La réponse aux incidents de la chaîne d'approvisionnement est la capacité IR spécifique nécessaire pour répondre à une compromission du pipeline de build logiciel, de l'infrastructure de distribution des artefacts ou de l'environnement de développement, par opposition à un incident dans l'environnement de production. Les playbooks IR traditionnels traitent des violations de données, des rançongiciels, des compromissions de systèmes et des incidents de disponibilité dans les environnements opérationnels. Les incidents de la chaîne d'approvisionnement exigent d'autres étapes d'enquête, une autre collecte de preuves, une autre communication avec les parties prenantes et d'autres séquences de remédiation, que les playbooks IR traditionnels ne traitent pas et que la plupart des équipes IR n'ont jamais répétées.
L'identification des versions concernées est le premier défi de l'IR de la chaîne d'approvisionnement. Lorsqu'un environnement de production est compromis, l'équipe IR identifie les systèmes touchés en examinant les journaux d'accès, les connexions réseau et les éléments forensiques de l'infrastructure de production. Lorsqu'un pipeline de build est compromis, les artefacts concernés sont les versions logicielles construites pendant la période de compromission, et leur identification exige les journaux du pipeline de build, les registres de publication du registre d'artefacts et les attestations de provenance SLSA qui montrent quelles versions ont été construites pendant la période concernée. Les équipes IR qui ne disposent pas de processus préparés à l'avance pour cette analyse mettront beaucoup plus de temps à déterminer l'étendue des versions concernées que les équipes dotées d'un playbook IR pour la chaîne d'approvisionnement qui prescrit ces étapes.
La lacune de l'inventaire des déploiements clients constitue le défi de communication. Un incident dans l'environnement de production touche les propres systèmes du fournisseur. Un incident de la chaîne d'approvisionnement touche chaque client ayant déployé une version logicielle affectée. Pour informer les clients concernés, le fournisseur doit savoir quels clients ont déployé quelles versions de son logiciel, un inventaire des déploiements que de nombreux fournisseurs ne tiennent pas avec l'actualité et l'exhaustivité suffisantes pour une notification rapide. Le fournisseur incapable de produire la liste des clients concernés dans les heures qui suivent la confirmation de l'incident ne pourra pas respecter les délais de divulgation coordonnée et risque des conséquences réglementaires pour notification tardive des clients.
Pourquoi c’est important
La réponse aux incidents de la chaîne d'approvisionnement est importante pour la TPRM, car le fournisseur dont le programme IR est mature pour les incidents de production mais qui ne dispose d'aucun playbook pour la chaîne d'approvisionnement sera nettement moins efficace face à une compromission de sa chaîne d'approvisionnement, et l'entreprise dont le fournisseur a été compromis recevra une notification plus lente, des informations moins complètes et des consignes de réponse moins coordonnées que celles qu'apporterait un fournisseur doté d'une capacité IR mature pour la chaîne d'approvisionnement.
- Programme IR évalué sans tenir compte des incidents de la chaîne d'approvisionnement
- Absence de playbook pour la chaîne d'approvisionnement : compromission du pipeline de build absente des scénarios IR
- Processus d'identification des versions concernées non défini
- Inventaire des déploiements clients non tenu à jour pour permettre une notification rapide
- Protocole de communication en cas d'incident de la chaîne d'approvisionnement non établi
À quoi ressemblent les bonnes pratiques
Les programmes matures d'IR de la chaîne d'approvisionnement comprennent des playbooks spécifiques pour les compromissions des pipelines de build, des registres d'artefacts et des environnements de développement, tiennent à jour des processus d'identification des versions et des déploiements clients concernés, établissent avec les principaux clients des protocoles de communication négociés à l'avance pour les incidents de la chaîne d'approvisionnement et testent chaque année des scénarios de chaîne d'approvisionnement lors d'exercices sur table.
- Playbook d'incident pour la chaîne d'approvisionnement : scénarios de compromission du pipeline de build, du registre et de l'environnement de développement
- Processus d'identification des versions concernées : analyse des journaux du pipeline de build, examen des registres de provenance
- Inventaire des déploiements clients : registre à jour des versions déployées par chaque client pour une notification rapide
- Protocole de communication négocié à l'avance pour les notifications aux principaux clients en cas d'incident de la chaîne d'approvisionnement
- Exercice sur table annuel consacré à la chaîne d'approvisionnement : répéter le playbook avant tout incident
Outils
IR de la chaîne d'approvisionnement : recommandations de Chainguard sur la réponse aux incidents de la chaîne d'approvisionnement ; ressources de la CISA sur la gestion des risques de la chaîne d'approvisionnement
Les ressources de la CISA sur la sécurité de la chaîne d'approvisionnement logicielle comprennent des recommandations de réponse aux incidents spécifiques aux compromissions de la chaîne d'approvisionnement, couvrant les étapes d'enquête, les exigences de collecte de preuves et les protocoles de notification des parties prenantes qui diffèrent de l'IR standard en production. Pour les praticiens de la TPRM, demander si les fournisseurs ont examiné et adapté à leurs propres playbooks les recommandations de la CISA sur l'IR de la chaîne d'approvisionnement constitue une question précise sur la préparation à l'IR de la chaîne d'approvisionnement.
