Wir haben in letzter Zeit eine Zunahme von Schadsoftware erlebt, die in Open-Source-Bibliotheken eingeschleust wurde, insbesondere um die Software-Lieferkette ins Visier zu nehmen. Dazu gehören Angriffe auf Axios, LiteLLM, CanisterWorm, Elementary Data, SAP’s Cloud Application Programming Model, @TanStack und Intercom. Und das sind nur einige der größeren Angriffe in den letzten 40 Tagen. Obwohl diese Angriffe branchenweit zu erheblicher Verunsicherung, Schäden und Kosten geführt haben (die durchschnittlichen Kosten einer Datenschutzverletzung werden auf 4,4 Millionen US-Dollar geschätzt), waren Chainguard-Kunden vollständig geschützt. Dieser Beitrag erklärt, warum das so ist und wie wir unsere Kunden weiterhin mit der besten und sichersten verfügbaren Lieferkette schützen.

Building from Source

Chainguard stellt Open-Source-Abhängigkeiten bereit, die in unserer sicheren, kontrollierten Umgebung aus dem Quellcode erstellt werden.

Diese einfache Aussage bietet die bestmögliche Verteidigungsschicht gegen Malware-Injektionen. In dieser jüngsten Welle von Lieferkettenangriffen war ein häufiger Angriffsvektor die Einführung von Binärartefakten ohne entsprechenden Quellcode. Schädliche Binärdateien werden in das Paket selbst, in dessen Abhängigkeitskette oder in die Publishing-Pipeline eingeschleust. Aufgrund des standardmäßigen Vertrauens in die allgemeine Open-Source-Lieferkette werden diese Binärdateien – die alles Mögliche tun können – automatisch auf Laptops, Servern und der Infrastruktur von Anwendern hinzugefügt, wo sie verheerende Schäden anrichten können. Unsere Forschung zeigt, dass über 98 % der Schadsoftware keinen öffentlich verifizierbaren Quellcode aufweist. Durch das Erstellen aus dem Quellcode stellen wir sicher, dass von Chainguard erstellte Pakete vor Malware geschützt sind. Wenn Quellcode veröffentlicht wird, kann er von der Community überprüft, von Chainguard erstellt und den Umgebungen unserer Kunden zur Verfügung gestellt werden.

Diese Aussage ist zwar einfach, aber die Umsetzung ist schwierig. Chainguard hat seine jahrelange Erfahrung in der Erstellung sicherer, vertrauenswürdiger Container-Images im großen Stil genutzt, um dieses Problem zu lösen. Nur dank unserer maßgeschneiderten, KI-gestützten Factory sind wir in der Lage, Millionen von Paketen von Millionen verschiedener Entwickler und Communities neu zu erstellen, die jeweils unterschiedliche Bau- und Kompilierungsmethoden verwenden. Eine besondere Herausforderung besteht darin, den Commit oder Release zu identifizieren, der einem veröffentlichten Artefakt entspricht, da dieser Prozess nicht standardisiert ist und für Entwickler oft eine geringe Priorität hat. Diese Verknüpfungen herstellen zu können, ist jedoch erforderlich, um die Upstream-Artefakte selbst aus dem Quellcode zu reproduzieren.

Mit Chainguard Libraries verlassen sich Kunden auf ein einziges, kontrolliertes, auditierbares System, anstatt den unterschiedlichen Sicherheitsstandards von Tausenden unabhängigen Build-Umgebungen zu vertrauen. Darüber hinaus entfernt Chainguard automatisch alle Schritte im Build-Prozess, die grundsätzlich riskant, anfällig für Missbrauch oder schlicht unsicher sind. Ein lehrreiches Beispiel für Letzteres ist, dass Chainguard Libraries keine Skripte zur Installationszeit ausführen; auf diese Weise wurde die Schadsoftware im Axios-Paket eingeschleust. Das Arbeiten innerhalb dieser Einschränkungen erfordert oft erheblichen Aufwand, um dasselbe Ergebnis zu erzielen, aber genau das ist das Versprechen und der Mehrwert, den Chainguard kontinuierlich in die Software-Lieferkette einbringt. Als Publisher-Anmeldedaten verwendet wurden, um zwei bösartige Versionen von LiteLLM zu veröffentlichen, fehlte den Updates ein öffentlich verifizierbarer Quellcode. Auch hier stellt Chainguard durch das ausschließliche Erstellen aus dem Quellcode sicher, dass unser Pakatkatalog gegen diesen gesamten Bedrohungsvektor immun ist.

