66 SEGURIDAD updates rutinarias para resolver vulnerabilidades-bugs detectadas. Los fabricantes de software distribuyen las actualizaciones desde servidores centralizados (propios o arrendados) a sus clientes como una parte rutinaria del mantenimiento de sus productos. Los ciber-atacantes pueden secuestrar las actualizaciones infiltrándose en la red del fabricante para insertar malware en las actualizaciones salientes o alterando las actualizaciones para conceder al ciber-atacante control sobre la funcionalidad normal del software. Así mismo los ciber-atacantes pueden realizar estrategias MITM (Man In The Middle) para reemplazar las actualizaciones buenas por otras contaminadas/ infectadas o con agentes perversos en vida latente, por ejemplo, en actualizaciones OTA (Over The Air) dirigidas, por ejemplo, a vehículos conectados/autónomos. Otro ejemplo, son los ciber-ataques basados en malware NotPetya del 2017 de Rusia contra el software 'tax accounting' de Ucrania. El nivel de información de las cadenas de suministro y los recursos de clientes/ suministradores se convierten en el objetivo de ciber-ataques con actividades ilícitas como sabotajes, fraudes, espionajes, falsificaciones, intrusiones no autorizadas (por ejemplo, a nivel de información en una cadena de suministro de gas se puede causar un bloqueo del sistema de pedidos y una parada de la entrega y de la consiguiente producción de energía), etc. CONSIDERACIONES FINALES Los análisis continuados de ciberriesgos (apoyados por pentest, monitorización profunda, defensa generalizada multi-direccional, herramientas defensivas con IA como DAIM, etc.) permiten evaluar, valorar y medir el grado de ciberseguridad y nivel de madurez/ciber-resiliencia existente, así como defender y proteger a las cadenas de suministro realizando las actuaciones necesarias para su adecuado funcionamiento. La CITC (Communications and Information Technology Comision) de Arabia Saudí pretende reforzar la ciber-protección de los proveedores de servicios en el sector de las comunicaciones, las tecnologías de la información y los servicios postales para obtener una ciber-protección eficiente más madura, ciber-resiliente basada en estándares sólidos internacionales y certificada por organismos homologados competentes. n firma digital o explotando controles de acceso de cuentas mal configuradas. Socavando la firma de código los ciber-atacantes pueden secuestrar con éxito las actualizaciones de software suplantando un fabricante de confianza e insertando malware en las actualizaciones. • (2) Comprometer el código fuente abierto. El comprometer el código fuente abierto ocurre cuando los ciber-atacantes insertan malware en las librerías de código públicamente accesibles cuyos desarrolladores ingenuos buscan bloques de código libres para realizar funciones específicas luego los añaden en su código de terceras partes. Por ejemplo, el caso de las librerías Python maliciosas subidas a PyPI (Python Package Index) oficial que contenían la capacidad maliciosa para obtener persistencia de arranque y abrir un reverse Shell en las estaciones remotas de las víctimas. El código fuente abierto comprometido puede afectar a software propietario ya que sus desarrolladores a veces lo utilizan para construir su código propietario bloques de código fuente abierto. • (3) Secuestro de actualizaciones. La mayoría del software moderno necesita recibir actualizaciones/ REFERENCIAS • Areitio, J. “Seguridad de la Información: Redes, Informática y Sistemas de Información”. Cengage Learning-Paraninfo. 2022. • Areitio, J. “Identificación y exploración del horizonte de sucesos y espacio de observación vinculado al moderno malware”. Revista Seguridad, SG-35. Septiembre, 2021. • Areitio, J. “Ampliación de funciones del DAIM/MIAD para la defensa y protección contra todo tipo de ciber-ataques ofensivos”. Revista Seguridad, SG-38 y Revista Eurofach Electrónica, EF-487 Interempresas. Abril 2022. • Hughes, C. “Software Transparency: Supply Chain Security in an Era of a Software–Driven Society”. John Wiley & Sons Inc. 2022. • Batina, L., Bäck, T., Buhan, I. and Picek, S. “Security and Artificial Intelligence: A Crossdisciplinary Approach”. Springer. 2022. • Blokdyk, G. “Supply Chain Cybersecurity A Complete Guide”. 5STARCooks. 2021. • Khojasteh, Y., Xu, H., Zolfaghari, S. “Supply Chain Risk Mitigation: Strategies, Methods and Applications”. Springer. 2022.
RkJQdWJsaXNoZXIy Njg1MjYx