L'intrusion de dépôt Trellix expose les risques pour les clients et la chaîne d'approvisionnement logicielle

La société de cybersécurité Trellix a confirmé une intrusion qui a permis l'accès non autorisé à une partie de votre dépôt de code source et affirme avoir ouvert une enquête médico-légale avec des experts externes et notifié aux autorités. La société, issue de la fusion de McAfee Enterprise et de FireEye et détenue par Symphony Technology Group, soutient qu'il n'y a jusqu'à présent aucune preuve que son code ait été publié ou exploité, mais n'a pas précisé quelles données spécifiques pourraient être consultées ou combien de temps l'intrusion a duré.

Face à de telles annonces, nous devons séparer l'encours vérifié de l'encours: l'existence d'un accès à un dépôt implique un risque réel même si aucune participation immédiate n'a été détectée. Le code source exposé peut faciliter les acteurs malveillants pour identifier les échecs, construire des exploits ou créer des évasions spécifiques contre des produits et peut également aggraver les risques de la chaîne d'approvisionnement si elle est constituée de pièces utilisées par des tiers. Les incidents antérieurs de l'industrie ont montré comment l'accès à des outils ou à des composants légitimes peut devenir des leviers pour des opérations de haute précision.

D'un point de vue technique, les menaces les plus probables après une filtration partielle du code sont la recherche automatisée et manuelle de vulnérabilités, la suppression des secrets intégrés (crédences, clés, paramètres) et la possibilité d'inverser l'ingénierie pour éviter les protections. Par conséquent, outre les enquêtes médico-légales, il est essentiel d'examiner les processus de construction et de distribution : vérifier l'intégrité du bâtiment, comparer les hachages avec les versions de référence et les chaînes de signature et de déploiement d'audit.

Pour les clients et les responsables de la sécurité utilisant les produits Trellix, la recommandation initiale est d'adopter le principe de précaution: supposer qu'il peut y avoir un risque d'exploitation et augmenter le niveau de surveillance. Cela comprend la vérification de l'intégrité des mises à jour, l'examen des règles et des signatures dans les systèmes de détection, la rotation des lettres d'identité ou des secrets qui peuvent avoir été stockés dans les dépôts, et l'application de détections basées sur le comportement dans les terminaux et le réseau. Demander à Trellix des détails techniques contrastés et des délais précis pour l'atténuation et l'examen est une mesure valable du point de vue contractuel et opérationnel.

Du point de vue du fournisseur concerné, une réponse appropriée doit combiner confinement opérationnel et transparence contrôlée: révoquer l'accès engagé, vérifier les pipelines CI / CD, reconstruire les artefacts à partir de sources propres et publier les indicateurs d'engagement (IoC) et les vérifications des clients. La participation d'experts externes et la notification aux autorités sont des étapes appropriées, mais la confiance des clients est renforcée par des rapports techniques clairs et des preuves que les processus de distribution n'ont pas été modifiés. Les organismes et les équipes internes devraient être guidés par des pratiques bien reconnues pour protéger la chaîne d'approvisionnement des logiciels; le gouvernement et les organismes comme la CISA offrent des guides utiles à cet égard.

En termes de réglementation et de gouvernance, de tels incidents peuvent activer les obligations de déclaration aux organismes de réglementation et aux clients, selon la juridiction et les données potentiellement touchées. Les sociétés de sécurité font l'objet d'un examen spécial parce que leur logiciel sert de première ligne de défense; par conséquent, en plus de corriger l'intrusion, il est prudent de revoir les clauses contractuelles de sécurité et d'exiger des audits ou des certifications le cas échéant.

Les actions spécifiques que nous recommandons aux organisations et aux administrateurs de TI sont les suivantes : assumer temporairement une position de risque accrue par rapport aux produits concernés, renforcer les règles de surveillance et de détection, vérifier les fermes et les paquets par rapport aux sources officielles, faire pivoter les secrets possibles et demander à votre fournisseur de prouver l'intégrité des bâtiments et une liste d'atténuations appliquées. Pour approfondir les mesures de protection des risques dans la chaîne d'approvisionnement des logiciels, voir les lignes directrices de référence publiées par des autorités telles que la CISA et le cadre de développement sûr du NIST.

Cette nouvelle est en cours de développement et il est important de poursuivre les rapports officiels de Trellix et les aiguilles techniques publiées par des sources indépendantes. Pour l'information institutionnelle et les ressources de sécurité de la chaîne d'approvisionnement, consultez le site Web de Trellix à l'adresse suivante: https: / / www.trellix.com, le guide de la CISA sur la sécurité de la chaîne d'approvisionnement https: / / www.cisa.gov / chaîne d'approvisionnement et le cadre de développement sûr du NIST https: / / csrc.nist.gov / projets / ssdf. Nous continuerons à mettre à jour l'analyse à mesure que des détails plus vérifiables seront publiés.