên thứ ba trước khi thu mua và trên cơ sở hàng năm, sử dụng các bảng câu hỏi tiêu chuẩn hóa phù hợp với NIST SP 800-161r1
• Yêu cầu nhà cung cấp cung cấp các SBOM hiện tại cho tất cả các sản phẩm phần mềm đi vào môi trường của bạn, như một phần của quá trình thu mua và ký kết hợp đồng
• Áp dụng các nguyên tắc kiến trúc zero trust: thực thi quyền truy cập tối thiểu cho tất cả phần mềm và dịch vụ, triển khai phân đoạn mạng vi mô để ngăn chặn sự di chuyển ngang, và xác minh liên tục thay vì tin tưởng vào vị trí mạng
• Giám sát các hành vi bất thường trong phần mềm từ các nhà cung cấp đáng tin cậy, vì các sai lệch hành vi so với các đường cơ sở đã biết có thể cho thấy một bản cập nhật bị xâm phạm ngay cả khi các chữ ký là hợp lệ
• Xem xét các chứng chỉ bảo mật của nhà cung cấp (SOC 2 Type II, ISO 27001) và bao gồm các yêu cầu bảo mật rõ ràng cũng như nghĩa vụ thông báo vi phạm trong hợp đồng với nhà cung cấp
• Tuân thủ hướng dẫn bảo mật chuỗi cung ứng của CISA) và triển khai khung NIST SP 800-161r1 (C-SCRM) để mở rộng việc quản lý rủi ro của bạn sang các nhà cung cấp Bên thứ ba
• Duy trì kế hoạch ứng phó sự cố bao gồm cụ thể các trường hợp phần mềm Bên thứ ba bị xâm phạm, bao gồm các quy trình cách ly khẩn cấp phần mềm bị ảnh hưởng trong toàn bộ môi trường của bạn

Danh mục thành phần phần mềm (SBOM) là gì?

Một Danh sách Vật liệu Phần mềm (SBOM) là một kho lưu trữ có thể đọc bằng máy về tất cả các thành phần, thư viện và các phụ thuộc có trong một sản phẩm phần mềm. Phép loại suy chức năng tương tự như nhãn dinh dưỡng cho phần mềm: nơi nhãn dinh dưỡng liệt kê các thành phần và số lượng, SBOM liệt kê mọi thư viện mã nguồn mở, thành phần bên thứ ba và phụ thuộc trực tiếp được sử dụng để xây dựng một ứng dụng, cùng với số phiên bản và thông tin cấp phép.

SBOM đóng vai trò quan trọng đối với bảo mật chuỗi cung ứng vì nó trả lời câu hỏi mà các tổ chức thường gặp khó khăn trong quá trình xảy ra sự cố: "Chúng ta có bị ảnh hưởng không?". Khi vụ việc SolarWinds được tiết lộ, các tổ chức không có danh mục phần mềm đã phải kiểm tra thủ công mọi hệ thống để xác định xem họ có đang chạy Orion hay không. Trong khi đó, các tổ chức có SBOM cập nhật có thể truy vấn trực tiếp danh mục của họ. Logic tương tự cũng được áp dụng trong sự cố suýt xảy ra với XZ Utils: việc biết được máy chủ nào đang chạy phiên bản thư viện nào chính là sự khác biệt giữa vài giờ phản hồi và vài tuần bất định.

[Sắc lệnh Hành pháp 14028 về Cải thiện An ninh mạng Quốc gia] (https://www.whitehouse.gov/briefing-room/presidential-actions/2021/05/12/executive-order-on-improving-the-nations-cybersecurity/) (được ký vào tháng 5 năm 2021, nhằm trực tiếp đáp trả vụ tấn công SolarWinds) đã yêu cầu các nhà cung cấp phần mềm bán cho chính phủ liên bang Hoa Kỳ cung cấp SBOM. [CISA đã công bố hướng dẫn triển khai SBOM] (https://www.cisa.gov/sbom) cho cả nhà sản xuất và người dùng. Các công cụ bao gồm SPDX, CycloneDX và Syft có thể tự động tạo SBOM từ hầu hết các cơ sở mã và hình ảnh container.

