El compromiso de la cadena de suministro de una aseguradora global no empezó en su proveedor principal, sino en una empresa de integración de software que prestaba servicios de desarrollo de API a su proveedor de tramitación de siniestros. La cronología del ataque, reconstruida en el análisis posterior al incidente, abarcó tres organizaciones y cuarenta y ocho días. Día uno: las credenciales de GitHub de la empresa de integración de software se vieron comprometidas mediante relleno de credenciales contra la cuenta personal de un desarrollador que reutilizaba una contraseña expuesta en una brecha anterior. El atacante usó las credenciales del desarrollador para acceder a los repositorios de código de la empresa de integración, que contenían credenciales de API para el entorno de desarrollo del proveedor de tramitación de siniestros. Día doce: el atacante usó las credenciales de API para acceder al entorno de desarrollo del proveedor de tramitación de siniestros y dedicó once días a cartografiar el entorno, establecer persistencia e identificar la ruta hacia los datos de los clientes. Día veintitrés: el atacante pivotó del entorno de desarrollo al entorno de producción mediante una cuenta de servicio mal configurada que tenía un acceso innecesario a producción. Del día veintitrés al cuarenta y seis: el atacante pasó veintitrés días en el entorno de producción cartografiando la ubicación de los datos de los clientes, probando rutas de exfiltración y preparando datos para su extracción. Día cuarenta y siete: exfiltración masiva de datos de siniestros de seguros. Día cuarenta y ocho: el SOC de la aseguradora detectó una transferencia de datos anómala desde el rango de IP del proveedor. La aseguradora había evaluado al proveedor de tramitación de siniestros. El proveedor de tramitación de siniestros había evaluado a la empresa de integración. Ambas evaluaciones habían determinado posturas de seguridad satisfactorias. Ninguna había detectado ni contenido el ataque que llevaba cuarenta y ocho días recorriendo su cadena de suministro.
Por qué es importante
El tiempo de permanencia de los ataques a través de proveedores es importante para TPRM porque la exposición de los datos del cliente no comienza cuando el atacante entra en el entorno del cliente, sino cuando obtiene acceso a cualquier entorno de la ruta de la cadena de suministro que lleva a los datos del cliente. El tiempo de permanencia de cuarenta y ocho días del escenario inicial representa cuarenta y ocho días de preparación del ataque en la cadena de suministro antes de que el cliente sufriera ningún impacto directo. Reducir el tiempo de permanencia en la cadena de suministro requiere mejorar la capacidad de detección de cada proveedor y establecer los mecanismos de coordinación entre organizaciones que permitan detectar con mayor rapidez los ataques de varios saltos.
La métrica del tiempo medio de detección a nivel del proveedor es el indicador directo del riesgo de tiempo de permanencia en la cadena de suministro. Un proveedor con un tiempo medio de detección de treinta días ofrece a un atacante treinta días de permanencia media para preparar su recorrido por la cadena de suministro. Reducir el MTTD del proveedor reduce el tiempo de permanencia disponible para preparar un ataque a la cadena de suministro. El MTTD de cada proveedor de la ruta de la cadena de suministro es un indicador de riesgo acumulativo: la suma de los tiempos de permanencia a lo largo de la ruta es el tiempo total del que dispone el atacante para preparar el ataque del último salto contra el cliente.
Dónde se equivocan la mayoría de los equipos
El fallo más habitual es no medir ni solicitar el MTTD de los proveedores como métrica de riesgo de la cadena de suministro. Las evaluaciones individuales de proveedores confirman las capacidades de detección. El MTTD de incidentes reales revela cuánto tiempo operaron los atacantes antes de ser detectados: el tiempo de permanencia empírico, en lugar de la capacidad de detección teórica.
- No se solicita el MTTD del proveedor: capacidad de detección confirmada sin tiempo de permanencia empírico
- Puntos de entrada de cuarta parte no evaluados: entrada del ataque dos saltos más arriba en la cadena de suministro
- Tiempo de permanencia entre organizaciones no considerado como métrica de riesgo de la cartera
- Instantáneas de evaluación aceptadas sin considerar los cambios operativos desde la evaluación
- Sin supervisión continua que aporte visibilidad del tiempo de permanencia entre evaluaciones
Cómo se ve una buena práctica
Los programas maduros de gestión del tiempo de permanencia en la cadena de suministro solicitan el MTTD real de los registros de incidentes de los proveedores, supervisan las calificaciones de seguridad continuas en busca de señales de presencia continuada de atacantes y tienen en cuenta los puntos de entrada de cuarta parte en el análisis de riesgos de la cadena de suministro.
