Azure Policy Voor Supply Chain Beveiliging

Zonder supply chain beveiligingspolicies zijn organisaties kwetsbaar voor een breed scala aan bedreigingen die afkomstig zijn uit externe software-afhankelijkheden en componenten. Moderne applicaties zijn gebouwd op honderden of zelfs duizenden externe bibliotheken, frameworks en container images, elk met hun eigen beveiligingsrisico's. Zonder geautomatiseerde controles kunnen kwetsbare of zelfs kwaadaardige componenten ongemerkt in productieomgevingen terechtkomen, wat kan leiden tot ernstige beveiligingsincidenten. Supply chain aanvallen, waarbij aanvallers legitieme software-componenten compromitteren voordat ze worden gedistribueerd, zijn een groeiende bedreiging die traditionele beveiligingsmaatregelen omzeilt. Het ontbreken van supply chain policies betekent dat organisaties geen zicht hebben op welke externe componenten worden gebruikt in hun applicaties en of deze componenten bekende kwetsbaarheden bevatten. Dit gebrek aan zichtbaarheid maakt het onmogelijk om proactief te reageren op nieuwe kwetsbaarheden die worden ontdekt in gebruikte bibliotheken of frameworks. Wanneer een kritieke kwetsbaarheid wordt ontdekt in een veelgebruikte bibliotheek, zoals Log4j of Spring Framework, moeten organisaties snel kunnen identificeren waar deze bibliotheek wordt gebruikt en deze kunnen bijwerken of vervangen. Zonder supply chain policies is dit proces tijdrovend, foutgevoelig en vaak onvolledig. Voor Nederlandse organisaties, met name in de publieke sector, is supply chain beveiliging niet alleen een best practice maar vaak een expliciete vereiste van verschillende frameworks en regelgeving. De NIS2-richtlijn vereist bijvoorbeeld dat organisaties maatregelen implementeren om supply chain risico's te beheren, terwijl de BIO-normen vereisten bevatten voor het beheren van software-afhankelijkheden en het monitoren van kwetsbaarheden. ISO 27001 bevat controles voor het beheren van externe leveranciers en software-componenten. Zonder effectieve supply chain policies kunnen organisaties niet voldoen aan deze vereisten, wat kan leiden tot boetes, reputatieschade en het verlies van certificeringen. Het ontbreken van geautomatiseerde supply chain controles betekent dat organisaties afhankelijk zijn van handmatige processen voor het identificeren en beheren van externe componenten. In moderne cloud-omgevingen waar dagelijks nieuwe applicaties worden geïmplementeerd en bestaande applicaties worden bijgewerkt, is handmatige controle praktisch onmogelijk. Geautomatiseerde policies kunnen continu alle container images, software-afhankelijkheden en externe componenten scannen op bekende kwetsbaarheden en automatisch actie ondernemen wanneer problemen worden gedetecteerd. Dit maakt het mogelijk om supply chain risico's proactief te beheren in plaats van reactief te reageren op incidenten. Zonder proactieve supply chain beveiliging blijven organisaties kwetsbaar voor aanvallen die gebruik maken van gecompromitteerde software-componenten. Supply chain aanvallen zijn bijzonder gevaarlijk omdat ze kunnen worden uitgevoerd zonder directe toegang tot de doelorganisatie. Een aanvaller kan bijvoorbeeld een populaire open source bibliotheek compromitteren, waardoor alle organisaties die deze bibliotheek gebruiken automatisch worden blootgesteld aan het risico. Azure Policy voor supply chain beveiliging maakt het mogelijk om dergelijke bedreigingen te detecteren en te voorkomen voordat ze kunnen worden uitgebuit.

