Het Nationaal Cyber Security Centrum (NCSC) adviseert softwareontwikkelaars om een cooldown-periode voor dependency-updates te hanteren. Ook wordt het gebruik van versiepinning en het uitschakelen van preinstall- en postinstall-scripts aangeraden en moet men alert zijn op aanpassingen van GitHub Actions-workflows. Onlangs adviseerde ook het Britse National Cyber Security Centre (NCSC) om packages en andere dependency updates niet automatisch te installeren.

De afgelopen weken wisten aanvallers tal van packages van GitHub, npm of de Python Package Index (PyPI) van malware te voorzien. Softwareontwikkelaars die voor hun projecten van deze packages gebruikmaken en de geïnfecteerde versies installeerden raakten zo zelf geïnfecteerd. Vervolgens kon de malware inloggegevens, tokens, keys en andere credentials van deze ontwikkelaars stelen en hun softwareprojecten infecteren.

"Juist pakketregisters als npm en PyPI worden nu als doelwit gekozen. Ten eerste is het bereik groot: met één gecompromitteerd pakket raakt een aanvaller alle projecten die dat pakket binnenhalen, vaak indirect als afhankelijkheid van een afhankelijkheid. Ten tweede is het misbruik van een buitgemaakt token volledig te automatiseren. Na overname van een account van een maintainer, worden alle pakketten van die maintainer geautomatiseerd besmet", aldus het NCSC.

De overheidsinstantie waarschuwt dat het wachten is op het volgende incident. Organisaties kunnen echter verschillende maatregelen nemen om supplychain-aanvallen, zoals dit soort aanvallen worden genoemd, te voorkomen of beperken. Het gaat dan om preventieve maatregelen, zoals het niet blindelings toevoegen van nieuwe dependencies en het hanteren van een cooldown-periode, zodat nieuwe versies niet meteen worden geïnstalleerd. Ook wordt versiepinning aangeraden, wat moet voorkomen dat er een gecompromitteerde versie van een externe library wordt gedownload.

Een ander belangrijk aspect is monitoring. Het gaat dan onder andere om het controleren op onverwachte pakketreleases, het gebruik van authenticatietokens binnen CI/CD-pijplijnen en het toezicht houden op het aanmaken van repositories en op afwijkende workflow-uitvoeringen. "Zorg dat security advisories de juiste teams binnen enkele uren bereiken. De blootstellingsvensters in de incidenten hierboven liepen van achttien minuten tot enkele uren. Een wekelijkse securitynieuwsbrief bijvoorbeeld is dan te traag", laat het NCSC verder weten, dat ook tips geeft in het geval van een succesvolle supplychain-aanval.