Конечные собственники
История
2021: Приобретение компанией Checkmarx
5 августа 2021 года израильский разработчик средств тестирования приложений Checkmarx объявил о приобретении Dustico, производителя платформы для выявления вредоносных составляющих в цепочках поставок открытого программного обеспечения. Условия сделки не раскрываются.
Фото: hasade.com
Платформу Dustico планируется интегрировать с собственной разработкой Checkmarx - средством анализа компонентов открытого ПО CxSCA. Это позволит предоставлять клиентам «единую картину рисков, репутации и поведения компонентов открытого ПО», чтобы воспрепятствовать атакам через цепочки поставок (также называются атакой третьей стороны, атакой на цепочку создания стоимости или взломом с черного хода. Атака на цепочку поставок происходит, когда злоумышленник получает доступ к сети компании через сторонних вендоров или поставщиков, либо через цепочку поставок[1]).
 | Распространённость подобных атак в последние годы растёт. Успешная атака через системы SolarWinds в 2020 году привела к катастрофическим по своим масштабам последствиям. В 2021 году Агентство ЕС по кибербезопасности ENISA прогнозирует четырёхкратный рост подобных атак по сравнению с 2020 годом, и естественно, что отрасль информбезопасности испытывает повышенный интерес к средствам защиты цепочек поставок. сказал Алексей Водясов, технический директор компании SEC Consult Services.
|  |
По состоянию на 2021 год на рынке ИБ наблюдается повышенная активность в плане борьбы с атаками на цепочки поставок: в начале августа 2021 года компания ReversingLabs привлекла инвестиции в размере 56 млн долларов на создание средств противодействия таким атакам, Gitlab раскрыл исходники пакета Package Hunter, предназначенного для инспекции зависимостей в ПО на предмет вредоносных компонентов. Google, в свою очередь, представил фреймворк Supply Chain Levels for Software Actifacts (SLSA), также предназначенный для выявления ошибок и вредоносных элементов в сторонних программных компонентах.
Использование компонентов с открытым исходным кодом в создании программного обеспечения нередко называют одной из основных причин распространения атак на цепочки поставок. Используемые при разработке менеджеры зависимостей в автоматическом режиме могут скачивать и устанавливать десятки и сотни опенсорсных компонентов в ходе жизненного цикла ПО, а далеко не все эти компоненты безупречно написаны. Более того, бывают случаи, когда опенсорсный компонент компрометируется злоумышленниками, и их вредоносный код оказывается встроенным в конечный продукт.
Платформа Dustico создавалась как раз с тем, чтобы защититься от подобных сценариев. Основанная на алгоритмах машинного обучения, данная система проводит поведенческий анализ сторонних программных компонентов, используемых при разработке, а также проверяет уровень доверия к основному поставщику компонента и другим участникам его разработки, а также позволяет оценивать, насколько качественно и эффективно этот компонент поддерживается. Кроме того, система позволяет выявить бэкдоры и другие признаки подозрительной активности, - в частности, какие операции выполняет программа, какие сетевые порты открывает, какие соединения пытается установить и какие процессы создаёт.
2020: Основание компании
Как компания, Dustico появилась в 2020 году.
Примечания