Implementatie

Azure Policy voor supply chain beveiliging omvat verschillende kritieke componenten die samen een complete bescherming bieden tegen supply chain bedreiligingen. Het scannen van container images op kwetsbaarheden vormt de basis van effectieve supply chain beveiliging. Container images bevatten vaak honderden software-componenten, waarvan vele bekende kwetsbaarheden kunnen bevatten. Policies kunnen worden geconfigureerd om automatisch alle container images te scannen voordat ze worden gebruikt, en om te voorkomen dat images met kritieke kwetsbaarheden worden geïmplementeerd. Dit omvat niet alleen het scannen op bekende Common Vulnerabilities and Exposures (CVE's), maar ook het controleren op malware, verdachte bestanden en andere beveiligingsindicatoren. Het afdwingen van image signing en verificatie is essentieel voor het garanderen van de integriteit van container images. Policies kunnen worden geconfigureerd om alleen container images toe te staan die zijn ondertekend door vertrouwde partijen en waarvan de handtekening kan worden geverifieerd. Dit voorkomt dat kwaadaardige of gemanipuleerde images worden gebruikt, zelfs als ze afkomstig zijn uit vertrouwde bronnen. Image signing maakt gebruik van cryptografische handtekeningen om te verifiëren dat een image niet is gewijzigd sinds het werd ondertekend, wat essentieel is voor het beschermen tegen supply chain aanvallen waarbij legitieme images worden gecompromitteerd. Het implementeren van dependency scanning voor applicaties is belangrijk voor het identificeren van kwetsbaarheden in software-afhankelijkheden. Policies kunnen worden geconfigureerd om automatisch software-afhankelijkheden te scannen wanneer applicaties worden gebouwd of geïmplementeerd, en om te voorkomen dat applicaties met bekende kwetsbaarheden worden geïmplementeerd. Dit omvat het scannen van package managers zoals npm, Maven, NuGet en PyPI, en het controleren van alle gedownloade packages op bekende kwetsbaarheden. Dependency scanning moet worden geïntegreerd in de CI/CD-pipeline om ervoor te zorgen dat kwetsbaarheden worden gedetecteerd voordat applicaties in productie komen. Het configureren van policies voor toegestane container registries en repositories is essentieel voor het beperken van waar container images vandaan mogen komen. Policies kunnen worden geconfigureerd om alleen images toe te staan uit specifieke, goedgekeurde container registries, zoals Azure Container Registry of andere vertrouwde bronnen. Dit voorkomt dat images worden gebruikt uit onbetrouwbare of onbekende bronnen, wat het risico op kwaadaardige images aanzienlijk vermindert. Voor organisaties die moeten voldoen aan strikte compliance-vereisten, kan het noodzakelijk zijn om alleen images toe te staan uit interne container registries waar volledige controle en auditing mogelijk is. Het implementeren van policies voor software bill of materials (SBOM) generatie en verificatie is belangrijk voor transparantie en traceerbaarheid. SBOM's bieden een complete lijst van alle software-componenten die worden gebruikt in een applicatie of container image, inclusief versienummers en licentie-informatie. Policies kunnen worden geconfigureerd om te vereisen dat alle container images en applicaties een SBOM bevatten, en om deze SBOM's te verifiëren op volledigheid en nauwkeurigheid. Dit maakt het mogelijk om snel te identificeren welke componenten worden gebruikt wanneer een nieuwe kwetsbaarheid wordt ontdekt, en om te bepalen welke applicaties mogelijk zijn getroffen. Het configureren van policies voor het monitoren en blokkeren van bekende kwaadaardige packages en dependencies is essentieel voor het beschermen tegen actieve bedreigingen. Policies kunnen worden geconfigureerd om automatisch te controleren of gebruikte software-componenten voorkomen op lijsten van bekende kwaadaardige packages, en om te voorkomen dat deze componenten worden gebruikt. Dit omvat het monitoren van threat intelligence feeds en het automatisch bijwerken van policies wanneer nieuwe bedreigingen worden geïdentificeerd. Voor organisaties die opereren in hoog-risico omgevingen, kan het noodzakelijk zijn om real-time threat intelligence te integreren voor maximale bescherming.

