Cómo funcionan los Supply Chain Attacks: El caso Axios

CodelyTV - Redescubre la programación

Resumen

El vídeo explica los peligros de los ataques a la cadena de suministro (Supply Chain Attacks) en el desarrollo de software, utilizando el caso de la librería Axios como ejemplo principal. Analiza cómo actores maliciosos utilizan ingeniería social sofisticada para infectar equipos de mantenedores, logrando inyectar código malicioso en dependencias populares. Finalmente, ofrece estrategias defensivas prácticas como actualizar dependencias solo en entornos de CI, utilizar periodos de espera (cooldown) para nuevas versiones y emplear proxies de dependencias para asegurar la integridad del código fuente.

Capítulos

  1. 0:02Introducción a los ataques de cadena de suministro
  2. 1:08Qué es Axios y el rol del mantenedor
  3. 3:14El vector de ataque: ingeniería social avanzada
  4. 5:16Simulación de confianza y videollamadas falsas
  5. 6:43El troyano de acceso remoto RAT
  6. 7:13La falta de validación entre GitHub y NPM
  7. 8:41El riesgo de los scripts post-install
  8. 9:27La magnitud del problema en el ecosistema
  9. 11:27Estrategia: actualizar solo en entornos de CI
  10. 13:04Conclusión y recursos educativos
  11. 13:25Buenas prácticas con Dependabot y etiquetas
  12. 13:58Implementación de periodos de espera (cooldown)
  13. 15:09Uso de proxies para mayor seguridad

Temas tratados

  • Naturaleza de los ataques de supply chain
  • Rol de los mantenedores y mantenimiento de paquetes
  • Ingeniería social y compromiso de equipos
  • Vulnerabilidad en el proceso de post-instalación
  • Importancia del sello de confianza Provenance
  • Estrategias de actualización en CI frente a local
  • Seguridad mediante periodos de espera
  • Uso de proxies para integridad de dependencias

Extracto de la transcripción

Llevamos una racha donde no hacemos más que ver ataques de supply chain. ¿Qué quiere decir ataques de cadena de provisionamiento en tus dependencias, en tu aplicación? Lo vemos en múltiples ecosistemas. Ahí tenemos la gente del ecosistema JavaScript con axios hace unos escasos semanas o meses y también en cualquier ecosistema, no se salva nadie, Python y muchos más otros, como también, ojo importante, JVM. Correcto. Y la JVM, lo que pasó en su momento con LC for J no fue el problema de que vino un hacker, una persona mala y metió una dependencia incorrecta, no. Fue un B de seguridad que se metió, se introdujo sin querer y de golpe con si tenías esa dependencia se podía ejecutar código remoto en tu ordenador. Vamos a ver en este vídeo en qué consisten estos ataques y cómo es posible que se produzcan. Lo vamos a ver paso a paso y lo vamos a ver de la mano de el ejemplo concreto de el caso…