供应链攻击

供应链攻击(Supply Chain Attack)指攻击者不直接打目标,而是入侵其依赖的软件、库、硬件或服务商,借『信任关系』将恶意载荷随正常更新/产品分发到大量下游。

典型手法

• 污染开源依赖或构建环境
• 在官方更新中植入后门(如 SolarWinds 事件)
• 劫持软件分发/签名证书
• 硬件固件植入与第三方服务渗透

为何危险

一次得手可同时波及成千上万的机构与个人,且恶意代码常带有合法签名,极难分辨。

防护

• 软件物料清单(SBOM)与依赖审计
• 构建环境隔离与可重现构建
• 校验签名与哈希、私有镜像
• 最小权限与零信任访问