供应链安全
信任第三方代码与依赖会放大爆炸半径。
简答： 供应链安全应对第三方代码、依赖、构建流水线与供应商访问引入的风险——一次失陷可能波及众多下游使用者。
证据： CISA · MITRE · 研究 · 已人工审核
定义
供应链安全应对第三方代码、依赖、构建流水线与供应商访问引入的风险——一次失陷可能波及众多下游使用者。
主要实体
- CVE — CVE-2024-3094 (xz 后门)
- CVE CVE-2021-44228 — CVE-2021-44228 (Log4Shell)
时间线
- — SolarWinds 失陷重塑软件供应链
- — Log4Shell 击穿依赖链
最新情报
- 被植入后门的开源软件包
- 构建流水线投毒
证据与来源
CISA · MITRE · 研究 · NVD · CISA KEV · MITRE ATT&CK
相关情报
- 威胁行为体： 依赖混淆滥用者
- 威胁行为体： 国家背景供应链操作者
- 攻击行动： 受信任更新通道失陷
- 攻击行动： 软件仓库域名仿冒
- 研究： 依赖爆炸半径建模
- 研究： SBOM 采用研究
下一步行动
OpenTrojan 安全知识中心 2.0： 勒索软件 · 恶意软件 · 威胁情报 · 漏洞管理 · 云安全 · 身份安全 · 事件响应 · 零日漏洞 · 国家行为体威胁