Eine Supply-Chain-Attack (deutsch Lieferketten/Nachschub-Angriff) ist ein Angriff der sich besonders bedrohlich für komplexe Systeme ist. Der Angriff richtet sich nicht gegen das eigentliche Ziel sondern gegen unterstützende Prozesse. Der Angriff selber kann gegen Personen (aka Social Engineering) als auch gegen Hardware oder Software richten.
Im militärischen Bereich sind Angriffe auf den Nachschub nichts neues, sondern Standard. Im Computerbereich war es Ken Thompson. Im Jahr 1983 veröffentlichte er das Paper Reflections on Trusting Trust. Thompson veränderte ergänzte nicht nur das login von UNIX, um eine Backdoor, sondern veränderte auch den Compiler, so das in die Programme eine Backdoor eincompiliert wurde. Dazu schrieb er: „The moral is obvious, You can't trust code that you did not totally create yourself“ (Reflections on Trusting Trust)
Die Gegenmaßnahmen sind nicht einfach durchzuführen, da zum menschlichen Zusammenleben immer eine gewisses Vertrauen notwendig ist.
Risikomanagement (Third-party risk management) Bearbeiten
Es ist eine Strategie notwendig, die von außen wirksame Prozesse überwacht. Es kann sich dabei um automatische Virenscanner handeln, die einkommende Emails automatisch checkt als auch die Prüfung von Patches.
zero-trust Bearbeiten
Nach Innen muss man den Zugriff auf den notwendigen Kreis beschränken. Ein Single-Sign-On mag bequem sein, erlaubt aber jedem Angreifer bei Erfolg jeden Zugriff. Die SCADA-System müssen von der Büro-IT getrennt sein.
Vorbereitet sein Bearbeiten
Wenn ein Angriff erfolgreich war und man bemerkt es, muss man einen Plan haben wie es weiter geht.
Aufklärungsarbeit Bearbeiten
Viele Versuche haben gezeigt, dass Mitarbeiterschulungen nur wenig ausrichten.Hacking Brains
Literatur Bearbeiten
- Reflections on Trusting Trust (pdf)
- Cassie Crossley, Software Supply Chain Security, ISBN 9781098133665
Weblinks Bearbeiten
- https://www.terranovasecurity.com/blog/supply-chain-attacks
- https://www.hackerone.com/knowledge-center/supply-chain-attacks-impact-examples-and-6-preventive-measures
- Hacker Lexicon: What Is a Supply Chain Attack?
- https://www.industrialcybersecuritypulse.com/threats-vulnerabilities/throwback-attack-ken-thompson-lays-the-foundation-for-software-supply-chain-attacks/