- Solicite el MTTD real del historial de incidentes del proveedor: empírico, no teórico
- Supervisión continua de las calificaciones de seguridad en busca de indicios de presencia de atacantes entre evaluaciones
- Evaluación de los puntos de entrada de cuarta parte: qué puede llegar al proveedor y cómo
- Intercambio de inteligencia de amenazas entre organizaciones para acelerar la detección de ataques de varios saltos
- Tiempo de permanencia en la cadena de suministro como métrica de la cartera: MTTD acumulado a lo largo de la ruta de la cadena de suministro
Herramientas
Inteligencia sobre la cadena de suministro: Interos, RiskRecon
Las plataformas de inteligencia sobre la cadena de suministro supervisan la cadena de suministro ampliada, incluidas las relaciones de cuarta parte, e identifican cuándo los proveedores de los proveedores sufren eventos de seguridad que pueden indicar un compromiso capaz de atravesar la cadena de suministro. Para los profesionales de TPRM, supervisar la inteligencia sobre la cadena de suministro en busca de eventos de cuarta parte proporciona la alerta temprana ante ataques de varios saltos que las evaluaciones individuales de proveedores no pueden detectar.
Desafíos de gobernanza
El reto de gobernanza del tiempo de permanencia en la cadena de suministro es la limitación del alcance de la evaluación. Los puntos de entrada de cuarta parte están a dos saltos del cliente: son proveedores de los proveedores, quedan fuera del alcance de evaluación directa del cliente y, a menudo, fuera del alcance de evaluación formal del proveedor respecto de sus propios subproveedores. La solución de gobernanza consiste en combinar herramientas de visibilidad de cuarta parte con solicitudes de MTTD a los proveedores y una supervisión continua que pueda aportar señales de presencia de atacantes sin necesidad de evaluar directamente a la cuarta parte.
- Solicite el MTTD de incidentes reales del proveedor: tiempo de permanencia empírico
- Supervise la cadena de suministro de cuarta parte en busca de eventos de seguridad
- Solicite las prácticas de evaluación de subproveedores del proveedor
- Incorpore el riesgo de cuarta parte en la evaluación de la seguridad de la cadena de suministro
- Supervisión continua de la seguridad para detectar señales tempranas de permanencia
Si usted forma parte de un equipo pequeño
Haga una sola pregunta a sus tres proveedores de mayor riesgo: en sus incidentes de seguridad de los últimos dos años que afectaron a datos de clientes, ¿cuál fue el tiempo medio de detección desde el acceso inicial del atacante hasta el descubrimiento? Ese MTTD empírico es la métrica individual más informativa del riesgo de tiempo de permanencia en la cadena de suministro, más que cualquier evaluación de capacidades, porque describe cuánto tiempo operaron realmente los atacantes antes de ser detectados, no cuánto tiempo sugiere la arquitectura de detección que deberían haber podido operar.
- Pida a los proveedores el MTTD empírico de incidentes reales que afectaron a datos de clientes
- Compare el MTTD empírico con el tiempo de detección teórico evaluado según la capacidad
- Supervise las calificaciones de seguridad continuas en busca de señales de permanencia
- Evalúe los puntos de entrada de cuarta parte en las relaciones con los proveedores de mayor riesgo
Qué exigir
Pregunte directamente:
“En los incidentes de seguridad de su entorno de los últimos dos años, ¿cuál fue el promedio o el rango del tiempo medio de detección desde el acceso inicial hasta el descubrimiento? ¿La detección se produjo principalmente mediante su propia supervisión de SOC o mediante una notificación externa?”
Evidencia que debe esperar
- MTTD empírico de incidentes reales
- Origen de la detección: SOC interno frente a notificación externa
- Mayor tiempo de permanencia en incidentes recientes
- Tendencia del tiempo de permanencia: mejora o se mantiene estable
A un proveedor que confirme una capacidad de detección madura se le debe pedir su MTTD empírico de incidentes reales. El tiempo de detección teórico describe la arquitectura. El MTTD empírico describe cómo funcionó la arquitectura frente a atacantes reales.
Cómo demostrarlo
- Registros del MTTD empírico del proveedor
- Supervisión de cuarta parte en la cadena de suministro
- Supervisión continua de la seguridad para detectar señales de permanencia
- Métrica de la cartera del tiempo de permanencia en la cadena de suministro
Conclusión clave
Cuarenta y ocho días a través de tres organizaciones. El cliente lo detectó el día cuarenta y ocho. El ataque empezó el día uno en una empresa de integración de software de cuarta parte. El recorrido por la cadena de suministro había terminado antes de que el SOC del cliente generara la primera alerta. La postura de seguridad individual de cada organización se había confirmado como satisfactoria en el momento de la evaluación. El tiempo de permanencia se acumuló en los huecos entre las evaluaciones, a través de las fronteras entre organizaciones y en el retraso de detección de tres equipos de seguridad independientes que investigaban el mismo ataque desde lados distintos. El MTTD empírico de incidentes reales es la descripción más honesta del riesgo de tiempo de permanencia de los proveedores. Solicítelo. La capacidad de detección teórica describe lo que debería ocurrir. El MTTD empírico describe lo que realmente ocurrió.