Consideri che cosa si pretende dalle catene di fornitura che il mondo tratta come critiche. Un’azienda farmaceutica documenta la provenienza, la composizione e la storia dei test di ogni ingrediente che vende. Un costruttore di aeromobili ricostruisce la storia di certificazione di ogni componente che installa e conserva quei registri per tutta la vita della cellula. Un produttore alimentare deve dimostrare dove un ingrediente è stato coltivato, lavorato e trasportato, e deve produrre quel registro entro poche ore da un evento di contaminazione. Le autorità di vigilanza controllano i registri, ispezionano gli stabilimenti e impongono conseguenze quando la documentazione non regge.

Consideri ora che cosa si pretende dalle organizzazioni che costruiscono sulla catena di fornitura digitale. A un team che integra uno script di terze parti in genere non è richiesto di documentare da dove provenga, chi lo abbia scritto o che cosa porti con sé. A un’azienda che aggiunge un’integrazione per la distribuzione dei contenuti non è richiesto di dimostrare che ciò che quel fornitore consegna sia stato verificato rispetto a qualcosa. A un operatore che mette un’interfaccia basata su browser davanti a un sistema di controllo non è richiesto di mappare ciò che quell’interfaccia carica prima di collegarla. Per la maggior parte delle organizzazioni, nella maggior parte delle giurisdizioni, sulla maggior parte di questa catena di fornitura, non esiste alcun obbligo di documentare, controllare, verificare o monitorare ciò che viene integrato ed eseguito.

Non è negligenza di nessuno. I framework che renderebbero possibile una protezione sistematica sono stati scritti per i componenti, e questo è un problema di assemblati. Esistono strumenti sofisticati per proteggere le singole parti. Esiste molto poco per vedere la catena nel suo insieme.

La catena di fornitura digitale non è una sola catena. Sono otto livelli che operano contemporaneamente: reti e infrastruttura, software e firmware, hardware e dispositivi, servizi e kit di sviluppo, codice e librerie, dati e modelli, risorse e file, e l’interfaccia in cui tutti convergono in ciò che una persona vede realmente.

La trattazione copre che cosa apporta ciascun livello, quali prove esistono per esso e perché l’esposizione non è la somma delle vulnerabilità di ciascun livello, ma l’insieme dei percorsi che li collegano.

Un componente può cambiare proprietario senza che cambi una riga di codice. Il dominio si risolve allo stesso modo, lo script ha lo stesso hash e il traffico è identico perché è identico. Ciò che è cambiato è chi decide che cosa quel componente farà in seguito, e nulla di questo è visibile in un’acquisizione.

La trattazione copre i quattro modi in cui il controllo si sposta realmente, l’intervallo tra un trasferimento e il momento in cui qualcuno se ne accorge, sei casi documentati con le date, e perché il monitoraggio che li avrebbe intercettati risiede in registri, atti depositati e cronologie dei repository anziché sulla rete.

Distinte base, attestazioni di build, dichiarazioni di sfruttabilità, report sui controlli, politiche del browser, punteggi di postura, individuazione della superficie di attacco e screening della proprietà effettiva. Nove categorie, che cosa stabilisce ciascuna e il punto preciso in cui ciascuna si ferma.

La trattazione dichiara con chiarezza che cosa aggiunge questo metodo: il passaggio tra il punto in cui finisce l’individuazione esterna e quello in cui comincia la risoluzione della proprietà. Definisce inoltre i quattro termini su cui il lavoro si fonda e spiega perché un fornitore non dichiarato di norma non è un fornitore occultato.

Acquisizione, risoluzione, attribuzione e riconciliazione, applicate a ogni fornitore che le prove portano alla luce e ripetute sui livelli che stanno al di sotto di essi. Un elenco di fornitori registra le decisioni; un’applicazione registra i comportamenti, e i due si allontanano dal giorno in cui il contratto viene firmato.

La trattazione copre il ciclo completo, gli assi dell’osservazione e dell’attribuzione lungo i quali si svolge, come un host viene risolto in un’azienda e che cosa accade quando non è possibile, e che cosa contiene il prodotto del lavoro.