1.1 攻击者激励因素

供应链攻击规避了传统的外围防御，使其对攻击者非常有吸引力。组织在防火墙、入侵防御和访问控制方面投入了大量资金。这些保护措施是针对直接针对组织基础结构的“推送”式攻击的防御措施。供应链攻击助长了一种更像是“拉动”的场景，即信息技术（IT）的合法用户故意请求一次恶意软件更新，从而破坏其组织。由于请求源自受信任的用户，并且来自公司组织内部，或者是已通过第三方风险管理流程评估后的受信任实体，因此这个更新是认为可信的。结果看起来是组织自己伤害了自己。

在探索防御攻击所需的控制措施时，仅考虑单层架构作为有效的防御措施是不够的。就像网络基础设施管理员意识到他们需要监控出站流量或实施基于主机的控制一样，这种向纵深防御的转变，尤其是跨边界，至关重要。出于各种原因，包括云、移动、社交媒体和现代应用程序基础设施，边界的概念也不断拓展。它不再是一个静态的边界，而是需要被视为信任区域之间的隔离层，无论它们是位于网络边缘、还是作为应用程序或访问控制机制内的逻辑屏障。因此，我们的控制和由此产生的威胁建模必须考虑整个攻击面，并探索每个交互点和信任关系。

供应链攻击也能起到力量放大器的作用。通过识别关键依赖关系或广泛使用的软件，攻击者可以将恶意代码注入任何环境，然后利用该代码。这种情况屡见不鲜，类似于水坑式攻击的概念，攻击者入侵目标群体使用的广泛使用的网站，例如工业控制系统 (ICS) 集成商使用的可编程逻辑控制器 (PLC) 网络论坛。如果攻击者可以入侵访问论坛的每个用户，理论上他们就可以访问这些集成商工作的任何关键基础设施实体。同样，这些集成商使用的任何被入侵的软件都可能将不必要的恶意功能引入安装该软件的环境中，即使在这些顾问转入下一个项目很久之后。

所有这些都意味着软件供应链攻击对攻击者来说非常有利可图。网络间谍活动有一个经济因素，它极大地受益于可重复使用的漏洞和供应链攻击的低入门成本。此外，许多最近的攻击都结合了通过软件供应链部署的勒索软件，这不仅使攻击变得容易，而且为勒索软件运营商带来了直接的经济收益，并让那些担心业务中断的组织越来越担心