Vereisten

Voordat Azure Policy voor supply chain beveiliging effectief kan worden geïmplementeerd, moeten organisaties verschillende essentiële vereisten vervullen om een succesvolle implementatie te garanderen. De eerste en meest kritieke vereiste is dat Azure Container Registry is geconfigureerd met vulnerability scanning ingeschakeld. Azure Container Registry biedt ingebouwde vulnerability scanning via Microsoft Defender voor Cloud, die automatisch alle gepushte images scant op bekende kwetsbaarheden. Zonder deze scanning is het onmogelijk om te detecteren welke container images kwetsbaarheden bevatten, en kunnen supply chain policies niet effectief worden geconfigureerd. De vulnerability scanning moet worden geconfigureerd voor alle container registries die worden gebruikt door de organisatie, inclusief productie-, test- en ontwikkelomgevingen. Een gestructureerd proces voor het beheren van container images en software-afhankelijkheden is essentieel voor effectieve supply chain beveiliging. Dit proces moet duidelijk beschrijven welke container registries zijn goedgekeurd voor gebruik, welke image tags zijn toegestaan, hoe images worden gescand en gevalideerd voordat ze worden gebruikt, en hoe kwetsbaarheden worden beheerd wanneer ze worden gedetecteerd. Het proces moet ook beschrijven hoe nieuwe software-afhankelijkheden worden geëvalueerd en goedgekeurd voordat ze worden gebruikt in applicaties. Voor organisaties die gebruik maken van meerdere container registries of software repositories, moet het proces duidelijk maken welke bronnen zijn goedgekeurd en welke niet. Toegang tot Azure Container Registry en vulnerability scanning vereist de juiste Azure-rollen en machtigingen. De AcrPush-rol is vereist voor het pushen van images naar container registries, terwijl de AcrPull-rol vereist is voor het pullen van images. Voor het bekijken van vulnerability scan resultaten is de Security Reader-rol of een aangepaste rol met leesrechten op security assessments vereist. Voor het configureren van supply chain policies zijn aanvullende rollen vereist, zoals de Policy Contributor-rol voor het toewijzen van policies en de Security Admin-rol voor het configureren van security settings. Het is belangrijk om het principe van minimale privileges toe te passen: alleen personen die daadwerkelijk images moeten pushen, pullen of beheren moeten de relevante rollen ontvangen. Een geïntegreerde CI/CD-pipeline met vulnerability scanning is belangrijk voor het automatisch scannen van container images en software-afhankelijkheden tijdens het build-proces. De pipeline moet worden geconfigureerd om automatisch vulnerability scans uit te voeren wanneer nieuwe images worden gebouwd, en om builds te falen wanneer kritieke kwetsbaarheden worden gedetecteerd. Dit voorkomt dat kwetsbare images in container registries terechtkomen en maakt het mogelijk om problemen vroeg in het ontwikkelproces te identificeren en op te lossen. Voor organisaties die gebruik maken van GitHub Actions, Azure DevOps of andere CI/CD-platforms, moeten de pipelines worden geconfigureerd met de juiste scanning tools en policies. Ten slotte moet een incident response proces worden gedefinieerd voor het omgaan met supply chain bedreigingen wanneer ze worden gedetecteerd. Dit proces moet duidelijk beschrijven wat er moet gebeuren wanneer een kritieke kwetsbaarheid wordt gedetecteerd in een veelgebruikte container image of software-afhankelijkheid, wie verantwoordelijk is voor het reageren op dergelijke incidenten, en hoe de impact wordt geëvalueerd en gemitigeerd. Het proces moet ook beschrijven hoe organisaties reageren op supply chain aanvallen, zoals gecompromitteerde packages of kwaadaardige container images. Voor organisaties die moeten voldoen aan compliance-vereisten zoals de NIS2-richtlijn, kunnen specifieke incident response vereisten gelden die moeten worden nageleefd.

Implementatie

Gebruik PowerShell-script supply-chain-policies.ps1 (functie Invoke-Implementation) – Implementeren.

Gebruik PowerShell-script supply-chain-policies.ps1 (functie Invoke-Monitoring) – Monitort supply chain beveiliging en vulnerability status.