Kiến trúc Tin cậy Tuyệt đối và Phòng thủ Chuỗi cung ứng

Kiến trúc "không tin cậy tuyệt đối" giảm thiểu thiệt hại mà một cuộc tấn công chuỗi cung ứng có thể gây ra bằng cách áp dụng nguyên tắc "không bao giờ tin cậy, luôn xác minh" cho mọi yêu cầu truy cập, bao gồm cả các yêu cầu từ phần mềm dường như đến từ các nhà cung cấp đáng tin cậy. Các cuộc tấn công chuỗi cung ứng thành công chủ yếu bằng cách khai thác sự tin cậy ngầm. Kiến trúc "không tin cậy tuyệt đối" loại bỏ sự tin cậy ngầm đó khỏi phương trình.

Ba biện pháp kiểm soát trực tiếp liên quan nhất đến phòng thủ chuỗi cung ứng là: quyền truy cập tối thiểu (hạn chế những gì bất kỳ phần mềm nào bị xâm phạm có thể truy cập trong mạng của bạn, để một bản cập nhật chứa backdoor không thể truy cập các hệ thống nằm ngoài phạm vi hợp lệ của nó); phân đoạn mạng vi mô (ngăn chặn sự di chuyển ngang để kẻ tấn công giành được điểm yếu ban đầu không thể lan truyền tự do); và giám sát hành vi liên tục (phát hiện hoạt động bất thường từ phần mềm đáng tin cậy ngay cả khi lượt truy cập ban đầu đã vượt qua phát hiện dựa trên chữ ký).

Zero Trust là một triết lý bảo mật và mô hình kiến trúc, không phải là một sản phẩm phần mềm để mua. Các tài liệu tham khảo chính thức và có thẩm quyền bao gồm Mô hình trưởng thành Zero Trust của CISA và NIST SP 800-207.

Danh sách kiểm tra phòng thủ cho Nhà phát triển và DevOps

Các nhà phát triển và kỹ sư DevOps có quyền kiểm soát trực tiếp đối với các bề mặt tấn công thường xuyên bị nhắm mục tiêu nhất trong các cuộc tấn công chuỗi cung ứng mã nguồn mở. Những hành động này giúp giảm thiểu mức độ tiếp xúc của quy trình của bạn:

• Ghim và khóa phiên bản phụ thuộc trong tất cả các tệp kê khai gói (package-lock.json, requirements.txt, Gemfile.lock) để một phiên bản độc hại mới được xuất bản không thể được tải về tự động trong lần xây dựng tiếp theo
• Cấu hình hệ thống xây dựng của bạn để ưu tiên các kho lưu trữ riêng tư hơn các kho lưu trữ công khai và đặt trước tất cả các không gian tên gói nội bộ trên các kho lưu trữ công khai để ngăn chặn các cuộc tấn công gây nhầm lẫn phụ thuộc
• Chạy quét phụ thuộc tự động trong mỗi lần xây dựng bằng các công cụ như Dependabot, OWASP Dependency-Check, hoặc Snyk để gắn cờ các gói đã biết là có lỗ hổng hoặc đáng ngờ trước khi chúng đến tay người dùng cuối
• Tạo SBOM cho mỗi bản phát hành bằng CycloneDX hoặc Syft, và lưu trữ nó cùng với các tạo tác xây dựng của bạn để bạn có một kho kiểm kê thành phần có thể kiểm toán cho mỗi phiên bản được triển khai
• Yêu cầu cam kết được ký và thực thi các quy tắc bảo vệ nhánh trên quy trình xây dựng chính của bạn để ngăn chặn mã trái phép đi vào quy trình xây dựng
• Kiểm toán các gói của bên thứ ba trước khi thêm chúng: kiểm tra lịch sử xuất bản của người bảo trì, số lượt tải xuống, hoạt động của kho lưu trữ và liệu gói có được chuyển giao cho chủ sở hữu mới gần đây hay không

An ninh chuỗi cung ứng: Yêu cầu quy định và tuân thủ

Nhiều khung pháp lý quan trọng hiện nay yêu cầu rõ ràng các tổ chức phải giải quyết rủi ro bảo mật chuỗi cung ứng như một phần của nghĩa vụ an ninh mạng. Những yêu cầu này đã chuyển từ dạng hướng dẫn sang bắt buộc, phần lớn là do hậu quả từ cuộc tấn công SolarWinds.

