了解軟體供應鏈攻擊

軟體供應鏈攻擊的關鍵組成部分和概念

網路威脅情報和資訊安全文獻經常出現漏洞 軟件供應鏈攻擊 為了更好地進行分析和辯護，我們將這些概念歸納為不同的類別。因此，本節將介紹以下五個關鍵概念： MITRE攻擊模式目錄本目錄對供應鏈攻擊模式進行結構化，以便利用各種來源（包括 NIST 收集的對抗性威脅）進行分析。

攻擊法案：究竟是什麼

攻擊行為是指向系統傳遞惡意負載或意圖的具體操作，因此會造成直接損害。

• 範例 1：在建置過程中將惡意軟體插入系統軟體。
• 範例 2：系統需求或設計文件被惡意竄改。

攻擊向量：如何

攻擊向量是指攻擊者利用漏洞或流程弱點的方法。因此，它展現了攻擊者如何存取和濫用攻擊面。

• 範例 1：攻擊者修改了被入侵程式碼庫中的原始程式碼。
• 範例 2：攻擊者未經授權存取內部技術文件。

在我們的網站上進一步探索 攻擊向量術語表 以獲得更多見解。

攻擊起源：誰人樂隊

攻擊源標識了攻擊的來源。因此，它可以明確攻擊者的角色、身分或與系統的關係。

• 範例 1：具有建置伺服器特權存取權限的內部人員修改了腳本。
• 範例 2：外部威脅行為者將木馬程式包上傳到公共註冊表。

進攻目標：原因

該目標解釋了攻擊背後的原因。最重要的是，它突顯了對手想要達成的目標。

• 中斷：停止服務或建設。
• 腐敗：透過更改工件或原始碼來降低信任度。
• 洩密：洩漏敏感機密或智慧財產權。

攻擊影響：後果

最後，影響部分描述了攻擊的結果，顯示了對軟體提供者和客戶的影響。

• 例 1：任何使用劣質程序的項目，日後都會出現問題。
• 例 2：人們在不知情的情況下將惡意軟體安裝到工作系統中。

最常見的軟體供應鏈攻擊

多種類型的 軟件供應鏈攻擊 這些威脅確實存在，組織必須了解生命週期每個階段中存在的各種威脅載體。基於 SLSA框架, 美國國家研究所 Standards 和技術（NIST）以及 網路安全和基礎設施安全局（CISA)這些威脅可分為四類：原始碼風險、建置風險、軟體包風險和依賴項風險。