De implementatie van Azure Policy voor supply chain beveiliging begint met het configureren van vulnerability scanning voor Azure Container Registry. Microsoft Defender voor Cloud biedt ingebouwde vulnerability scanning die automatisch alle container images scant op bekende kwetsbaarheden wanneer ze worden gepusht naar een container registry. Deze scanning moet worden ingeschakeld voor alle container registries die worden gebruikt door de organisatie, inclusief productie-, test- en ontwikkelomgevingen. De scanning controleert images op bekende CVE's, malware, verdachte bestanden en andere beveiligingsindicatoren, en genereert gedetailleerde rapporten over gevonden kwetsbaarheden. Het configureren van policies om te voorkomen dat container images met kritieke kwetsbaarheden worden gebruikt is een essentiële stap in het implementatieproces. Policies kunnen worden geconfigureerd om te controleren of container images zijn gescand en of ze bekende kwetsbaarheden bevatten voordat ze worden gebruikt in Azure Container Instances, Azure Kubernetes Service of andere container services. Images met kritieke of hoge kwetsbaarheden kunnen automatisch worden geblokkeerd, terwijl images met lagere kwetsbaarheden kunnen worden toegestaan met waarschuwingen. Dit voorkomt dat kwetsbare images in productieomgevingen terechtkomen en maakt het mogelijk om problemen proactief aan te pakken voordat ze kunnen worden uitgebuit. Het implementeren van policies voor image signing en verificatie is belangrijk voor het garanderen van de integriteit van container images. Azure Container Registry ondersteunt content trust, wat gebruik maakt van Docker Notary voor het ondertekenen en verifiëren van images. Policies kunnen worden geconfigureerd om alleen images toe te staan die zijn ondertekend door vertrouwde partijen en waarvan de handtekening kan worden geverifieerd. Dit voorkomt dat kwaadaardige of gemanipuleerde images worden gebruikt, zelfs als ze afkomstig zijn uit vertrouwde bronnen. Image signing moet worden geïntegreerd in de CI/CD-pipeline om ervoor te zorgen dat alle images automatisch worden ondertekend wanneer ze worden gebouwd. Het configureren van policies voor toegestane container registries en repositories is essentieel voor het beperken van waar container images vandaan mogen komen. Policies kunnen worden geconfigureerd om alleen images toe te staan uit specifieke, goedgekeurde container registries, zoals Azure Container Registry of andere vertrouwde bronnen. Dit voorkomt dat images worden gebruikt uit onbetrouwbare of onbekende bronnen, wat het risico op kwaadaardige images aanzienlijk vermindert. Voor organisaties die moeten voldoen aan strikte compliance-vereisten, kan het noodzakelijk zijn om alleen images toe te staan uit interne container registries waar volledige controle en auditing mogelijk is. Het implementeren van dependency scanning voor applicaties is belangrijk voor het identificeren van kwetsbaarheden in software-afhankelijkheden. Microsoft Defender voor Cloud biedt dependency scanning voor verschillende programmeertalen en package managers, inclusief npm, Maven, NuGet en PyPI. Policies kunnen worden geconfigureerd om automatisch software-afhankelijkheden te scannen wanneer applicaties worden gebouwd of geïmplementeerd, en om te voorkomen dat applicaties met bekende kwetsbaarheden worden geïmplementeerd. Dependency scanning moet worden geïntegreerd in de CI/CD-pipeline om ervoor te zorgen dat kwetsbaarheden worden gedetecteerd voordat applicaties in productie komen. Het configureren van policies voor software bill of materials (SBOM) generatie en verificatie is belangrijk voor transparantie en traceerbaarheid. SBOM's bieden een complete lijst van alle software-componenten die worden gebruikt in een applicatie of container image, inclusief versienummers en licentie-informatie. Policies kunnen worden geconfigureerd om te vereisen dat alle container images en applicaties een SBOM bevatten, en om deze SBOM's te verifiëren op volledigheid en nauwkeurigheid. Dit maakt het mogelijk om snel te identificeren welke componenten worden gebruikt wanneer een nieuwe kwetsbaarheid wordt ontdekt, en om te bepalen welke applicaties mogelijk zijn getroffen. SBOM generatie moet worden geautomatiseerd in de CI/CD-pipeline om ervoor te zorgen dat alle applicaties en images altijd een actuele SBOM bevatten.

Monitoring

Gebruik PowerShell-script supply-chain-policies.ps1 (functie Invoke-Monitoring) – Controleren.

