La détection des attaques de la chaîne d'approvisionnement est la capacité, spécifique et largement sous-développée, à identifier la compromission du pipeline de build logiciel, de l'infrastructure de distribution des artefacts ou de la chaîne d'approvisionnement des dépendances, par opposition à la détection des attaques contre les environnements de production et les systèmes des utilisateurs finaux. Les centres d'opérations de sécurité traditionnels sont optimisés pour détecter les menaces visant les environnements de production : intrusion réseau, compromission de terminaux, abus d'identifiants et déplacements latéraux dans les systèmes opérationnels. Ils sont rarement configurés pour ingérer, corréler ou générer des alertes sur les signaux propres à la chaîne d'approvisionnement : modifications inattendues de la configuration du pipeline de build, tailles d'artefacts anormales pour des versions publiées, appels réseau inattendus des agents de build, nouveaux comptes de mainteneurs sur des dépendances critiques ou signatures produites hors de l'infrastructure de build attendue.
L'écart de visibilité est structurel. La surveillance de la sécurité en production ingère les journaux et la télémétrie des systèmes de production (serveurs, terminaux, équipements réseau, charges de travail cloud), car c'est sur la production que les équipes de sécurité ont traditionnellement concentré leurs investissements de surveillance. Les pipelines de build, les plateformes CI/CD, les registres d'artefacts et l'infrastructure de gestion des dépendances appartiennent généralement aux équipes DevOps et d'ingénierie, sont exploités comme une infrastructure de développement, et leurs journaux ne sont pas acheminés de façon routinière vers le SOC. Les signaux qui révéleraient la compromission d'un pipeline de build (lectures inattendues du code source, comptes de publication d'artefacts anormaux, appels réseau des agents de build vers une infrastructure externe) se trouvent dans des journaux que la surveillance de sécurité ne consulte jamais.
Le problème du temps de présence permet de quantifier l'écart. Le temps de présence médian des attaques de la chaîne d'approvisionnement, c'est-à-dire la période entre la compromission initiale et sa découverte, est nettement plus long que celui des attaques contre les environnements de production, précisément parce que l'infrastructure de détection est absente. L'attaque SolarWinds est restée en place environ quatorze mois avant d'être découverte. La porte dérobée de XZ Utils a été active pendant environ deux mois avant qu'un développeur ne remarque une dégradation anormale des performances. Dans les deux cas, l'attaque se trouvait dans la chaîne d'approvisionnement logicielle, c'est-à-dire dans l'infrastructure de build et de distribution, là où la surveillance de sécurité traditionnelle ne regardait pas.
Pourquoi c’est important
La détection des attaques de la chaîne d'approvisionnement est importante pour la TPRM, car le fournisseur dont la surveillance de la sécurité en production est excellente mais dont le pipeline de build ne génère aucun signal pour le SOC présente une lacune de détection précisément sur le vecteur qu'utilisent les attaques de la chaîne d'approvisionnement. Évaluer la maturité du SOC d'un fournisseur sans évaluer sa capacité de détection propre à la chaîne d'approvisionnement apporte une assurance sur la sécurité en production tout en laissant la surface d'attaque de la chaîne d'approvisionnement sans surveillance.
- Maturité du SOC évaluée sans tenir compte du périmètre de détection de la chaîne d'approvisionnement
- Journaux du pipeline de build non ingérés par la surveillance de sécurité
- Accès au registre d'artefacts et événements de publication non surveillés
- Signaux de modification des dépendances non intégrés au renseignement sur les menaces
- Règles de détection propres à la chaîne d'approvisionnement absentes du SIEM
À quoi ressemblent les bonnes pratiques
Les programmes matures de détection dans la chaîne d'approvisionnement étendent le périmètre de la surveillance de sécurité aux journaux d'activité des pipelines de build, aux accès et aux événements de publication des registres d'artefacts, à l'utilisation de l'infrastructure de signature et aux signaux de modification des dépendances, avec une logique de détection propre aux anomalies que produisent les attaques de la chaîne d'approvisionnement : modifications inattendues des pipelines, comptes de publication d'artefacts anormaux, appels réseau externes des agents de build et changements de mainteneurs des dépendances.
- Ingestion des journaux du pipeline de build dans le SIEM ou l'infrastructure de surveillance
- Surveillance des accès au registre d'artefacts : comptes ou volumes de publication inhabituels
- Surveillance de l'utilisation de l'infrastructure de signature : événements de signature inattendus
- Alertes sur les modifications des dépendances : nouveaux comptes de mainteneurs sur des paquets critiques
- Règles de détection propres à la chaîne d'approvisionnement dans le SIEM pour les anomalies de build
Outils
Détection dans la chaîne d'approvisionnement : Legit Security, Ox Security pour la posture de sécurité de la chaîne d'approvisionnement logicielle et la détection d'anomalies
Les plateformes de sécurité de la chaîne d'approvisionnement logicielle fournissent la couche de surveillance que les outils traditionnels du SOC ne couvrent pas, en ingérant précisément l'activité des pipelines de build, les modifications de configuration des dépôts, les événements des registres d'artefacts et les mises à jour des dépendances pour repérer les anomalies. Pour les praticiens de la TPRM, demander si un fournisseur a déployé une surveillance propre à la chaîne d'approvisionnement, au-delà de la surveillance de la sécurité de l'environnement de production, constitue une question précise sur les lacunes de détection.
