SBOMs para proteger a sua organização

INTRODUÇÃO: PORQUE SBOMS?

Em 2020, a SolarWinds sofreu uma violação maciça com a injeção de código malicioso numa atualização de patches para um dos seus produtos. Em março de 2021, 18.000 organizações e empresas haviam instalado o patch malicioso nos seus sistemas SolarWinds, desde empresas da Fortune 500 até o governo dos EUA. O incidente revelou uma verdade incómoda: Os atuais agentes de ciberameaças tornaram-se cada vez mais sofisticados na exploração de cadeias de fornecimento de software para realizar ataques. Quer sejam ameaçadas por grupos criminosos ou grupos de inteligência, mesmo as organizações que implementam as melhores práticas de cibersegurança enfrentam riscos cibernéticos crescentes devido à infiltração dos seus fornecedores. As ameaças à cadeia de fornecimento de software são consideradas um dos principais vetores de ataque, uma vez que os agentes de ameaças introduzem ferramentas e programas maliciosos nos produtos e serviços dos fornecedores em cada nível do ciclo de desenvolvimento, apresentando novas considerações de ameaças para as empresas que tornam obsoletas muitas abordagens anteriores à ciberdefesa. Uma lista de materiais de software, ou SBOM (Software Bill of Materials), é atualmente considerada pelos intervenientes do sector cibernético e pelo governo federal como uma solução clara para os crescentes ataques à cadeia de fornecimento de software.

Muitas vezes comparados a um rótulo nutricional para fornecedores de software, os SBOMs permitem às organizações obter uma imagem clara dos "ingredientes" dos programas e aplicações em que confiam. Os SBOM protegem as empresas e as aplicações através da transparência; as equipas de segurança podem identificar software desatualizado, ferramentas de baixa qualidade, fornecedores não fiáveis e outros problemas potenciais no software empresarial através de um quadro que identifica cada componente da cadeia de fornecimento de software. Ao permitir a transparência dos seus componentes e fornecedores de software, os SBOMs ajudam as organizações a alcançar uma postura de segurança Zero Trust.

Em maio de 2021, a Casa Branca emitiu uma ordem executiva sobre cibersegurança, defendendo os SBOM. A ordem executiva afirma que "um formato SBOM amplamente utilizado e legível por máquina permite maiores benefícios através da automatização e da integração de ferramentas. [...] Os SBOMs ganham maior valor quando armazenados coletivamente num repositório que pode ser facilmente consultado por outras aplicações e sistemas. Compreender a cadeia de fornecimento de software, obter um SBOM e utilizá-lo para analisar vulnerabilidades conhecidas são cruciais para gerir o risco". Os observadores do sector sugerem que as futuras orientações federais podem exigir que muitas organizações, independentemente da sua presença em sectores críticos, utilizem SBOMs como parte da sua postura de segurança