Effectieve monitoring van Azure Policy voor supply chain beveiliging vereist een gestructureerde aanpak die verschillende activiteiten omvat. Het regelmatig controleren van vulnerability scan resultaten is de basis van effectieve supply chain monitoring. Scan resultaten moeten regelmatig worden gecontroleerd, bij voorkeur dagelijks of wekelijks, om te identificeren welke container images en software-afhankelijkheden kwetsbaarheden bevatten en welke actie moet worden ondernomen. Voor grote organisaties met honderden of duizenden container images kan het nuttig zijn om geautomatiseerde dagelijkse samenvattingen te configureren die naar relevante teams worden verzonden. Scan resultaten moeten worden geanalyseerd op verschillende niveaus: per image, per repository, per abonnement, of per management group. Het monitoren van policy compliance status is belangrijk om te garanderen dat supply chain policies daadwerkelijk worden afgedwongen. Het Azure Policy compliance-dashboard biedt een overzichtelijke weergave van alle toegewezen policies, de nalevingsstatus per policy, en het aantal compliant versus niet-compliant resources. Organisaties kunnen dit dashboard gebruiken om snel inzicht te krijgen in hun algemene supply chain beveiligingspostuur en om trends te identificeren in nalevingsproblemen. Het dashboard wordt automatisch bijgewerkt wanneer nieuwe resources worden geëvalueerd tegen de toegewezen policies, waardoor organisaties real-time inzicht hebben in hun compliance-status. Het configureren van waarschuwingen op supply chain bedreigingen zorgt ervoor dat teams proactief worden geïnformeerd wanneer nieuwe kwetsbaarheden worden gedetecteerd of wanneer policies worden overtreden. Waarschuwingen kunnen worden geconfigureerd om te triggeren wanneer kritieke kwetsbaarheden worden gedetecteerd in container images, wanneer images worden gebruikt uit niet-goedgekeurde registries, of wanneer andere supply chain bedreigingen worden geïdentificeerd. Waarschuwingen kunnen worden doorgestuurd naar verschillende kanalen, zoals e-mail, Microsoft Teams, of geïntegreerd worden in bestaande monitoring- en incident response-systemen. Voor kritieke bedreigingen moeten waarschuwingen onmiddellijk worden geconfigureerd om ervoor te zorgen dat teams direct worden geïnformeerd wanneer problemen worden gedetecteerd. Het bijhouden van remediatie-activiteiten voor gedetecteerde kwetsbaarheden is essentieel om te garanderen dat geïdentificeerde problemen daadwerkelijk worden opgelost. Dit omvat het documenteren van welke images of afhankelijkheden kwetsbaarheden bevatten, wie verantwoordelijk is voor de remediatie, wanneer de remediatie is voltooid, welke wijzigingen zijn aangebracht, en of de remediatie succesvol was door de vulnerability status opnieuw te evalueren na voltooiing. Voor audit-doeleinden is deze documentatie essentieel om aan te tonen dat organisaties proactief omgaan met supply chain bedreigingen. Organisaties kunnen gebruik maken van verschillende tools voor het bijhouden van remediatietaken, zoals ticketing-systemen, projectmanagement-tools, of gespecialiseerde vulnerability management-systemen. Het genereren van regelmatige supply chain beveiligingsrapporten is essentieel voor management en audit-teams. Deze rapporten moeten niet alleen de huidige status weergeven, maar ook trends over tijd, waardoor organisaties kunnen zien of de supply chain beveiliging verbetert of verslechtert. Rapporten moeten gedetailleerde informatie bevatten over het aantal gescande images, het aantal gedetecteerde kwetsbaarheden, de ernst van deze kwetsbaarheden, en een overzicht van remediatie-activiteiten die zijn uitgevoerd. Voor organisaties die moeten voldoen aan compliance-vereisten zoals de NIS2-richtlijn of ISO 27001, zijn deze rapporten vaak een vereiste voor certificering. Het gebruik van Azure Monitor en Log Analytics voor geavanceerde monitoring en analyse van supply chain bedreigingen biedt aanvullende mogelijkheden voor organisaties met complexe omgevingen of specifieke monitoring-vereisten. Deze tools maken het mogelijk om gedetailleerde query's uit te voeren op vulnerability scan gegevens, trends te identificeren, en aangepaste dashboards te maken voor verschillende stakeholders. Azure Monitor kan ook worden gebruikt om aangepaste metrische gegevens te verzamelen over supply chain beveiliging, zoals het aantal kwetsbare images, het percentage gescande images, of het aantal policy-overtredingen per dag, wat kan worden gebruikt voor trendanalyse en capaciteitsplanning.