Bedrohungsanalyse

Bei jedem guten Sicherheitsansatz ist es unabhängig von den Designprinzipien von entscheidender Bedeutung, Defense-in-Depth (Tiefenstaffelung) anzustreben. Und obwohl der „Building from Source“-Ansatz Schutz bietet, ist es wichtig, auch ergänzende Mechanismen bereitzustellen.

Chainguard bietet diese zusätzliche Schutzschicht durch Sentinel, unser Orchestrierungssystem der nächsten Generation, das auf dem DriftlessAF-Agenten-Framework von Chainguard basiert, um Bedrohungsquellen hinsichtlich der Vertrauenswürdigkeit unserer Pakete zu nutzen. Sentinel wurde entwickelt, um eine Vielzahl von Informationsquellen und Feeds aufzunehmen – von einfachen binären Indikatoren bis hin zu nuancierteren Grauzonensignalen –, um Chainguard kontinuierlich hochwertige Signale über die Software zu liefern, die wir erstellen und vertreiben.

Die genauen Details zur Funktionsweise von Sentinel und den von ihm genutzten Feeds werden bewusst geheim gehalten, um Chainguard böswilligen Akteuren einen Schritt voraus zu halten. Die Details entwickeln sich ständig weiter, während Chainguard weiterhin den Kampf für die Sicherheit der Software-Lieferkette anführt und Kunden vor neuen, KI-gestützten Bedrohungen schützt.

Der herkömmliche Ansatz und warum er hinter sich gelassen werden sollte

Indem Sie Ihre Lieferkette absichern, wehren Sie die neuesten Bedrohungen ab. Traditionell wurde dieses Problem dadurch gelöst, dass Malware-Scans über Ihre gesamte Infrastruktur hinweg durchgeführt wurden, um nach bekannter Schadsoftware oder verdächtigen Aktivitäten zu suchen. Aber Monitoring ist zwar wichtig, bedeutet aber dennoch, dass Sie möglicherweise Maßnahmen zur Behebung ergreifen müssen, sobald ein Problem entdeckt wird.

Im Zeitalter der KI kann dieses Scannen nicht schnell genug reagieren. Wie wir bei jüngsten Angriffen gesehen haben, dauert es nur Minuten, bösartigen Code im Upstream einzuschleusen, um Daten von Opfern zu exfiltrieren, und die Zeitfenster werden mit dem Aufkommen neuer Angriffe immer kürzer. Beispielsweise wurde die neue Abhängigkeit, die beim Axios-Angriff verwendet wurde – plain-crypto-js –, erst 24 Minuten vor ihrer Verwendung zur Datenexfiltration veröffentlicht. Dies macht rein reaktive Kontrollen unzureichend. Schädliche, durch Typosquatting entstandene Versionen von Tanstack waren sieben Stunden lang online verfügbar, bevor es jemand bemerkte. Bis eine Warnung generiert wird, ist der Schaden möglicherweise bereits angerichtet. Sobald sich Schadsoftware in Ihrer Umgebung befindet, kann es nur Sekunden dauern, Gigabytes an Unternehmensdaten oder privaten Anmeldedaten zu exfiltrieren. Der einzige Weg, sich in dieser neuen Ära zu verteidigen, besteht darin, die Angriffe an der Quelle zu stoppen, indem man aus dem Quellcode baut.

Das Reagieren auf Sicherheitswarnungen und -vorfälle war schon lange schwierig und wird durch die Beschleunigung der Softwarebranche durch KI-gestützte Coding-Tools nur noch schwieriger. Die Umstände sind ideal für einen Wandel des Ansatzes. Die Branche muss von einem ständigen Kampf gegen den Strom zu einer „Secure-by-Default“-Sicherheitsatzung übergehen, bei der man nicht über Malware nachdenken und nicht auf Warnungen reagieren muss. Chainguard bietet diese Zusagen, damit unsere Kunden nicht mehr über Sicherheit nachdenken müssen und sich darauf verlassen können, dass wir das für sie übernehmen, während sie das nächste großartige Ding entwickeln.

Entdecken Sie Chainguard Libraries, um mehr darüber zu erfahren, wie Sie Ihr Unternehmen vor dem nächsten Lieferkettenangriff schützen können.