Los ataques a la cadena de suministro son un problema prioritario hoy en día. El número de estos ataques en EE. UU. aumentó un 115% entre 2022 y 2023, según Statista. Herramientas como Socket y Coana detectan código dañino en registros como NPM. Pero el riesgo de la cadena de suministro no termina ahí.
Algunas herramientas son scripts de terceros que son obtenidos por el navegador del usuario. Al solo verificar NPM (u otro registro), no estás protegido contra ataques a través de estos scripts.
Estos scripts, utilizados para seguimiento de marketing, anuncios, captchas y mucho más, se implementan frecuentemente en sitios completos por conveniencia. Estos scripts son poderosos y pueden hacer cosas como reescribir código, redirigir usuarios, exfiltrar datos e incluso minar criptomonedas en tu navegador.
El método de entrega de estos scripts permite un comportamiento dinámico. Cualquier usuario puede recibir una entrega diferente cada vez, especialmente cuando un script ha sido comprometido.
A medida que más personas adoptan mejores enfoques de seguridad de dependencias, los scripts dinámicos que se obtienen del lado del navegador son un vector de ataque cada vez más interesante y sustancial. Esto hace que verificar solo las fuentes sea un juego arriesgado. El mejor enfoque es verificar el código completo cada vez que se entrega, que es lo que hace cside.
Además, muchos de estos scripts no son mantenidos por empresas centradas en tecnología. Las herramientas pueden quedar descuidadas a medida que las empresas se disuelven o son adquiridas, dejándolas susceptibles a secuestros. Incluso los servicios de buena reputación y ampliamente utilizados no están exentos de fallas, como lo evidencian los problemas de cdnjs en 2021 o esta persona que compró un dominio expirado de policía y servicios sociales en Bélgica y obtuvo acceso a información privada de esa manera.
Finalmente, el 95% de estos scripts carecen de protecciones contra secuestros de DNS. Incluso la red en la que te encuentras puede afectar el script que recibes.
Qué hacer al respecto
Esto es lo que recomendamos:
Usa una herramienta como Socket (o alternativas) para el riesgo de la cadena de suministro en el registro y usa cside para monitorear el comportamiento de los scripts de terceros del lado del navegador. Verificamos el código completo de fuentes de terceros, el 100% del tiempo, antes de que se entregue al navegador de tu usuario. Asegurando completamente este lado de la cadena de suministro.
Por último, debes proteger tu infraestructura contra ataques entrantes. Para eso usa algo como Cloudflare's Web Application Firewall.
Cosas más específicas como cargas de formularios y detección de bots pueden requerir herramientas especializadas.
Usa herramientas de monitoreo proactivo como Hadrian o Cycognito para monitorear la superficie de amenazas.
