定义
供应链攻击是一种面向软件开发人员和供应商的新兴威胁。 目标是通过感染合法应用分发恶意软件来访问源代码、构建过程或更新机制。 攻击者寻找不安全的网络协议、未受保护的服务器基础结构和不安全的编码做法。 它们将在生成和更新过程中中断、更改源代码以及隐藏恶意软件。 由于软件由受信任的供应商构建和发布, 因此这些应用和更新已签名并经过认证。 在软件供应链攻击中, 供应商可能未意识到他们的应用或更新在发布到公众时受到恶意代码的感染。 然后, 恶意代码将以与应用相同的信任和权限运行。类型
上游服务器妥协—— Codecov 攻击
对于大多数软件供应链攻击，攻击者会破坏上游服务器或代码存储库并注入恶意负载（例如，恶意代码行或木马更新）。然后将该有效载荷向下游分发给众多用户。然而，从技术角度来看，情况并非总是如此。 Codecov 供应链攻击就是这样一个例子。尽管该事件与 SolarWinds 攻击存在相似之处，但两次攻击之间却存在明显差异。SolarWinds 供应链漏洞是技能卓越的威胁行为者的 “ 杰作 “，他们更改了合法的更新二进制文件 SolarWinds.Orion.Core.BusinessLayer.dll，其是 SolarWinds IT 性能监控产品 Orion 的一部分。 FireEye 之前分析过，假冒 DLL 的 RefreshInternal ( ) 方法中包含的恶意代码如下所示。当 Orion 加载库存管理器插件时，此方法会调用基于 HTTP 的后门：
中游妥协以传播恶意更新
术语 “ 中游 “ 在这里主要指攻击者破坏中间软件升级功能或 CI/CD 工具而非原始上游源代码库的实例。今年 4 月，许多《财富》500 强公司使用的 Passwordstate 企业密码管理器的制造商 Click Studios 通知客户称，攻击者破坏了 Passwordstate 的升级机制，并利用它在用户的计算机上安装了一个恶意文件。其文件名为 “moserware.secretsplitter.dll”，其中一小部分如下所示： 在安全公告中，Click Studios 表示，攻击持续了大约 28 小时才被关闭。只有在此时间段内执行一键升级的客户才会受到影响。而 Passwordstate 的手动升级不会受到损害。受影响的客户密码记录可能已被收集。 不出所料地是，Passwordstate 攻击事件后就发生了针对 Click Studios 用户的网络钓鱼攻击，攻击者在这些钓鱼电子邮件中放置了指向更新的恶意软件版本的非法链接。 除了具备技术要素（例如升级过程被篡改）之外，这种供应链攻击还具备社会工程学因素。在一份大小超过 300 MB 的伪造更新 zip 文件中，安全研究人员发现，攻击者已设法更改用户手册、帮助文件和 PowerShell 构建脚本，以指向其恶意内容分发网络（CDN）服务器：
依赖项混淆（dependency confusion）攻击
2021 年，提及供应链攻击就少不了要提 “ 依赖项混淆 “，特别是因为这种攻击的简单化和自动化特质，使其日渐受到攻击者的青睐。得益于在多个开源生态系统中发现的固有设计缺陷，依赖项混淆能够在攻击者端通过最小的努力甚至是自动化的方式发挥作用。 简而言之，如果您的软件构建使用私有的、内部创建的依赖项，而该依赖项在公共开源存储库中不存在，那么依赖项混淆（或命名空间混淆）就会起作用。攻击者能够在公共存储库上以相同的名称注册具有更高版本号的依赖项。然后，很大的可能是，攻击者创建的具有更高版本号的（公共）依赖项——而非您的内部依赖项——将被拉入您的软件构建中。
被盗的 SSL 和代码签名证书
随着 HTTPS 网站的增加，SSL/TLS 证书已经无处不在，它可以保护您的在线通信。因此，SSL 证书私钥的泄露可能会威胁到端到端加密连接为最终用户提供的安全通信和保证。 2021 年 1 月，Mimecast 披露其客户用于建立与 Microsoft 365 Exchange 服务连接的证书遭到破坏，可能影响约 10% 的 Mimecast 用户的通信。虽然 Mimecast 没有明确确认其是否为 SSL 证书，但正如一些研究人员所怀疑的那样，在很大程度上情况似乎确实如此。 虽然受损的 SSL 证书存在影响，但被盗的代码签名证书（即受损的私钥）会对软件安全产生更广泛的影响。获得私有代码签名密钥的攻击者可能会将他们的恶意软件签名为由信誉良好的公司提供的真实软件程序或更新。 尽管 “ 震网 “（Stuxnet）事件时至今日仍然是复杂攻击的一个重要案例——在此次攻击中，攻击者使用了从两家著名公司窃取的私钥将其恶意代码签名为 “ 受信任 “ ——但此类攻击其实早在 Stuxnet 事件前就已经盛行，甚至在 Stuxnet 事件发生后数年的今天仍在盛行。这也解释了前面提到的 Codecov 供应链攻击中 HashiCorp 的 GPG 私钥泄露事件之所以备受关注的原因。虽然目前还没有迹象表明 HashiCorp 的泄露密钥被攻击者滥用来签署恶意软件，但在泄露的密钥被撤销之前，这种事件确实有可能发生。针对开发者的 CI/CD 基础设施