Compliance en Audit

Azure Policy voor supply chain beveiliging speelt een cruciale rol in het voldoen aan verschillende compliance-vereisten die van toepassing zijn op Nederlandse organisaties, met name in de publieke sector. De NIS2-richtlijn, die van toepassing is op essentiële en belangrijke entiteiten in verschillende sectoren, vereist in Artikel 8 dat organisaties maatregelen implementeren om supply chain risico's te beheren. Azure Policy voor supply chain beveiliging vormt een directe implementatie van deze vereiste, omdat het automatisch supply chain bedreigingen detecteert en voorkomt. Voor Nederlandse organisaties die onder NIS2 vallen, is het gebruik van supply chain policies niet alleen een best practice maar een compliance-vereiste. De NIS2-richtlijn vereist expliciet dat organisaties technische en organisatorische maatregelen implementeren om supply chain risico's te beheren, en Azure Policy biedt een directe manier om aan deze vereiste te voldoen. Voor organisaties die moeten voldoen aan ISO 27001, specifiek controle A.15.1.1 (Information security in supplier relationships) en A.15.2.1 (Monitoring and review of supplier services), biedt Azure Policy voor supply chain beveiliging een mechanisme om regelmatige beoordelingen van software-afhankelijkheden en externe componenten te ondersteunen. Policies kunnen worden gebruikt om te verifiëren dat alleen goedgekeurde en gescande componenten worden gebruikt, en compliance-rapporten kunnen worden gebruikt als bewijs voor auditors dat supply chain risico's worden beheerd. Het vulnerability scanning dashboard biedt de transparantie die nodig is voor ISO 27001-certificering. ISO 27001 vereist dat organisaties regelmatig hun supplier relationships beoordelen en verifiëren dat externe componenten veilig zijn, en Azure Policy maakt het mogelijk om deze beoordelingen te automatiseren en te documenteren. De BIO-normen, die specifiek zijn ontwikkeld voor de Nederlandse overheid, bevatten in Thema 12.01 vereisten voor het beheren van software-afhankelijkheden en het monitoren van kwetsbaarheden. Dit thema benadrukt het belang van continue monitoring van externe software-componenten en het identificeren van kwetsbaarheden voordat ze kunnen worden uitgebuit. Azure Policy voor supply chain beveiliging vertegenwoordigt de technische implementatie van deze vereiste, waarbij organisatorische beveiligingsvereisten worden vertaald naar automatisch afgedwongen technische controles. Voor overheidsorganisaties die moeten voldoen aan BIO-normen, is documentatie van supply chain policies en vulnerability scan resultaten een essentieel onderdeel van de audit-evidentie. De BIO-normen vereisen dat organisaties regelmatig monitoren of externe software-componenten veilig zijn en of kwetsbaarheden worden gedetecteerd en aangepakt, en Azure Policy biedt een concrete manier om aan deze vereiste te voldoen. De CIS Docker Benchmark bevat tientallen aanbevelingen voor het beveiligen van container omgevingen, en veel van deze aanbevelingen kunnen worden geautomatiseerd via Azure Policy voor supply chain beveiliging. Door de juiste policies toe te wijzen, kunnen organisaties automatisch voldoen aan meerdere CIS-controles zonder handmatige interventie. Dit is niet alleen efficiënter maar ook betrouwbaarder, omdat geautomatiseerde handhaving menselijke fouten voorkomt. De CIS Docker Benchmark is een uitgebreide set van best practices die zijn ontwikkeld door het Center for Internet Security en die worden erkend als de industriestandaard voor het beveiligen van container omgevingen. Veel van de aanbevelingen in deze benchmark kunnen direct worden geïmplementeerd via Azure Policy, waardoor organisaties snel kunnen voldoen aan deze erkende standaarden. Naast deze specifieke compliance-frameworks kan Azure Policy voor supply chain beveiliging ook helpen bij het voldoen aan andere relevante standaarden en regelgeving. De Algemene Verordening Gegevensbescherming (AVG) vereist bijvoorbeeld dat organisaties passende technische en organisatorische maatregelen implementeren om persoonsgegevens te beschermen, en supply chain beveiliging is een essentieel onderdeel van deze maatregelen. Azure Policy kan worden gebruikt om te verifiëren dat alleen veilige en goedgekeurde software-componenten worden gebruikt die persoonsgegevens verwerken, en vulnerability scan resultaten kunnen worden gebruikt om te voldoen aan AVG-vereisten voor beveiligingsmaatregelen. Evenzo kunnen supply chain policies worden gebruikt om te voldoen aan sector-specifieke vereisten, zoals die voor de gezondheidszorg of financiële dienstverlening. Door policies te configureren die specifiek zijn afgestemd op de compliance-vereisten van de organisatie, kunnen organisaties ervoor zorgen dat hun cloud-omgevingen consistent voldoen aan alle relevante standaarden en regelgeving.