Enjeux de gouvernance
Le défi de gouvernance de l'IR de la chaîne d'approvisionnement est l'exigence de coordination entre équipes. La réponse aux incidents de la chaîne d'approvisionnement exige une coordination entre l'équipe de sécurité (pilotage de l'IR), les équipes DevOps (analyse forensique du pipeline), l'ingénierie (analyse des versions concernées), le service juridique (obligations de divulgation) et la réussite client (notification des clients). Cette coordination transverse doit être établie à l'avance dans le playbook : réunir la bonne équipe pour la première fois pendant un incident en cours entraînera des retards importants.
- Élaborer un playbook d'incident pour la chaîne d'approvisionnement définissant des rôles transverses
- Mettre en place un processus d'identification des versions concernées à partir des journaux de build et de la provenance
- Tenir un inventaire des déploiements clients suffisant pour une notification rapide
- Organiser chaque année un exercice sur table consacré à la chaîne d'approvisionnement avec une équipe transverse
- Évaluer la préparation à l'IR de la chaîne d'approvisionnement lors de l'examen du programme de sécurité du fournisseur
Si vous êtes une petite équipe
Posez à vos éditeurs de logiciels critiques une question que l'évaluation de l'IR en production ne traite pas : si vous découvriez aujourd'hui que votre pipeline de build était compromis depuis six semaines, quelles seraient les trois premières étapes de votre réponse à l'incident, et comment identifieriez-vous les clients ayant déployé des versions potentiellement concernées ? La difficulté à répondre à cette question révèle l'écart de préparation à l'IR de la chaîne d'approvisionnement. Un fournisseur doté d'un programme IR mature pour la chaîne d'approvisionnement répondra immédiatement et avec précision.
- Poser la question de la réponse à une compromission du pipeline de build pendant 6 semaines
- Évaluer si le fournisseur dispose d'un playbook propre à la chaîne d'approvisionnement
- Interroger sur l'inventaire des déploiements clients permettant une notification rapide
- Inclure la préparation à l'IR de la chaîne d'approvisionnement dans l'évaluation de la sécurité des fournisseurs
Ce qu’il faut exiger
Demandez directement :
« Disposez-vous d'un playbook de réponse aux incidents de la chaîne d'approvisionnement traitant précisément de la compromission d'un pipeline de build ou d'un registre d'artefacts, et comment identifieriez-vous les versions concernées et informeriez-vous les clients touchés dans les 24 heures suivant la confirmation d'une compromission de la chaîne d'approvisionnement ? »
Preuves attendues
- Existence d'un playbook d'incident pour la chaîne d'approvisionnement
- Processus d'identification des versions concernées
- Inventaire des déploiements clients et processus de notification
- Registres des exercices sur table relatifs à la chaîne d'approvisionnement
Il faut demander à un fournisseur dont le programme IR est mature si cette maturité s'étend aux incidents de la chaîne d'approvisionnement. L'IR en production et l'IR de la chaîne d'approvisionnement sont des capacités complémentaires mais distinctes. Six semaines de compromission du pipeline de build sans playbook pour la chaîne d'approvisionnement, voilà l'écart entre une IR mature en production et une IR absente pour la chaîne d'approvisionnement.
Comment le prouver
- Évaluation du playbook IR pour la chaîne d'approvisionnement
- Examen de l'inventaire des déploiements clients
- Registres des exercices sur table relatifs à la chaîne d'approvisionnement
- Processus d'identification des versions concernées
À retenir
Programme IR : mature pour les incidents de production. Playbook pour la chaîne d'approvisionnement : aucun. Pipeline de build compromis : six semaines. Versions concernées : onze. Inventaire des déploiements clients : non tenu. L'équipe IR était expérimentée, bien équipée, et répondait à un type d'incident auquel elle ne s'était pas préparée. Les incidents de la chaîne d'approvisionnement exigent d'autres preuves, une autre analyse, une autre notification. Des playbooks préparés à l'avance, des processus d'identification des versions concernées, des inventaires des déploiements clients et des exercices sur table annuels consacrés à la chaîne d'approvisionnement construisent la capacité avant l'incident au lieu de l'assembler pendant celui-ci.