Khung pháp lý Hoa Kỳ

Tại Hoa Kỳ, yếu tố thúc đẩy pháp lý chính là Sắc lệnh Hành pháp 14028 về Cải thiện An ninh mạng Quốc gia, được Tổng thống Biden ký vào ngày 12 tháng 5 năm 2021, phản hồi trực tiếp đối với cuộc tấn công SolarWinds và sự cố Kaseya VSA. Sắc lệnh 14028 quy định rằng các nhà cung cấp phần mềm bán cho chính phủ liên bang Hoa Kỳ phải cung cấp Danh mục Thành phần Phần mềm (SBOM) cho các sản phẩm của họ. Sắc lệnh này chỉ đạo NIST xây dựng các hướng dẫn về an ninh chuỗi cung ứng và CISA triển khai các tiêu chuẩn SBOM. Quy định bắt buộc này áp dụng cho các nhà cung cấp cung ứng cho chính phủ liên bang. Nó không trực tiếp yêu cầu SBOM từ tất cả các tổ chức thuộc khu vực tư nhân, mặc dù các tiêu chuẩn mà nó tạo ra đã được áp dụng rộng rãi như những yêu cầu mua sắm trong bối cảnh doanh nghiệp.

Tham chiếu tiêu chuẩn kỹ thuật chính là NIST SP 800-161r1 ("Các thực hành Quản lý rủi ro chuỗi cung ứng an ninh mạng cho Hệ thống và Tổ chức"), tài liệu này mở rộng các khung quản lý rủi ro an ninh mạng tiêu chuẩn để bao quát rõ ràng các nhà cung cấp là Bên thứ ba, các bên bán và các thành phần phần mềm. C-SCRM (Quản lý rủi ro chuỗi cung ứng mạng) theo NIST SP 800-161r1 yêu cầu các tổ chức thực hiện đánh giá rủi ro bên bán, xác minh nguồn gốc phần mềm, bắt buộc có SBOM trong hoạt động mua sắm và duy trì các kế hoạch ứng phó sự cố có tính đến các thỏa hiệp từ Bên thứ ba. Ấn phẩm của CISA "Phòng chống các cuộc tấn công chuỗi cung ứng phần mềm" cung cấp hướng dẫn triển khai khả thi phù hợp với các yêu cầu của EO 14028.

Khung pháp lý của EU

Các tổ chức Châu Âu phải đối mặt với các yêu cầu song song theo hai khuôn khổ. Chỉ thị NIS2 (Chỉ thị An ninh Mạng và Thông tin 2) yêu cầu các tổ chức trong các lĩnh vực trọng yếu, bao gồm năng lượng, giao thông vận tải, y tế và cơ sở hạ tầng kỹ thuật số, phải giải quyết các rủi ro an ninh chuỗi cung ứng như một phần của nghĩa vụ quản lý rủi ro an ninh mạng bắt buộc của họ. DORA (Đạo luật về Khả năng phục hồi hoạt động kỹ thuật số) áp dụng cho các tổ chức thuộc lĩnh vực tài chính tại EU và bao gồm các yêu cầu chi tiết về quản lý rủi ro từ nhà cung cấp dịch vụ ICT bên thứ ba, trực tiếp giải quyết các vectơ tấn công chuỗi cung ứng. ENISA (Cơ quan An ninh Mạng Liên minh Châu Âu) đóng vai trò là nguồn thẩm quyền chính cho các tổ chức EU, tương đương với vai trò của CISA tại Hoa Kỳ.

Tóm tắt Tham chiếu Quy định

Câu hỏi thường gặp về Tấn công Chuỗi Cung ứng

Tấn công chuỗi cung ứng là gì?

Một cuộc tấn công chuỗi cung ứng nhắm mục tiêu vào một tổ chức một cách gián tiếp bằng cách xâm phạm nhà cung cấp, thành phần phần mềm hoặc yếu tố phần cứng đáng tin cậy của bên thứ ba. Kẻ tấn công chèn mã độc vào thượng nguồn để nạn nhân vô tình đưa mối đe dọa vào thông qua các bản cập nhật phần mềm hoặc quy trình mua sắm phần cứng thông thường. Không yêu cầu lỗ hổng bảo mật nào trong hệ thống của chính nạn nhân. Cuộc tấn công thành công vì nó đến qua một kênh mà nạn nhân đã ủy quyền trước đó.

