Latest / Entre Chaves / Snippet #17 Dicas cruciais para lidar com Suply Chain Attack

Transcript

Snippet #17 Dicas cruciais para lidar com Suply Chain Attack · Entre Chaves

• 0:09
  Olá, meu nome é Lucas Emanuel, engenheiro saber segurança aqui
• 0:12
  no DT digital. Hoje eu vou trazer um tema muito
• 0:13
  importante que é o suplente em ataque e claro, dicas e meditas
• 0:17
  para mitigar este problema e tornar seu código cada dia mais
• 0:20
  seguro. Bom, para contextualizar,
• 0:22
  imagina que você trancou todas as portas da sua casa, instalou
• 0:25
  câmera, alarme, todo esse sistema de segurança, mas
• 0:28
  esqueceu que o encanador tinha uma cobra das.
• 0:30
  Fábio, isso pra ti em ataque é basicamente isso, o ataque não
• 0:32
  vem por você bem um pouquinho. Você confia quando um
• 0:35
  desenvolvedor que não só ele, raramente escreve tudo zero, eu
• 0:38
  uso até dizer né, que a maioria do código ele vem de de
• 0:41
  terceiros, né? Então ele usa bibliotecas ali
• 0:43
  prontas, pedaços de códigos feitos por outras pessoas para
• 0:46
  economizar o tempo, né? Em desenvolvimento o problema é
• 0:49
  que essas bibliotecas também podem ser comprometidas.
• 0:51
  Em setembro de 2025, pacote de CNPM usados por bilhões de
• 0:55
  projetos JavaScript foram infectados depois que atacantes
• 0:58
  enganaram os manter. Com o mi made phishing, o código
• 1:01
  malicioso entrou silenciosamente em milhares de aplicações, ou
• 1:05
  seja, ninguém atacou você diretamente.
• 1:07
  Atacar um fornecedor que você confiava.
• 1:10
  Esse é o contexto de supplyche em ataque.
• 1:11
  E para as dicas, fique de olho na reputação dos pacotes, não só
• 1:16
  nos bugs conhecidos. Existe uma lista oficial de
• 1:18
  vulnerabilidades conhecidas chamado CVS, mas ataques de
• 1:21
  supply chain muitas vezes aparecem antes de qualquer CV
• 1:25
  existir. Por isso existem, né?
• 1:27
  Ferramentas como software modev analisam se.
• 1:30
  Mais de alerta, um pacote que de repente passou a fazer conexões
• 1:33
  de rede, um mantenedor que mudou ou um nome muito parecido com
• 1:37
  uma biblioteca famosa? Antes de adicionar qualquer
• 1:40
  dependência nova do projeto, vale dar essa checada.
• 1:42
  Outra dica é cuidado com os nomes das bibliotecas parecidas.
• 1:46
  E, claro, não é isso. Tem o nome que é o times Square.
• 1:48
  Atacantes criam pacotes com nomes quase idênticos,
• 1:52
  originais, apostando no erro de digitação na hora que você vai
• 1:55
  dar um staling naquela dependência, por exemplo,
• 1:56
  requestes no linguagem e requestes de jano no lugar de.
• 2:00
  Django nordeste no lugar do nordeste, né?
• 2:02
  Então ele adiciona um IA mais ali no final.
• 2:04
  Parece até bobagem, né? Falando assim, mas funcionam
• 2:07
  especialmente quando você está com pressa ou copiando o nome de
• 2:11
  uma documentação, antes de instalar qualquer pacote,
• 2:14
  confirme o nome exato na fonte oficial e verifique o nome de
• 2:17
  downloads e data de criação, pois pacotes legítimos
• 2:20
  geralmente têm histórico longo e muitos usuários.
• 2:23
  Outro ponto é trave, a versão exata dos pacotes que você
• 2:26
  utiliza por padrão. Muitas ferramentas configuram os
• 2:29
  projetos para. Aceitar atualizações automáticas
• 2:31
  de pacotes isso parece bem conveniente, né?
• 2:34
  Mas significa que uma versão maliciosa pode entrar no seu
• 2:37
  projeto sem você perceber. A boa prática é fixar a versão
• 2:41
  exata e validar o resto, uma espécie de impressão digital do
• 2:44
  arquivo. Não por acaso, as organizações
• 2:46
  que saíram em lesa do ataque de 2025 citado anteriormente do NPM
• 2:50
  foram justamente as que já faziam isso.
• 2:53
  Por outro lado, coloque verificação de Independência no
• 2:56
  seu Pape line de entrega. Não adianta fazer uma auditoria
• 2:59
  manual uma vez. Por mês, ferramentas com
• 3:01
  dependa, boate ou snick ou até mesmo depender check, ficam de
• 3:04
  olho automaticamente e avisam ou até mesmo bloqueiam, né?
• 3:07
  Quando uma dependência suspeita tenta entrar no código, como um
• 3:11
  porteiro automático na entrada do seu repositório vai estar
• 3:14
  sempre de plantão e dividir? Bom, o suporte em ataque.
• 3:16
  Parece assunto de empresa grande, não é?
• 3:18
  Mas qualquer projeto que use a biblioteca de terceiro está
• 3:21
  exposto. A boa notícia é que a defesa é
• 3:23
  simples, monitorar a reputação, desconfiar de nomes parecidos,
• 3:26
  travar versões e automatizar a verificação no payploy.
• 3:30
  São 4 hábitos que eu citei aqui, né, que você pode começar a
• 3:33
  dotar ainda hoje no seu projeto até o próximo episódio.