Remediatie

Gebruik PowerShell-script supply-chain-policies.ps1 (functie Invoke-Remediation) – Herstellen.

Remediatie van supply chain beveiligingsproblemen die worden geïdentificeerd via vulnerability scanning vormt een kritiek onderdeel van het Azure Policy-beheerproces. Wanneer scanning kwetsbaarheden identificeert in container images of software-afhankelijkheden, moeten deze kwetsbaarheden worden geanalyseerd en moeten passende remediatie-activiteiten worden uitgevoerd. Het remediatieproces moet zorgvuldig worden gepland en uitgevoerd om te voorkomen dat productiesystemen worden verstoord of dat kritieke services worden onderbroken tijdens het herstelproces. Een goed doordacht remediatieplan is essentieel voor het succesvol oplossen van supply chain beveiligingsproblemen. Wanneer vulnerability scanning kwetsbaarheden identificeert, moeten deze eerst worden geanalyseerd om de ernst en impact te begrijpen. Kwetsbaarheden worden doorgaans geclassificeerd als kritiek, hoog, gemiddeld of laag op basis van hun potentiële impact en exploitability. Kritieke en hoge kwetsbaarheden moeten onmiddellijk worden aangepakt, omdat ze een significant beveiligingsrisico vormen en kunnen worden uitgebuit door aanvallers. Gemiddelde en lage kwetsbaarheden kunnen worden gepland voor geplande onderhoudsvensters, hoewel ze nog steeds moeten worden aangepakt om de algehele beveiligingspostuur te verbeteren. Het is belangrijk om kwetsbaarheden te analyseren voordat remediatie wordt uitgevoerd, omdat dit ervoor zorgt dat remediatie-activiteiten gericht zijn op de meest kritieke problemen. De meest effectieve remediatie voor kwetsbaarheden in container images is het bijwerken van de image naar een nieuwere versie die de kwetsbaarheid niet bevat. Dit vereist het identificeren van welke base image of software-component de kwetsbaarheid bevat, het vinden van een bijgewerkte versie die de kwetsbaarheid heeft opgelost, en het opnieuw bouwen van de image met de bijgewerkte componenten. Voor images die regelmatig worden bijgewerkt, kan dit een relatief eenvoudig proces zijn. Voor images die niet regelmatig worden bijgewerkt, kan dit meer complex zijn en kan het vereisen dat applicaties worden aangepast om compatibel te zijn met nieuwere versies van dependencies. Voor kwetsbaarheden in software-afhankelijkheden is de remediatie meestal het bijwerken van de betreffende package naar een nieuwere versie die de kwetsbaarheid niet bevat. Dit vereist het identificeren van welke package de kwetsbaarheid bevat, het vinden van een bijgewerkte versie die de kwetsbaarheid heeft opgelost, en het bijwerken van de applicatie om de nieuwe versie te gebruiken. Voor applicaties die gebruik maken van package managers zoals npm, Maven, NuGet of PyPI, kan dit vaak worden geautomatiseerd via dependency update tools. Het is belangrijk om te testen of de bijgewerkte versie compatibel is met de rest van de applicatie voordat deze in productie wordt geïmplementeerd. Wanneer een kwetsbaarheid niet kan worden opgelost door een update, bijvoorbeeld omdat er geen patch beschikbaar is of omdat de update incompatibel is met de applicatie, moeten alternatieve remediatiestrategieën worden overwogen. Dit kan het implementeren van aanvullende beveiligingsmaatregelen omvatten, zoals netwerksegmentatie om de impact van een potentiële exploitatie te beperken, of het implementeren van monitoring en detectie om snel te kunnen reageren op exploitatiepogingen. In sommige gevallen kan het noodzakelijk zijn om de kwetsbare component volledig te vervangen door een alternatieve component die dezelfde functionaliteit biedt maar geen bekende kwetsbaarheden heeft. Voor kritieke kwetsbaarheden die een onmiddellijke bedreiging vormen, kan het noodzakelijk zijn om de betreffende container images of applicaties tijdelijk uit productie te halen totdat de kwetsbaarheid is opgelost. Dit moet worden gedaan in samenwerking met business owners en operationele teams om de impact op bedrijfsactiviteiten te minimaliseren. Het is belangrijk om een duidelijk proces te hebben voor het beoordelen van de noodzaak van dergelijke maatregelen en voor het communiceren van deze beslissingen aan alle betrokken stakeholders. Remediatietaken moeten zorgvuldig worden gedocumenteerd en bijgehouden om te garanderen dat alle geïdentificeerde problemen daadwerkelijk worden opgelost. Dit omvat het vastleggen van welke kwetsbaarheden zijn geïdentificeerd, welke images of afhankelijkheden zijn getroffen, wie verantwoordelijk is voor de remediatie, wanneer de remediatie is voltooid, welke wijzigingen zijn aangebracht, en of de remediatie succesvol was door de vulnerability status opnieuw te evalueren na voltooiing. Voor audit-doeleinden is deze documentatie essentieel om aan te tonen dat organisaties proactief omgaan met supply chain beveiligingsproblemen. Organisaties kunnen gebruik maken van verschillende tools voor het bijhouden van remediatietaken, zoals ticketing-systemen, projectmanagement-tools, of gespecialiseerde vulnerability management-systemen.