Các ví dụ về tấn công chuỗi cung ứng là gì?

Các ví dụ tiêu biểu nhất về tấn công chuỗi cung ứng từ năm 2013 đến 2024:

• SolarWinds (2020): Cửa sau (backdoor) SUNBURST được chèn vào các bản cập nhật Nền tảng Orion; tiếp cận khoảng 18.000 khách hàng bao gồm hơn 100 cơ quan chính phủ Hoa Kỳ
• NotPetya (2017): Phần mềm xóa dữ liệu (wiper) có tính hủy diệt được phân phối thông qua các bản cập nhật phần mềm kế toán M.E.Doc; gây thiệt hại toàn cầu ước tính khoảng 10 tỷ USD
• Kaseya VSA (2021): Nhóm REvil đã sử dụng lỗ hổng zero-day của VSA để phát tán mã độc tống tiền (ransomware) đến hơn 1.500 doanh nghiệp thông qua các nhà cung cấp dịch vụ được quản lý (MSP) bị xâm nhập
• XZ Utils (2024): Chiến dịch thao túng tâm lý (social engineering) kéo dài hai năm suýt chút nữa đã chèn được cửa sau SSH vào cơ sở hạ tầng Linux trên toàn thế giới
• CCleaner (2017): Mã độc Floxif đã tiếp cận 2,27 triệu người dùng; giai đoạn thứ hai nhắm vào 40 công ty công nghệ lớn
• ASUS ShadowHammer (2019): Bản cập nhật firmware có chứa cửa sau được ký bằng chứng chỉ ASUS hợp lệ đã tiếp cận 500.000 người dùng
• 3CX (2023): Cuộc tấn công chuỗi cung ứng trên chuỗi cung ứng đầu tiên được xác nhận; tiếp cận hơn 600.000 công ty thông qua nhóm Lazarus

Tấn công chuỗi cung ứng hoạt động như thế nào?

Tấn công chuỗi cung ứng diễn ra theo một trình tự có thể lặp lại:

1. Kẻ tấn công chọn một nhà cung cấp đáng tin cậy hoặc một thành phần phụ thuộc phần mềm mà mục tiêu dựa vào
2. Kẻ tấn công chiếm quyền truy cập vào môi trường xây dựng, kho mã nguồn hoặc cơ sở hạ tầng cập nhật của nhà cung cấp đó
3. Mã độc được chèn vào phần mềm hợp pháp trước khi nó được phân phối
4. Nhà cung cấp phân phối sản phẩm bị xâm phạm thông qua các kênh thông thường, đáng tin cậy của họ
5. Mục tiêu cài đặt bản cập nhật, mang mối đe dọa vào bên trong ranh giới của mình
6. Kẻ tấn công kích hoạt điểm xâm nhập để gián điệp, đánh cắp dữ liệu hoặc triển khai các payload phá hoại

Cuộc tấn công chuỗi cung ứng nổi tiếng nhất là gì?

Cuộc tấn công SolarWinds (2020) được coi là cuộc tấn công mạng chuỗi cung ứng quan trọng nhất trong lịch sử. APT29, được cho là thuộc Cơ quan tình báo SVR của Nga, đã chèn backdoor SUNBURST vào các bản cập nhật của SolarWinds Orion, tiếp cận khoảng 18.000 khách hàng, bao gồm hơn 100 cơ quan chính phủ Hoa Kỳ. Vụ xâm nhập không bị phát hiện trong khoảng chín tháng và trực tiếp dẫn đến Sắc lệnh Hành pháp 14028 về Cải thiện An ninh mạng Quốc gia.

Tại sao các cuộc tấn công chuỗi cung ứng lại nguy hiểm đến vậy?

Các cuộc tấn công chuỗi cung ứng mang lại rủi ro chồng chất vì bốn lý do. Phần mềm độc hại đến từ nhà cung cấp mà tổ chức đã tin tưởng, vượt qua các biện pháp phòng thủ biên mà không khai thác bất kỳ lỗ hổng nào trong hệ thống của chính mục tiêu. Các bản cập nhật chứa mã độc Trojan có chữ ký số hợp lệ, vượt qua kiểm tra chứng chỉ. Các công cụ diệt virus có thể không gắn cờ phần mềm đã ký và được nhà cung cấp phân phối. Những kẻ tấn công tinh vi ẩn mình sau khi truy cập ban đầu để tránh kích hoạt phát hiện bất thường về hành vi. Hoạt động SolarWinds tồn tại mà không bị phát hiện trong chín tháng. Một nhà cung cấp bị xâm phạm có thể tiếp cận hàng nghìn tổ chức hạ nguồn, làm gia tăng tác động của một lần xâm nhập đơn lẻ vượt xa những gì các cuộc tấn công trực tiếp thường đạt được.