Intégration au SIEM : journaux d'audit de GitHub Actions et journaux CI/CD de GitLab envoyés au SIEM ; surveillance du journal de transparence Sigstore
Les journaux des pipelines de build des principales plateformes CI/CD peuvent être transmis aux plateformes SIEM pour être corrélés à d'autres signaux de sécurité. Le journal de transparence Rekor de Sigstore fournit un registre inviolable des événements de signature qui peut être surveillé pour repérer des anomalies : certificats inattendus, volumes de signature inattendus ou événements de signature survenant hors du fuseau horaire attendu de l'infrastructure de build.
Enjeux de gouvernance
Le défi de gouvernance de la détection dans la chaîne d'approvisionnement est la question de la responsabilité. La surveillance de la sécurité en production relève du SOC. La surveillance des pipelines de build relève des équipes DevOps. La détection dans la chaîne d'approvisionnement se situe dans l'interstice entre ces deux territoires. La solution de gouvernance est une attribution explicite de la responsabilité de cette détection, que ce soit au SOC, à une équipe DevSecOps dédiée ou dans le cadre d'un modèle de responsabilité partagée avec des points de transfert définis.
- Étendre l'ingestion du SOC aux journaux du pipeline de build et des registres
- Définir des règles de détection propres à la chaîne d'approvisionnement pour les anomalies des pipelines et des registres
- Attribuer la responsabilité de la surveillance de la chaîne d'approvisionnement : SOC ou DevSecOps
- Surveiller le journal de transparence Sigstore pour repérer les anomalies de signature
- Inclure le périmètre de détection de la chaîne d'approvisionnement dans l'évaluation du SOC du fournisseur
Si vous êtes une petite équipe
Posez directement à vos éditeurs de logiciels critiques la question de la lacune de détection : si un attaquant compromettait votre pipeline de build et commençait à injecter du code dans les artefacts, quelle surveillance le détecterait et dans quel délai ? Cette question révèle si une détection dans la chaîne d'approvisionnement existe. Un fournisseur qui ne peut pas indiquer de surveillance précise des anomalies du pipeline de build (modifications inattendues du pipeline, publication d'artefacts anormale, appels réseau externes des agents de build) présente la même lacune de détection que celle qui a produit les huit mois de présence non détectée dans l'exemple d'ouverture.
- Demander directement aux fournisseurs quelle surveillance détecterait une compromission du pipeline de build
- Interroger sur le périmètre d'ingestion des journaux : les journaux du pipeline de build sont-ils visibles du SOC ?
- Interroger sur la surveillance des accès au registre d'artefacts
- Évaluer le périmètre de détection de la chaîne d'approvisionnement lors de l'évaluation de la sécurité des fournisseurs
Ce qu’il faut exiger
Demandez directement :
« Si un attaquant compromettait votre pipeline de build et commençait à injecter du code malveillant dans vos artefacts, quelle surveillance le détecterait, vers qui ces alertes seraient-elles acheminées et quel est le délai de détection attendu entre la compromission et l'alerte ? »
Preuves attendues
- Périmètre de surveillance du pipeline de build et ingestion des journaux
- Surveillance des accès au registre d'artefacts
- Règles de détection propres à la chaîne d'approvisionnement dans le SIEM
- Délai de détection attendu pour une compromission du pipeline de build
Il faut demander précisément à un fournisseur dont la couverture du SOC est excellente si cette couverture inclut la surveillance du pipeline de build et de la distribution des artefacts. La surveillance de la sécurité en production et celle de la chaîne d'approvisionnement sont des capacités complémentaires mais distinctes. Huit mois de présence dans le pipeline de build sont compatibles avec une excellente surveillance de la production et une absence de surveillance de la chaîne d'approvisionnement, simultanément.
Comment le prouver
- Évaluation du périmètre de détection de la chaîne d'approvisionnement
- Registres d'ingestion des journaux du pipeline de build
- Règles de détection propres à la chaîne d'approvisionnement
- Délai de détection attendu pour une compromission du build
À retenir
Couverture du SOC : excellente. Détection sur les terminaux : bien réglée. Corrélation dans le SIEM : solide. Pipeline de build : non surveillé. Compromission : 8 mois dans l'infrastructure de build, sans que la surveillance de production ne la voie jamais. La surveillance de la sécurité en production détecte les menaces dans les systèmes de production. Les attaques de la chaîne d'approvisionnement se logent dans l'infrastructure de build et de distribution, en amont du périmètre de production que protège la surveillance traditionnelle. L'ingestion des journaux du pipeline de build, la surveillance des accès aux registres d'artefacts et les règles de détection propres à la chaîne d'approvisionnement étendent le périmètre de surveillance à la surface d'attaque que ciblent précisément les attaquants de la chaîne d'approvisionnement.