Ihre Anbieter sind Teil Ihrer Angriffsfläche

Kurz gesagt: Ein Kompromiss bei einer Abhängigkeit, einem SaaS-Anbieter oder einem Integrationspartner ist ein Kompromiss Ihrerseits. Das Risiko Dritter muss kontinuierlich gemessen werden und darf nicht nur einmal bei der Beschaffung abgesegnet werden.

Der Perimeter enthält jetzt den Code anderer Personen

Moderne Anwendungen werden aus Open-Source-Paketen, SaaS-APIs und Integrationspartnern zusammengestellt. Bei jedem davon handelt es sich um eine Vertrauensbeziehung, und bei jedem handelt es sich um einen Weg, den ein Angreifer einschlagen kann, der niemals direkt mit Ihren eigenen Servern in Berührung kommt.

Ein einmaliger Lieferantenfragebogen bei der Beschaffung erfasst einen Moment und nichts danach.

Wo das Risiko Dritter tatsächlich greift

• Eine anfällige transitive Abhängigkeit, die drei Schichten tief eingebunden ist.
• Eine OAuth-Integration mit übermäßigen Berechtigungen, die stillschweigend den Zugriff behält, nachdem sie nicht mehr verwendet wird.
• Ein Verstoß gegen einen SaaS-Anbieter, bei dem Daten offengelegt werden, die Sie ihm im Rahmen eines alten Vertrags übergeben haben.
• Build-Pipeline-Tools, die Code in Ihre Releases einfügen können.

Kontinuierlich, nicht zeremoniell

Drittanbieter-Risikomanagement funktioniert, wenn es kontinuierlich ist: Inventarisieren Sie die Integrationen, auf die Sie tatsächlich angewiesen sind, überwachen Sie sie auf neue Risiken und bewerten Sie den Zugriff neu, wenn er nicht mehr verwendet wird. Der Fragebogen ist ein Ausgangspunkt, nicht die Kontrolle.

Die kontinuierlichen Scan- und Beweispfade von KENSAI erweitern die gleiche Disziplin, die Sie auf Ihre eigenen Assets anwenden, auf alle Abhängigkeiten und Integrationen, auf die Sie angewiesen sind.

Machen Sie das Lieferantenrisiko kontinuierlich

Ein Fragebogen zu einem bestimmten Zeitpunkt zeigt Ihnen, wie ein Lieferant an dem Tag aussah, an dem er ihn beantwortete, und nicht, wie er am Tag des Verstoßes aussah. Das Lieferantenrisiko muss zu einem lebendigen Signal werden, das aktualisiert wird, wenn sich seine Gefährdung und Ihre Abhängigkeit von ihnen ändern.

Führen Sie eine Bestandsaufnahme darüber, wer worauf Zugriff hat, beschränken Sie jede Integration auf die geringsten Rechte und überwachen Sie Ihre kritischen Lieferanten auf öffentliche Gefährdung und offengelegte Vorfälle auf die gleiche Weise, wie Sie Ihre eigene Angriffsfläche überwachen. Wenn ein Anbieter kompromittiert wird, besteht der Unterschied zwischen einem enthaltenen Ereignis und einer Schlagzeile darin, wie schnell Sie es sehen und die Verbindung trennen können.

Imbiss

Sie erben das Risiko für alles, was Sie integrieren. Behandeln Sie Anbieter und Abhängigkeiten als Teil Ihrer Angriffsfläche und überwachen Sie sie kontinuierlich, denn ein signierter Fragebogen stoppt einen aktiven Exploit nicht.