常见的供应链攻击有哪些

常见的供应链攻击有以下这些：

• 上游服务器妥协攻击：对于大多数软件供应链攻击，攻击者会破坏上游服务器或代码存储库并注入恶意负载（例如，恶意代码行或木马更新），然后将该有效载荷向下游分发给众多用户。

• 中游妥协以传播恶意更新攻击：术语“中游”在这里主要指攻击者破坏中间软件升级功能或 CI/CD工具而非原始上游源代码库的实例。这种供应链攻击还具备社会工程学因素，攻击者可以设法更改用户手册、帮助文件和PowerShell构建脚本。

• 依赖项混淆攻击：如果您的软件构建使用私有的、内部创建的依赖项，而该依赖项在公共开源存储库中不存在，那么依赖项混淆（或命名空间混淆）就会起作用。攻击者能够在公共存储库上以相同的名称注册具有更高版本号的依赖项。然后，很大的可能是，攻击者创建的具有更高版本号的（公共）依赖项——而非您的内部依赖项——将被拉入您的软件构建中。

• 被盗的SSL和代码签名证书：虽然受损的SSL证书存在影响，但被盗的代码签名证书（即受损的私钥）会对软件安全产生更广泛的影响。获得私有代码签名密钥的攻击者可能会将他们的恶意软件签名为由信誉良好的公司提供的真实软件程序或更新。

• 使用社会工程学来引入恶意代码：任何安全专业人员都知道，安全性取决于其最薄弱的环节。由于人为因素仍然是最薄弱的环节，因此泄露往往来自最意想不到的地方。最近，明尼苏达大学的研究人员被踢出了 Linux 贡献群体，Linux 内核社区也撤销了他们之前提交的所有Linux内核代码，原因在于他们故意提出有缺陷的“补丁”，而这些“补丁”又会在 Linux 内核源代码中引入漏洞。

预防供应链攻击的方法有以下这些：

• 评估当前战略：更好的供应链安全始于当前战略，评估战略它们在减轻供应链威胁方面是否有效，它们是否符合合规性要求，他们能否适应不断变化的风险现实。

• 测试、测试、再测试：定期渗透测试和漏洞扫描可以帮助识别潜在的供应链安全弱点。从那里，可以关闭潜在的攻击途径。

• 识别和加密：通过识别和加密其环境中的高度敏感数据，企业可以减少确实发生的供应链攻击的范围。即使恶意行为者获得访问权限，他们也无法利用受保护的资产。

• 第三方风险管理：如今的供应链软件格局比以往任何时候都更加复杂。因此，企业必须对供应商安全实践进行深入分析。他们需要打破内部运营孤岛，以确保所有部门在保护方面都在同一页面上。

• 零信任框架：通过转向“始终验证，从不信任”框架，企业可以创建功能性前线防御。零信任甚至需要熟悉的应用程序和服务在获得网络访问权限之前通过身份验证检查。