供应链攻击

简介

供应链攻击(Supply Chain Attack)指攻击者不正面强攻目标,而是攻陷目标所依赖的上游——开源库、第三方组件、软件更新、服务商——在其中植入恶意代码,借「信任链」随正常更新一起进入大量下游用户。[1]

案例

篡改开源 npm/PyPI 包、污染软件更新通道(如 SolarWinds 事件)是典型形式。因为下游默认信任上游,危害面极广、隐蔽性强。防御靠依赖审计、锁定版本、签名校验与最小依赖。