Le renseignement sur les menaces pour les attaques de la chaîne d’approvisionnement logicielle consiste à appliquer le renseignement actuel sur les acteurs de la menace, en particulier sur ceux qui ciblent les éditeurs de logiciels, les infrastructures de compilation, les paquets open source et les canaux de distribution de logiciels, aux priorités d’évaluation et à l’intensité de surveillance du programme TPRM. Le renseignement sur les menaces visant la chaîne d’approvisionnement logicielle est une catégorie de renseignement particulière que la plupart des programmes TPRM ne consomment ni n’opérationnalisent de façon systématique : savoir qu’un groupe d’acteurs de la menace précis cible les identifiants de comptes de service CI/CD dans un secteur donné est un renseignement exploitable pour les priorités de réévaluation TPRM. Classer le rapport sans y donner suite, c’est l’écart entre la consommation du renseignement et son opérationnalisation.
Le paysage des acteurs de la menace visant la chaîne d’approvisionnement est précis et peut être suivi. Les groupes étatiques qui ciblent les chaînes d’approvisionnement logicielles, comme NOBELIUM (SolarWinds), Lazarus Group (3CX) et d’autres, ont des tactiques, techniques et procédures précises que les rapports de renseignement décrivent en détail. Lorsque la CISA, la NSA ou des éditeurs de sécurité publient des avis sur des groupes précis ciblant des vecteurs précis de la chaîne d’approvisionnement, ces avis sont exploitables pour le TPRM : évaluez si vos éditeurs de logiciels du secteur ciblé utilisent les plateformes CI/CD, les types de SDK ou les mécanismes de distribution décrits dans l’avis, et réévaluez en priorité les fournisseurs qui correspondent au profil ciblé.
La lacune d’opérationnalisation est la défaillance TPRM précise. Consommer du renseignement sans l’opérationnaliser n’est pas une gestion des risques éclairée par le renseignement : c’est savoir sans agir. Le programme TPRM qui reçoit un rapport de renseignement sur les menaces visant la chaîne d’approvisionnement sans le traduire en priorités d’évaluation des fournisseurs, en ajustements de l’intensité de la surveillance et en questions d’évaluation précises explorant les vecteurs d’attaque décrits a reçu le renseignement et en a gaspillé la valeur.
Pourquoi c’est important
L’opérationnalisation du renseignement sur les menaces compte pour le TPRM, car le renseignement sur les menaces visant la chaîne d’approvisionnement fournit le signal de risque prospectif que les évaluations historiques ne peuvent pas fournir : il décrit ce que font les attaquants aujourd’hui, quels secteurs ils ciblent et quels vecteurs d’attaque ils utilisent. Un programme TPRM qui n’opérationnalise pas le renseignement sur les menaces visant la chaîne d’approvisionnement n’utilise pas les informations de risque les plus actuelles dont il dispose.
- Renseignement sur les menaces consommé mais non opérationnalisé
- Renseignement sur les menaces propre à la chaîne d’approvisionnement non extrait du renseignement général sur les menaces
- Priorités de réévaluation des fournisseurs non mises à jour en fonction du renseignement sur les menaces visant la chaîne d’approvisionnement
- Questions d’évaluation propres au vecteur d’attaque non élaborées à partir du renseignement
- Circuit entre renseignement et évaluation absent du programme TPRM
À quoi ressemblent les bonnes pratiques
Les programmes matures de renseignement sur les menaces visant la chaîne d’approvisionnement établissent un circuit allant de la consommation du renseignement à l’action TPRM, à savoir : lorsqu’un avis sur une menace visant la chaîne d’approvisionnement est reçu, évaluer si des fournisseurs du portefeuille correspondent au profil ciblé, mettre à jour les priorités de réévaluation pour ces fournisseurs, élaborer des questions d’évaluation qui explorent les vecteurs d’attaque décrits et informer les responsables des relations avec les fournisseurs.
- Circuit entre renseignement et TPRM : processus défini allant de la réception d’un avis à l’action TPRM
- Rapprochement avec le profil ciblé : évaluer le portefeuille de fournisseurs au regard des critères de ciblage décrits
- Réévaluation prioritaire des fournisseurs correspondants : examen hors cycle des fournisseurs signalés par le renseignement
- Questions propres au vecteur d’attaque : nouvelles questions d’évaluation fondées sur les TTP décrites
- Information des responsables des relations avec les fournisseurs sur le renseignement : la connaissance permet une pression commerciale
Outils
Renseignement sur les menaces visant la chaîne d’approvisionnement : avis de la CISA sur la chaîne d’approvisionnement ; rapports de Google TAG sur la chaîne d’approvisionnement ; Recorded Future pour un renseignement continu sur les menaces visant la chaîne d’approvisionnement
La CISA publie des avis portant spécifiquement sur les TTP des attaques de la chaîne d’approvisionnement, directement exploitables pour la réévaluation des fournisseurs dans le cadre du TPRM. Recorded Future et les plateformes de renseignement sur les menaces similaires assurent une surveillance continue des menaces visant la chaîne d’approvisionnement, avec du renseignement sur le ciblage propre à chaque fournisseur. Pour les programmes TPRM, s’abonner aux alertes d’avis de la CISA et transmettre les avis propres à la chaîne d’approvisionnement à l’équipe TPRM constitue, sans aucun coût, un circuit de base de consommation du renseignement.