如今，软件供应链攻击盛行，这些攻击不仅依赖于向用户的 GitHub 项目引入恶意拉取请求，还会滥用 GitHub 的 CI/CD 自动化基础设施 GitHub Actions 来挖掘加密货币。GitHub Actions 为开发人员提供了一种为 GitHub 上托管的存储库安排自动化 CI/CD 任务的方法。 攻击方式主要包括攻击者克隆使用 GitHub Actions 的合法 GitHub 存储库，稍微更改存储库中的 GitHub Action 脚本，并向项目所有者提交拉取请求以将此更改合并回原始存储库。
使用社会工程学来引入恶意代码
任何安全专业人员都知道，安全性取决于其最薄弱的环节。由于人为因素仍然是最薄弱的环节，因此泄露往往来自最意想不到的地方。最近，明尼苏达大学的研究人员被踢出了 Linux 贡献群体，Linux 内核社区也撤销了他们之前提交的所有 Linux 内核代码，原因在于他们故意提出有缺陷的 “ 补丁 “，而这些 “ 补丁 “ 又会在 Linux 内核源代码中引入漏洞。 尽管该事件被积极制止，但还是证实了一个结论：开发人员分布广泛，并且没有足够的宽带来审核他们提交的每一个代码，这些代码可能是存在缺陷的或完全是恶意的。 更重要的是，社会工程学可能来自最不受怀疑的来源——在上述案例中，具有 “.edu” 后缀的电子邮件地址就看似来自可信的大学研究人员。 另外一个突出案例是，任何为 GitHub 项目做出贡献的合作者都可以在发布后更改版本。在此需要强调，GitHub 项目所有者的期望是大多数贡献者都能真诚地提交代码到他们的项目之中。但正可谓 “ 一个老鼠坏一锅汤 “，只要一个合作者不规矩就会损害许多人的供应链安全。 在过去一年中，攻击者创建了域名抢注和品牌劫持包，一再针对开源开发人员在其上游构建中引入恶意代码，然后传播给众多消费者。 所有这些真实世界的例子都展示了威胁行为者在成功的供应链攻击中所采用的不同漏洞、攻击媒介和技术。随着这些攻击不断发展演进并带来挑战，在考虑软件安全性时，必须纳入更多创新的解决方案和策略。解决办法
通知开发人员有关网络攻击的信息
对于供应链攻击，开发人员是第一线。您可能会想尝试通过一年一度的课程或更频繁的讲座来涵盖所有基础知识。然而，真正最有效的是开发人员持续更新有关新网络攻击和最佳实践的过程。通过使用微培训，例如文本培训或短视频，开发人员既可以获得他们需要的课程，也可以提高他们的意识。监控开源项目
《2020 年软件供应链状况报告》发现，在 2019 年至 2020 年间，针对开源代码的网络攻击增加了 430%。通过使用对手模拟参与，组织可以直接了解他们的软件在攻击期间的表现如何。开发人员还可以通过提高库、包和依赖项的可见性和安全性来减少依赖项混淆问题，从而降低开源开发带来的风险。零信任
由于移动部分——数据、产品、集成，零信任方法对于降低供应链网络攻击风险至关重要。假设任何设备、用户或数据都不安全，除非另有证明。这样，您通常可以减少和消除可能损害供应链的威胁。内置数据保护
供应链网络攻击的一个关键漏洞是应用程序中的敏感数据，这些数据必须双向流动。此外，请确保您遵守代码中的所有数据隐私和保护法律。开发人员应该在他们的应用程序中构建最新的加密技术。他们还应该对供应链使用数字签名、会话中断和多因素身份验证。关注第三方风险
供应链的本质是组织和应用程序协同工作以进行交付。这可能是通过物理产品或软件安全。但是，每个新连接都意味着更多的高风险端点。请务必仔细检查所有集成和风险。毕竟，你无法保护你不知道的东西。下一步是与供应商和合作伙伴合作，以确保所有各方都遵循网络安全最佳实践并提前应对风险。 在不久的将来，供应链攻击不太可能消退。通过在您的应用程序和文化中构建对此类破坏性网络攻击的弹性，您可以降低风险。
若有收获，就点个赞吧
0 人点赞
