Edition 16

Nulla è stato sfruttato su RubyDoc. YARD ha caricato uno script indicato dall'autore del pacchetto, una funzionalità documentata che ha funzionato correttamente. Gli agenti non hanno compromesso il sistema di build, lo hanno usato. La vostra pipeline estende la stessa cortesia a ogni pacchetto che scaricate e a ogni file di configurazione al suo interno. Se trattate l'ambiente di build come uno strumento invece che come produzione, cambiate approccio questa settimana.

E tenetela presente come schema ricorrente. Tre incidenti, nessuno divulgato dalla parte che lo sapeva per prima. I maintainer di RubyGems hanno trascorso quattro mesi senza sapere chi li avesse colpiti con un DDoS. Il wiki è stato difeso da un volontario che eliminava le pagine a mano. Siate onesti sui fatti: un'indagine richiede tempo. Ma quando l'organizzazione che detiene i log non è quella che vi informa, lo scoprite da un volontario con un tasto di eliminazione.

La Silicon Valley ha scoperto che bisogna controllare un sistema prima di migliorarlo. Benvenuti in Europa. Lo chiamiamo AI Act, NIS2 e DORA, e abbiamo trascorso tre anni a sentirci dire che è burocrazia che uccide l'innovazione. L'unico vantaggio che hanno su di noi è che lo dicono dopo aver rotto qualcosa.

Prendete l'allarme sul serio comunque, e notate al tempo stesso il tempismo. Poi riducete il piano a ciò su cui potete agire: valutatori indipendenti con accesso reale, che leggono i log e confermano che il sistema sia rimasto entro i propri limiti. È assurance di terza parte, ed è il punto su cui il consiglio enterprise converge dall'altra direzione. Un'identità per agente, credenziali che muoiono con il task, qualcuno esterno al team che legge i log. È access management e ISO 42001, applicati a un nuovo tipo di utente.

Questa è la parte della supply chain che il vostro SBOM non copre. Abbiamo trascorso l'estate sulle npm worm e le bill of materials, e tutto ciò inventaria ciò che compilate e distribuite. Questo gira nel browser del vostro cliente, dal server di qualcun altro, con pieno accesso al vostro modulo di pagamento. E avete già visto il meccanismo due volte qui: la casella di posta dell'ex dipendente che nessuno ha eliminato, la carta Visa scaduta che autorizzava ancora i pagamenti. Scaduto non significa revocato. Qualcuno raccoglie le chiavi che avete buttato via.

Lunedì mattina, e questo è semplice. Distribuite una Content Security Policy in modalità report-only per una settimana. Non impone nulla e non blocca nulla. Vi dice semplicemente cosa sta eseguendo nei browser dei vostri utenti, e quell'elenco è sempre più lungo di quanto chiunque si aspetti.

Leggete attentamente quelle date, perché il titolo che tutti ripetono è quello sbagliato. Server 2022 che lascia il mainstream support non è end of life. Mantiene aggiornamenti di sicurezza gratuiti per altri cinque anni. Le pietre tombali che contano sono 2012 R2, il cui ultimo ESU scade lo stesso giorno, e 2016 a gennaio, molto probabilmente senza alcuna opzione a pagamento per guadagnare tempo.

Ciò che rende questa situazione pericolosa è il tema di tutto questo numero: nulla si rompe. Il 13 gennaio 2027 i server si avviano, le applicazioni girano, nessuno se ne accorge. Le uniche persone che forzano la decisione sono il vostro auditor, il vostro assicuratore e i vostri vendor che rimuovono la versione dalle proprie matrici di supporto, e tutti e tre arrivano dopo la data. Trattatelo come ciclo di vita degli asset, non come patching. Se state ancora migrando da 2012 e 2016 mentre 2022 cambia stato dietro di voi, non avete un backlog di patching. Avete un cimitero di sistemi operativi e nessun calendario funebre.

Finalmente. Metto decoy ovunque lavoro, e ovunque lavorano i miei team. Nascosti nella rete, nelle condivisioni di file, in account che sembrano reali e non appartengono a nessuno. Quasi nessuno ci pensa, e ora esiste un documento governativo gratuito che vi guida passo dopo passo. La scusa è finita.

Rileggete questo numero e capirete perché si chiude qui. Agenti che girano in un ambiente di build con accesso legittimo. Uno script che gira nel browser del vostro cliente con i vostri privilegi. Credenziali che hanno sopravvissuto al loro proprietario. Niente di tutto questo rompe qualcosa, ed è esattamente per questo che i vostri strumenti restano silenziosi. Un decoy inverte questo: nessuno di legittimo ha motivo di toccare un honeytoken, quindi quando uno scatta ottenete un segnale con quasi nessun rumore. Costruitelo correttamente: un decoy mal fatto è una responsabilità. E non trattate questa guida come la maggior parte delle persone tratta i propri audit report, letta una volta, archiviata, dimenticata. Il decoy che distribuite è il controllo. Il PDF è solo carta.