När amerikanernas uppmärksamhet vände sig till grillar och öl i början av den senaste helghelgen på Labor Day, hade cyberkrigarna i US Cyber ​​Command något annat att tänka på: Varning för 180 000 användare av Atlassians Confluence -programvara att de riskerade att bli offer för en massiv pågående programvaruförsörjningskedjan attack.

I ett 3 september-inlägg på Twitter varnade USCYBERCOM att ”Massutnyttjandet av Atlassian Confluence CVE-2021-26084 pågår och förväntas accelerera. Lappa omedelbart om du inte redan har gjort det – det kan inte vänta tills efter helgen. ”

Det är lätt att se varför USCYBERCOM var så skrämmande. Enligt sin webbplats kommer Atlassians Confluence -programvara “att ge ditt team en plats att skapa, fånga och samarbeta om alla projekt eller idéer. . ” På grund av dess öppna och samarbetsvilliga karaktär kan en angripare som lyckas tränga in i en organisations samarbetsyta för sammanflöde komma undan med en massiv mängd privat företagsinformation, samt starta uppföljningskedjor mot kunder och leverantörer. Och utöver andra programvaruförsörjningskedjeangrepp som Solar Winds, Codecov och Kaseya, skulle det helt klart vara nödvändigt för mjukvaruleverantörer att proaktivt distribuera lösningar som kan förhindra manipulering av kod och skydda integriteten i mjukvaruutvecklingens livscykel, särskilt i denna nya era av ”Alltid på” Kontinuerlig integration/Kontinuerlig distribution (CI/CD).

Lyckligtvis för utvecklare finns det ett ökande antal cybersäkerhetsföretag som specifikt fokuserar på att skydda säkerheten för utvecklarnas kod. Och inte överraskande är många av dessa företag israeliska:

WhiteSource Software https://www.whitesourcesoftware.com/  WhiteSource erbjuder en heltäckande lösning för att skydda säkerheten för programvara med öppen källkod. realtid. WhiteSource tillhandahåller också handlingsbara, validerade avhjälpningsvägar för att möjliggöra snabb upplösning och automatiserad policyhantering för att påskynda tid att åtgärda. WhiteSource ger stöd för över 200 programmeringsspråk och spårar kontinuerligt flera sårbarhetsdatabaser med öppen källkod, inklusive USA: s nationella sårbarhetsdatabas, säkerhetsråd, peer-reviewed granskningsbaser för sårbarhet och projektfrågor med öppen källkod.

Argon Security https://argon.io/  Argon ger holistisk säkerhet för mjukvaruförsörjningskedjor. Argon gör det möjligt för DevOps och säkerhetsteam att skapa manipuleringssäkra leveransrör för mjukvara, från åtaganden till release. Företagets första säkerhetslösning på marknaden ger synlighet, säkerhet och integritet för CI/CD-pipelines, vilket säkerställer ökat förtroende för programvaruversioner.

Spectral https://spectralops.io/  Spectral tillhandahåller en automatiserad kodsäkerhetsplattform för företag och utvecklare. Med Spectrals första utvecklingsmetod kan programvara säkras och levereras fritt på vilken plattform som helst genom att upptäcka och begränsa säkerhetsbrister i realtid som kan leda till massiva dataintrång och affärskontinuitetsproblem.

Dustico https://dusti.co/  Demonstrerar den växande vikten av att skydda mjukvaruförsörjningskedjor, Dustico- trots att han knappt var några månader i smyg- förvärvades just av det israeliska cyberföretaget Checkmarx. Dustico tillhandahåller en dynamisk plattform för analys av källkoder för att förhindra attacker från leverantörskedjor med öppen källkod. Dess kodsandlåda upptäcker skadligt beteende vid kodändringar (kombinerar statisk och dynamisk analys), vilket hjälper till att förhindra oönskad skadlig kod och paket med öppen källkod innan koden distribueras till produktion.

ycode https://cycode.com  Cycode använder sin patentsökta Source Path Intelligence-motor för att ge IT-säkerhetsteam synlighet i alla sina lokala och molnbaserade källkodshanteringssystem, som automatiskt upptäcker och svarar på avvikelser i tillgång till källkod, rörelse och manipulation. Cycode gör det möjligt för användare att snabbt och effektivt svara på hot när de uppstår genom att implementera nya säkerhetskontroller och justera befintliga.