Compliance & Frameworks

• CIS M365: Control Multiple (L1) - Geautomatiseerde supply chain beveiliging via Policy en vulnerability scanning
• BIO: 12.01.01 - Software-afhankelijkheden beheren en kwetsbaarheden monitoren
• ISO 27001:2022: A.15.1.1, A.15.2.1 - Information security in supplier relationships en monitoring
• NIS2: Artikel - Supply chain risico's beheren en monitoren

Automation

Gebruik het onderstaande PowerShell script om deze security control te monitoren en te implementeren. Het script bevat functies voor zowel monitoring (-Monitoring) als remediation (-Remediation).

Risico zonder implementatie

Management Samenvatting

Azure Policy voor supply chain beveiliging biedt geautomatiseerde bescherming tegen kwetsbaarheden en bedreigingen in externe software-componenten, container images en dependencies via vulnerability scanning, image signing, dependency scanning en policy enforcement. Het scannen van container images op kwetsbaarheden vormt de basis van effectieve supply chain beveiliging en voorkomt dat kwetsbare images in productieomgevingen terechtkomen. Image signing en verificatie garanderen de integriteit van container images, terwijl dependency scanning kwetsbaarheden identificeert in software-afhankelijkheden voordat applicaties worden geïmplementeerd. Policies voor toegestane container registries beperken waar images vandaan mogen komen, wat het risico op kwaadaardige images aanzienlijk vermindert. De implementatie vereist ongeveer vijftien tot drieëntwintig uur voor configuratie van vulnerability scanning, policies en CI/CD-integratie. Azure Policy voor supply chain beveiliging is essentieel voor proactieve bescherming tegen supply chain bedreigingen en vormt de basis voor een veilige en compliant cloud-omgeving.

• Implementatietijd: 23 uur
• FTE required: 0.3 FTE