Podcast: Play in new window | Download (Duration: 1:28:40 — 121.8MB)
Subscribe: Apple Podcasts | Spotify | RSS | More
Nordkorea ist dabei, die Chinesen und die Russen sowieso. Die Rede ist von Cyber-Operationen via Software Supply Chains, also Softwarelieferketten. Eine Organisation wird nicht über ihre eigene Infrastruktur angegriffen, sondern über eine Kompromittierung eines externen Dienstleisters, von dem sie abhängig ist. Eine Software Supply Chain kann zum Beispiel Managed Service Provider umfassen, die z.B. Netzwerke für Unternehmen managen oder Mobile Device Management Dienste bereitstellen. Aber auch Angriffe auf Update-Verteilungsmechanismen gehören zu Software Supply Chain Risiken. Die sind eine besondere Herausforderung, weil Verteidigung dagegen schwer ist. Zudem skalieren die Angriffe, weil Supply Chain Anbieter potenziell viele Kundinnen und Kunden haben: Hack once, penetrate thousands. Seit dem Solarwinds-Vorfall ist das leider ein Trend unter Cyber-Operationen. Wie man mit diesen Risiken umgehen kann, darüber spreche ich heute mit Dr. Alexandra Paulus von der Stiftung Neue Verantwortung, die kürzlich darüber eine Studie geschrieben hat
Shownotes
- Alexandra Paulus bei der Stiftung Neue Verantwortung, https://www.stiftung-nv.de/de/person/dr-alexandra-paulus-elternzeit
- Government’s Role in Increasing Software Supply Chain Security, https://www.stiftung-nv.de/sites/default/files/governments_role_in_increasing_software_supply_chain_security.pdf
- NIS 2 directive, https://www.europarl.europa.eu/thinktank/de/document/EPRS_BRI(2021)689333
- EU Cyber Resilience Act, https://digital-strategy.ec.europa.eu/en/library/cyber-resilience-act
- Improving the Nation’s Cybersecurity: NIST’s Responsibilities Under the May 2021 Executive Order, https://www.nist.gov/itl/executive-order-14028-improving-nations-cybersecurity
- ‘The Internet Is on Fire’, A vulnerability in the Log4j logging framework has security teams scrambling to put in a fix, https://www.wired.com/story/log4j-flaw-hacking-internet/
- Conti ransomware uses Log4j bug to hack VMware vCenter servers, https://www.bleepingcomputer.com/news/security/conti-ransomware-uses-log4j-bug-to-hack-vmware-vcenter-servers/
- Exploring a crypto-mining campaign which used the Log4j vulnerability, https://de.darktrace.com/blog/exploring-a-crypto-mining-campaign-which-used-the-log-4j-vulnerability
- Percepticon, Folge 24 Solarwinds, https://percepticon.de/2021/01/24-solarwinds-hack-invite-sven-herpig/
- Kaseya supply chain attack impacts more than 1,000 companies, https://www.techrepublic.com/article/kaseya-supply-chain-attack-impacts-more-than-1000-companies/
- Supply chain cyberattack with possible links to North Korea could have thousands of victims globally, https://cyberscoop.com/3cx-hack-supply-chain-north-korea/
- Percepticon, Folge 22 Security by design /invite Dennis Stolp, https://percepticon.de/2020/12/22-security-by-design-invite-dennis-stolp/
- Chinese Hackers Targeted Global Firms Via Supply Chain, https://www.infosecurity-magazine.com/news/chinese-hackers-targeted-firms/
- BSI IT-Sicherheitskennzeichen, https://www.bsi.bund.de/DE/Themen/Unternehmen-und-Organisationen/IT-Sicherheitskennzeichen/fuer-Hersteller/IT-SiK-fuer-hersteller_node.html
- MSC Label Debatte., https://www.theguardian.com/environment/2021/jul/26/blue-ticked-off-the-controversy-over-the-msc-fish-ecolabel
- XKCD Comic “Dependency”, https://xkcd.com/2347/
- National Telecommunications and Information Association, https://ntia.gov/page/software-bill-materials
- Verfahren gegen Lilith Wittmann eingestellt – weil CDU connect ungeschützt war, https://www.heise.de/news/Verfahren-gegen-Lilith-Wittmann-eingestellt-weil-CDU-connect-ungeschuetzt-war-6194222.html
- Governance von 0-Day-Schwachstellen in der deutschen Cyber-Sicherheitspolitik
- SWP-Studie 2019, https://www.swp-berlin.org/en/publication/governance-von-0-day-schwachstellen
- OECD, Encouraging vulnerability treatment, https://www.oecd.org/digital/encouraging-vulnerability-treatment.pdf
- Atlantic Council, Breaking trust: Shades of crisis across an insecure software supply chain, https://www.atlanticcouncil.org/in-depth-research-reports/report/breaking-trust-shades-of-crisis-across-an-insecure-software-supply-chain/
- Atlantic Council, Breaking trust: The dataset, https://www.atlanticcouncil.org/commentary/trackers-and-data-visualizations/breaking-trust-the-dataset/
Timecodes
00:00:13 Vorstellung
00:05:00 Relevanz des Themas Software Supply Chain Security, Policies, Log4j, Kaseya
00:13:15 Software Supply Chain Compromise, Definitionen
00:17:57 Schwierigkeiten bei Software Supply Chain Security: Software Entwicklungszyklen, Lebensdauer & Updates, Cloud
00:20:47 Kaseya Vorfall
00:23:23 Ursachen für Software Unsicherheit
00:27:00 Geringe Sicherheitspriorisierung & Ausbildung
00:28:35 Sichtbarkeit von Sicherheit in IT Produkten
00:30:23 Bedrohungsakteure
00:31:14 Politische und wirtschaftliche Lösungen
00:31:50 Softwareauswahl nach Herstellungsland?
00:35:34 BSI Produktlabel, Vor und Nachteile
00:47:00 Software Bill of materials
00:50:05 VEX Datenformat & common security advisory framework
00:52:42 Open Source & Legacy software
00:54:25 Was der Staat tun kann: Vorbild, Weiterbildungsangebote , Beschaffung, Regulierung
01:07:18 Coordinated Vulnerability Disclosure
01:23:44 Implikationen für die Cyber Diplomatie
Hinweise
Kommentare und konstruktives Feedback bitte auf percepticon.de oder via Twitter. Die Folge erscheint auf iTunes, Spotify, PocketCast, Stitcher oder via RSS Feed. Apple Podcasts unterstützt gegenwärtig kein HTML mehr, weshalb das hier alles etwas durcheinander ist.
- Modem Sound, Creative Commons.
- © Vint Cerf, „Internet shows up in December 1975“, in: IEEE Computer Society, Computing Conversations: Vint Cerf on the History of Packets, December 2012.
- © L0pht Heavy Industries testifying before the United States Senate Committee on Governmental Affairs, Live feed from CSPAN, May 19, 1998.
- © Barack Obama, Cybersecurity and Consumer Protection Summit Address, 13 February 2015, Stanford University, Stanford, CA.
- © Michael Hayden, „We kill people based on meta-data,“ in: The Johns Hopkins Foreign Affairs Symposium Presents: The Price of Privacy: Re-Evaluating the NSA, April 2014.
- © Bruce Schneier, „Complexity is the enemy of security, in IEEE Computer Society, Bruce Schneier: Building Cryptographic Systems, March 2016.
- Beats, Bass & Music created with Apple GarageBand
Klarifikation ? You need to germanize your Denglish mate… 🤣🤣