本周，美国网络安全和基础设施安全局 (CISA) 和美国国家标准与技术院 (NIST) 联合发布《防御软件供应链攻击》报告，提供了与软件供应链攻击相关的信息、关联风险以及缓解措施。
CISA 和 NIST 解释称，软件供应链是信息通信技术 (ICT) 供应链框架，该框架代表着“参与硬件、软件和管理服务销售、交付和生产的零售商、发行商和供应商的网络”。
除了 SolarWinds 攻击事件外，过去发生的臭名昭著的供应链攻击事件还包括 CCleaner 恶意软件活动、MeDoc（乌克兰会计软件）攻陷事件导致的 NotPetya勒索攻击活动、ShadowHammer 行动、运行 Windows 7 的物联网设备感染事件以及滥用卡巴斯基实验室软件窃取 NSA 文件事件。
当威胁行动者设法攻陷厂商环境并在软件到达客户前进行投毒时，就会发生软件供应链攻击，导致客户系统遭渗透。
厂商被黑后，客户要么因使用新的已受感染软件受陷，要么因安装恶意更新或热修复方案受陷。CISA 和 NIST 指出，“这些攻击类型影响受陷软件的所有用户，可为政府、关键基础设施和私营部门软件客户造成广泛影响。”
攻击者发动供应链攻击的常见技术包括劫持更新、篡改代码签名以及攻陷开源代码。攻击者可能会攻陷厂商的更新机制、黑掉签名系统或者应用字签名证书、或者将自身代码插入公开可访问的代码库中。
CISA和NIST表示，“软件供应链攻击一般要求具有强大的技术能力和长期投入，因此通常难以执行。通常来讲，APT 组织更可能同时具备意图和能力来开展这种供应链攻击，从而危害国家安全。”
软件供应链受陷可导致攻击者绕过已部署防御措施，获取初始访问权限，同时获得对目标环境的持久访问权限以窃取金融信息、提取数据、实施网络间谍活动、禁用防御措施甚至造成物理损害。
报告认为，为缓解和供应链攻击相关的风险，网络防御人员应当在攻击发生前应用行业最佳实践。同时报告推荐组织机构“在风险管理计划上下文中”使用第三方软件，而该计划应当包括正式的、适用于整个组织机构的 C-SCRM 方式。
报告还为组织机构提供了相关建议，如何阻止使用恶意或易受攻击软件、如何缓解已部署恶意或易受攻击应用程序以及如何提高弹性等。另外，报告还向软件厂商提供相关建议，如实现并遵循软件开发生命周期 (SDLC) 和集成安全的软件开发框架 (SSDF) 以确保不会输出恶意或易受攻击的软件。
原文链接
https://www.securityweek.com/cisa-nist-provide-new-resource-software-supply-chain-attacks
声明：本文来自代码卫士，版权归作者所有。文章内容仅代表作者独立观点，不代表安全内参立场，转载目的在于传递更多信息。如有侵权，请联系 anquanneican@163.com。
