第一章 软件供应链威胁的背景
本章概述了核心主题，例如攻击者的诱因、软件供应链攻击的剖析以及相关的里程碑式案例。
1.1 攻击者激励因素
供应链攻击规避了传统的外围防御，使其对攻击者非常有吸引力。组织在防火墙、入侵防御和访问控制方面投入了大量资金。这些保护措施是针对直接针对组织基础结构的“推送”式攻击的防御措施。供应链攻击助长了一...
1.2 威胁模型
威胁建模是一个经常被谈及的主题，但根据作者的经验，大多数组织很少在实践中执行。作为一个行业，我们经常以相当通用的方式讨论威胁，而从未探索正确建模这些威胁所需的软件或系统的背景。然而，这些活动的核...
1.3 里程碑案例一：SolarWinds
如果不讨论 SolarWinds 网络攻击，那么现代软件供应链安全事件的讨论就不完整。SolarWinds 是市场上最大的数字系统管理工具提供商之一。2019 年，SolarWinds 开始遭受...
1.4 里程碑案例二：Log4j
虽然 SolarWinds 网络攻击是针对软件供应商的，但 Log4j 事件却大不相同，因为它针对的是广泛使用的开源软件 (OSS)。Log4j 事件于 2021 年 12 月 9 日开始引起公...
1.5 标志性案例三：Kaseya
另一个值得讨论的非常突出的软件供应链攻击是 Kaseya 勒索软件攻击。Kaseya (http://kaseya.com) 是一家统一的 IT 管理和安全软件公司，专门为托管服务提供商 (MS...
1.6 案例的启示
从这些案例中得出的最重要的结论是，专注于传统的“最后一英里”防御措施（如散列和代码签名）是远远不够的，而且可能会给人一种虚假的安全感。最成功的攻击发生在这些过程的上游，签署恶意代码可能比根本不签...
1.7 小结
在本章中，我们讨论了软件供应链威胁的背景以及攻击者的一些相关诱因。我们还讨论了软件供应链攻击的潜在结构。我们介绍了威胁建模的基础知识及其在防止软件供应链攻击中可以发挥的作用。最后，我们讨论了一些...