Comment les attaques de type "supply chain" peuvent impacter votre business ?

Solarwinds, CCleaner, xz-utils ne sont que quelques exemples d'attaques de la chaîne d'approvisionnement qui ont eu un impact significatif sur la disponibilité des services. L'exemple le plus récent de mars 2024 sur la porte dérobée xz-utils montre comment un attaquant peut prendre le temps de préparer l'attaque (parfois plusieurs années) et diffuser le code malveillant à travers un package très utilisé.

Ce type de menace devient de plus en plus difficile à identifier à mesure que les attaquants trouvent de plus en plus de méthodes pour insérer et distribuer le code malveillant et tentent même de rendre le code malveillant invisible à l'œil expert. Nous pouvons examiner de plus près l'attaque par porte dérobée xz-utils et voir comment l'attaquant a réussi à insérer et à distribuer le code malveillant.

Je présenterai également quelques solutions qui permettent d'identifier rapidement les vulnérabilités (dependency-track) et comment garder les applications à jour (renovate, repository mirroring).