Ataques à cadeia de suprimentos são um problema prioritário hoje. O número desses ataques nos EUA aumentou 115% entre 2022 e 2023, de acordo com a Statista. Ferramentas como Socket e Coana detectam código malicioso em registros como o NPM. Mas o risco da cadeia de suprimentos não termina aí.
Algumas ferramentas são scripts de terceiros que são buscados pelo navegador do usuário. Ao verificar apenas o NPM (ou outro registro), você não está protegido contra ataques através desses scripts.
Esses scripts, usados para rastreamento de marketing, anúncios, captchas e muito mais, são frequentemente implementados em sites inteiros por conveniência. Esses scripts são poderosos e podem fazer coisas como reescrever código, redirecionar usuários, exfiltrar dados e até minerar criptomoedas no seu navegador.
O método de entrega desses scripts permite comportamento dinâmico. Qualquer usuário pode receber uma entrega diferente a cada vez, especialmente quando um script foi comprometido.
À medida que mais pessoas adotam melhores abordagens de segurança de dependências, scripts dinâmicos que são buscados no lado do navegador são um vetor de ataque cada vez mais interessante e substancial. Isso torna a verificação apenas das fontes um jogo arriscado. A melhor abordagem é verificar o código completo toda vez que ele é entregue, que é o que o cside faz.
Além disso, muitos desses scripts não são mantidos por empresas centradas em tecnologia. As ferramentas podem ser negligenciadas à medida que as empresas se dissolvem ou são adquiridas, deixando-as suscetíveis a sequestros. Mesmo serviços respeitáveis e amplamente utilizados não estão isentos de falhas, como evidenciado pelos problemas do cdnjs em 2021 ou esta pessoa que comprou um domínio expirado de polícia e serviços sociais na Bélgica e obteve acesso a informações privadas dessa forma.
Finalmente, 95% desses scripts carecem de proteções contra sequestros de DNS. Até mesmo a rede em que você está pode impactar o script que você recebe.
O que fazer sobre tudo isso
Aqui está o que recomendamos:
Use uma ferramenta como Socket (ou alternativas) para risco da cadeia de suprimentos no registro e use o cside para monitorar o comportamento de scripts de terceiros no lado do navegador. Verificamos o código completo de fontes de terceiros, 100% das vezes, antes que seja entregue ao navegador do seu usuário. Protegendo completamente este lado da cadeia de suprimentos.
Por último, você deve proteger sua infraestrutura contra ataques de entrada. Para isso, use algo como o Web Application Firewall da Cloudflare.
Coisas mais específicas como uploads de formulários e detecção de bots podem exigir ferramentas especializadas.
Use ferramentas de monitoramento proativo como Hadrian ou Cycognito para monitorar a superfície de ameaças.
