Security Hub Extended chega à décima categoria
Desde fevereiro, a AWS expandiu o Security Hub Extended de 14 parceiros curados em 9 categorias para 23 parceiros distribuídos em 10 categorias. A novidade mais recente — e a mais pedida pelos clientes — é a chegada da categoria de Segurança da Cadeia de Suprimentos (Supply Chain Security), com Chainguard e Socket como os parceiros curados.
Na Black Hat deste mês, 14 desses parceiros estiveram presentes no estande da Amazon Web Services (AWS) com demonstrações ao vivo. Quatro deles realizaram apresentações no palco e dez foram destaque na transmissão ao vivo do SecurityLive. O evento também contou com uma recepção exclusiva para parceiros, reunindo lideranças da AWS com executivos dessas empresas para alinhar os próximos passos.
Por que Supply Chain Security virou prioridade de boardroom
O risco na cadeia de suprimentos de software deixou de ser uma preocupação restrita às equipes de segurança e passou a ser pauta de diretoria. Três casos recentes ilustram bem a dimensão do problema:
- SolarWinds mostrou o que acontece quando um sistema de build é comprometido.
- Log4j expôs o impacto global que uma única vulnerabilidade em dependência transitiva pode causar.
- xz utils revelou a paciência de um ataque de comprometimento de mantenedor executado ao longo de anos.
Cada um desses incidentes demonstrou uma dimensão diferente do mesmo problema — e o ritmo está se acelerando. Atacantes sabem que uma rota rápida para dentro de uma empresa é justamente pelos pacotes open source que ela confia sem perceber.
Na Black Hat, praticamente todos os clientes com quem a AWS conversou tinham esse risco no seu registro de ameaças. A maioria, porém, ainda não havia operacionalizado uma solução — porque fazer isso significava uma implantação isolada, um novo contrato, um novo console e trabalho de integração que a equipe de segurança simplesmente não conseguia priorizar. É exatamente essa fricção que o Security Hub Extended se propõe a eliminar.
Chainguard e Socket: os parceiros curados para Supply Chain
A nova categoria de Supply Chain Security segue o mesmo modelo já consolidado no Security Hub Extended: precificação por uso, uma única fatura, sem compromisso de longo prazo obrigatório. Para empresas que preferem o processo de compras tradicional, também estão disponíveis as Private Offers do Security Hub Extended — acordos com prazo definido, descontos maiores, possibilidade de consolidar gastos com múltiplos parceiros em uma única fatura AWS e opções de pagamento mensal ou anual.
O que o Chainguard faz
O Chainguard oferece dependências open source reconstruídas a partir do código-fonte em um processo de build verificado e reforçado. O resultado é que o que entra no seu ambiente é resistente a malware e tem proveniência rastreável. A pesquisa da própria empresa indica que reconstruir a partir do código-fonte teria bloqueado 98% dos pacotes maliciosos conhecidos antes de chegarem à produção. Se a origem não pode ser verificada, o pacote simplesmente não aparece no repositório do Chainguard — funcionando como um filtro entre o registro público e os desenvolvedores.
O que o Socket faz
O Socket analisa o comportamento real dos pacotes open source para bloquear dependências maliciosas no momento da instalação — não depois que uma Vulnerabilidade e Exposição Comum (CVE) é publicada dias ou semanas depois. No instante em que um pacote tenta entrar no ambiente, o Socket o sinaliza com base no que ele faz, não no que um banco de dados diz sobre ele. Além disso, a análise de alcançabilidade (reachability analysis) da ferramenta indica quais vulnerabilidades são de fato exploráveis a partir do seu código, em vez de afogar a equipe em alertas irrelevantes. A cobrança é feita pelos pacotes distintos verificados, não pela quantidade de vezes que os builds são executados.
Por que as duas ferramentas funcionam juntas
Juntos, Chainguard e Socket respondem às duas perguntas que realmente importam:
- Posso confiar no que estou baixando?
- Consigo bloquear componentes maliciosos antes que sejam incorporados às minhas aplicações?
O Chainguard protege a base sobre a qual o código é construído. O Socket protege os pacotes que são incorporados a essa base. Ambos atuam independentemente de onde você faz o deploy — em múltiplas nuvens ou on-premises.
Ao ativar os dois pelo Security Hub Extended, os alertas gerados fluem para o Security Hub no formato OCSF (Estrutura Aberta de Esquema de Cibersegurança — Open Cybersecurity Schema Framework), ao lado de todos os outros sinais. Assim, um risco na cadeia de suprimentos é correlacionado e priorizado junto com os alertas de endpoint, identidade e nuvem — e encaminhado para as ferramentas downstream já integradas ao pipeline existente.
23 parceiros, 10 categorias — construídos a partir do que os clientes pediram
Cada parceiro do Security Hub Extended está lá porque clientes sinalizaram que precisavam daquela capacidade e que aquela solução específica já funcionava para eles. As categorias evoluem conforme o cenário de ameaças muda, e novos parceiros entram quando os próprios clientes os indicam como referência.
O conjunto completo hoje abrange: endpoint, identidade, e-mail, rede, dados, browser, nuvem, IA, operações de segurança e, agora, cadeia de suprimentos. Os 23 parceiros curados são: 7AI, Britive, Chainguard, CrowdStrike, Cyera, Island, LayerX, Native Security, Noma, Okta, Oligo, Opti, Palo Alto Networks, Proofpoint, SailPoint, SentinelOne, Socket, Splunk, Sublime, Upwind, Varonis, Zenity e Zscaler.
O que vem a seguir
O foco atual da AWS é aprofundar as integrações e reduzir a fricção de ativação para que essas soluções trabalhem de forma conjunta, e não isolada. A integração mais prioritária é a correlação entre parceiros — transformar sinais de uma solução de endpoint, uma de identidade e uma de nuvem em uma única exposição e um único caminho de ataque, em vez de três alertas desconexos. Em paralelo, a AWS está reduzindo drasticamente o tempo entre a assinatura e a geração de valor: o objetivo é que clientes passem de “acabei de assinar” para “já estou vendo resultados” em horas, não semanas.
Mais novidades devem ser anunciadas antes do re:Invent.
Como começar
Se você já roda open source em produção e ainda não tem visibilidade sobre a cadeia de suprimentos, esse é o ponto de partida. É possível ativar o Chainguard e o Socket diretamente pelo console do Security Hub. Para quem gerencia múltiplos relacionamentos com fornecedores de segurança e quer entender como seria a consolidação com o Security Hub Extended, o caminho é conversar com o time de contas da AWS. A precificação de todos os parceiros está publicada na página de preços — sem necessidade de contato comercial prévio. E para quem já usa o Security Hub para gerenciamento de postura e detecção de ameaças, o plano Extended está disponível no mesmo console.
Fonte
Security Hub Extended adds Supply Chain Security as its tenth category (https://aws.amazon.com/blogs/security/security-hub-extended-adds-supply-chain-security-as-its-tenth-category/)
Leave a Reply