Enjeux de gouvernance
La difficulté de gouvernance de l’opérationnalisation du renseignement sur les menaces tient au problème de la capacité d’analyse. Transformer des rapports de renseignement sur les menaces en actions TPRM précises exige du temps d’analyste pour les lire, en extraire les éléments pertinents pour la chaîne d’approvisionnement, les rapprocher des profils des fournisseurs et élaborer des questions d’évaluation. La solution de gouvernance est un modèle léger de passage du renseignement à l’action, qui normalise le processus d’opérationnalisation et réduit la charge d’analyse pour chaque avis.
- S’abonner aux avis de la CISA sur la chaîne d’approvisionnement
- Élaborer un modèle de passage du renseignement à l’action : processus d’opérationnalisation structuré
- Rapprocher, dès réception, les profils ciblés décrits dans les avis du portefeuille de fournisseurs
- Réévaluer en priorité les fournisseurs correspondant au profil ciblé : examen hors cycle
- Suivre le circuit entre avis et action comme indicateur du programme
Si vous êtes une petite équipe
Abonnez-vous aux alertes et avis de cybersécurité de la CISA : ils sont gratuits et comprennent des avis sur les attaques de la chaîne d’approvisionnement. Pour chaque avis sur la chaîne d’approvisionnement reçu, accomplissez une étape simple d’opérationnalisation : dressez la liste des fournisseurs de votre portefeuille qui correspondent au profil ciblé décrit (secteur, pile technologique, plateforme CI/CD) et planifiez avec chacun un entretien d’évaluation hors cycle pour les interroger précisément sur les vecteurs d’attaque décrits. Cette seule étape transforme la réception du renseignement en action pour les avis les plus pertinents pour votre portefeuille de fournisseurs.
- S’abonner aux avis de la CISA sur la chaîne d’approvisionnement
- Rapprocher chaque avis du profil ciblé dans le portefeuille de fournisseurs
- Planifier une évaluation hors cycle pour les fournisseurs correspondants
- Élaborer des questions d’évaluation propres à chaque avis à partir des TTP décrites
Ce qu’il faut exiger
Demandez directement :
« Nous avons reçu du renseignement décrivant [groupe d’acteurs de la menace précis] ciblant [vecteur d’attaque précis : identifiants CI/CD, injection dans les SDK]. Utilisez-vous les plateformes précises décrites dans l’avis, et avez-vous évalué votre exposition aux vecteurs d’attaque décrits ? »
Preuves attendues
- Connaissance par le fournisseur de l’avis de menace décrit
- Évaluation de l’exposition aux vecteurs d’attaque décrits
- Mesures de remédiation ou d’atténuation prises en réponse
- Surveillance des TTP décrites dans l’environnement du fournisseur
Il convient d’interroger un fournisseur qui confirme la sécurité de sa chaîne d’approvisionnement spécifiquement sur le ciblage décrit par le renseignement. La sécurité générale de la chaîne d’approvisionnement couvre des modèles de menace historiques. L’évaluation propre à un avis couvre l’activité actuelle des acteurs de la menace. Les deux sont nécessaires pour obtenir une image complète du risque actuel.
Comment le prouver
- Dossiers du circuit entre renseignement et TPRM
- Dossiers de rapprochement entre avis et fournisseurs
- Dossiers d’évaluation hors cycle des fournisseurs signalés par le renseignement
- Élaboration de questions d’évaluation propres à chaque avis
À retenir
Rapport de renseignement sur les menaces reçu. Ciblage des CI/CD et injection dans les SDK : décrits. Évaluations des fournisseurs : non mises à jour. Deux fournisseurs ciblés : 6 mois plus tard. Le renseignement décrivait l’attaque avant qu’elle ne se produise. L’opérationnalisation aurait traduit ce renseignement en priorités de réévaluation des fournisseurs et en questions d’évaluation propres au vecteur d’attaque avant que le ciblage n’ait lieu. Consommer du renseignement sans l’opérationnaliser, c’est savoir sans agir. Le circuit qui va de la réception d’un avis à l’action TPRM transforme ce savoir en la réponse de gestion des risques que la publication du renseignement devait permettre.