Các cuộc tấn công chuỗi cung ứng có đang gia tăng không?

Các cuộc tấn công chuỗi cung ứng đã gia tăng về tần suất và mức độ tinh vi trong thập kỷ qua. Các báo cáo Cảnh quan mối đe dọa hàng năm của ENISA ghi nhận các cuộc tấn công chuỗi cung ứng là một hạng mục mối đe dọa bền vững và ngày càng tăng, với khối lượng tấn công tăng lên hàng năm. Quỹ đạo này thể hiện rõ qua chính các sự cố: từ vụ tấn công Target năm 2013 do một nhà thầu HVAC nhỏ gây ra, đến chiến dịch gián điệp SolarWinds năm 2020 ảnh hưởng đến chính phủ Hoa Kỳ, và vụ suýt xảy ra với XZ Utils năm 2024 nhắm vào hạ tầng cốt lõi của Linux. Các nhóm tội phạm có động cơ tài chính cũng đã áp dụng các phương pháp chuỗi cung ứng, như vụ tấn công Kaseya đã cho thấy: một Nền tảng MSP bị xâm phạm duy nhất đã tiếp cận hàng trăm tổ chức khách hàng chỉ trong vài giờ.

Các tổ chức có thể phòng thủ như thế nào trước các cuộc tấn công chuỗi cung ứng?

Các tổ chức có thể giảm thiểu rủi ro bị tấn công chuỗi cung ứng thông qua các hành động sau:

• Triển khai chính sách Danh mục Vật liệu Phần mềm (SBOM) để duy trì danh sách đầy đủ các thành phần phần mềm và xác định các hệ thống bị ảnh hưởng khi có sự cố bị tiết lộ
• Yêu cầu các nhà cung cấp cung cấp SBOM và chứng minh các chứng nhận bảo mật hiện tại (SOC 2, ISO 27001) như điều kiện mua sắm
• Áp dụng các nguyên tắc kiến trúc Zero Trust: truy cập với quyền tối thiểu, phân đoạn mạng nhỏ và giám sát hành vi liên tục
• Giám sát phần mềm từ các nhà cung cấp đáng tin cậy để phát hiện các bất thường về hành vi, chứ không chỉ dựa trên các chỉ báo dựa trên chữ ký
• Tuân theo hướng dẫn bảo mật chuỗi cung ứng của CISA và căn chỉnh quy trình đánh giá rủi ro nhà cung cấp với NIST SP 800-161r1 (C-SCRM)
• Duy trì kế hoạch ứng phó sự cố bao gồm rõ ràng các sự cố phần mềm của bên thứ ba

Ghi chú xuất bản: (1) Triển khai sơ đồ dữ liệu có cấu trúc FAQPage trên phần Câu hỏi thường gặp và sơ đồ Article trên toàn bộ trang để tối đa hóa khả năng đủ điều kiện cho các tính năng Mọi người cũng bán và kết quả phong phú. (2) Các trích dẫn bên ngoài trong bài viết này liên kết đến CISA, NIST, Mandiant, Kaspersky/Securelist, Wired, OpenSSF và Cisco Talos như những nguồn có thẩm quyền. (3) Các liên kết nội bộ dẫn đến nội dung an ninh mạng liên quan trên trang web này (hướng dẫn tấn công bằng mã độc tống tiền, tài liệu giải thích kiến trúc zero trust, tài liệu triển khai SBOM, hướng dẫn quản lý rủi ro nhà cung cấp, tổng quan về các tác nhân đe dọa APT) nên được đội ngũ xuất bản thêm vào trước khi triển khai. Chỉ mục trang web không chứa các bài viết về an ninh mạng đã được lập chỉ mục tại thời điểm viết bài, vì vậy việc đặt liên kết nội bộ yêu cầu sự xem xét thủ công của đội ngũ biên tập.