供應鏈攻擊

供應鏈攻擊是以軟體開發人員和供應商為目標的新興威脅。 目標是藉由感染合法的應用程式來散發惡意代碼，來存取原始程式碼、建置程式或更新機制。

供應鏈攻擊的運作方式

攻擊者會搜捕不安全的網路協定、未受保護的伺服器基礎結構，以及不安全的程式代碼撰寫做法。 它們會在建置和更新程式中中斷、變更原始程式碼，以及隱藏惡意代碼。

由於軟體是由受信任的廠商所建置和發行，因此這些應用程式和更新都會經過簽署和認證。 在軟體供應鏈攻擊中，廠商可能不知道其應用程式或更新在發行給大眾時會受到惡意代碼感染。 惡意代碼接著會以與應用程式相同的信任和許可權執行。

由於某些應用程式很受歡迎，潛在犧牲者的數量相當龐大。 發生下列情況：免費檔案壓縮應用程式已有害，並部署到位於最常使用公用程式應用程式的國家/地區的客戶。

供應鏈攻擊的類型

• 遭入侵的軟體建置工具或更新的基礎結構

• 使用開發公司身分識別的程式代碼簽署憑證或已簽署的惡意應用程式遭竊

• 硬體或韌體元件中隨附的特製化程序代碼遭到入侵

• (相機、USB、手機等裝置上預安裝的惡意代碼 )

若要深入了解供應鏈攻擊，請閱讀這篇名為 「攻擊起始」的部落格文章：供應鏈內遭到入侵的供應鏈會帶來新的風險。

如何防範供應鏈攻擊

• 部署強式程式代碼完整性原則，只允許授權的應用程式執行。

• 使用可自動偵測和補救可疑活動的端點偵測和回應解決方案。

針對軟體廠商和開發人員

• 維護高度安全的組建和更新基礎結構。

  • 立即套用 OS 和軟體的安全性修補程式。
  • 實作強制完整性控件，以確保只執行受信任的工具。
  • 需要系統管理員的多重要素驗證。

• 在軟體開發生命週期中建置安全的軟體更新程式。

  • 需要 SSL 才能更新通道並實作憑證釘選。
  • 簽署所有專案，包括組態檔、腳本、XML 檔案和套件。
  • 檢查數字簽名，不要讓軟體更新程式接受一般輸入和命令。

• 開發供應鏈攻擊的事件回應程式。

  • 揭露供應鏈事件，並以正確且及時的資訊通知客戶

如需保護系統和裝置的一般秘訣，請參閱 防止惡意代碼感染。