确保开发基础设施安全：软件供应链安全的新前沿

软件供应链对于现代软件开发来说不可或缺，因为它们推动了各行业的创新和效率。然而，尽管这些供应链至关重要，但它们也是威胁和攻击的渠道。

随着威胁行为者的进化，他们所使用的方法也发生了变化。他们已经从利用已知漏洞转向部署更复杂的策略，将恶意代码直接注入开源库。

今天，我们面临迄今为止最具挑战性的阶段：对发展基础设施的直接攻击。

传统安全措施虽然可以有效抵御已知风险，但无法抵御针对关键但防护较弱的开发基础设施的新一波复杂攻击。

对发展基础设施的直接攻击

随着组织加强防御，威胁行为者将精力转向软件供应链中的其他元素——开发工具和流程。这一基础设施是更广泛的网络访问和更深层次的组织渗透的门户。

这种战略转变使得对手能够利用开发环境和第三方组件中的弱点来规避严格的安全措施。

此类攻击的示例包括：

• Jenkins 漏洞利用：Jenkins 服务器经常成为网络犯罪分子的攻击目标，他们经常利用这些服务器来挖掘加密货币或作为进一步网络攻击的跳板。这些攻击利用未修补的漏洞，导致重大财务损失并危及整个开发生态系统。

• Verkada 漏洞：威胁行为者渗透到 Verkada 的开发基础设施中，使他们能够访问各个高安全区域的敏感数据并在组织内横向移动。此次漏洞表明，漏洞被利用的后果非常严重，其影响范围可能远远超出其最初的切入点，影响组织运营的多个方面。

• Codecov 事件：Codecov 环境中的 Docker 容器被入侵，凸显了恶意代码的广泛影响。一旦部署，被入侵的容器就会影响所有下游客户，其影响范围与臭名昭著的 SolarWinds 攻击类似。这一事件清楚地提醒我们，对开发基础设施的攻击可能会对整个客户群产生深远影响。

• Log4Shell 漏洞：广泛使用的 Log4j 日志库中存在 Log4Shell 漏洞，允许远程执行代码，成为攻击者的主要目标，凸显了深度集成的开源组件所带来的严重风险。Log4j 广泛集成到众多软件产品中，使大规模访问企业网络成为可能。

依赖混乱的影响

依赖混淆代表着一种较新但正在迅速升级的威胁。这种策略巧妙地利用了开发人员对软件依赖关系的固有信任。威胁行为者将合法组件的伪造版本上传到公共存储库，有效地欺骗自动构建系统以合并恶意组件。

一个值得注意的例子是PyTorch 命名空间攻击，攻击者通过类似命名的包引入依赖混淆攻击来利用存储库，从而导致可能下载和执行故意恶意的代码。

通过巧妙地更改软件包名称或夸大版本号，攻击者可以欺骗这些系统检索被破坏的版本而不是正版。这可能会导致依赖于这些损坏组件的各种系统遭受大范围入侵。

针对当今威胁形势的主动措施

上述事件和策略强调了一个关键点：软件供应链中的攻击面已经扩大，通过故意插入恶意组件，不仅对单个组织而且对整个生态系统构成威胁。

面对这些复杂的威胁，仅仅依靠传统的安全措施是不够的。

更全面的安全策略涵盖几个关键领域：

• 增强监控和补丁管理：实施持续监控并确保及时修补所有开发工具和环境。这种方法对于防止利用已知和新发现的漏洞至关重要。

• 高级检测功能：利用尖端威胁检测技术，识别可能暗示存在违规行为的异常活动或配置。这种早期检测对于快速响应和缓解至关重要。

• 实施安全的软件供应链实践：采用全面的工具来管理软件依赖关系。这可确保仅将安全、经过审查的组件集成到开发项目中，从而保障整个软件构建过程的安全。

通过整合这些策略，组织可以加强对日益复杂的软件供应链攻击的防御，保护他们的客户和资产。

如何优化软件供应链管理

网络威胁的演变要求采取强有力的安全方法，超越传统防御，涵盖开发和构建环境的各个方面。

自动化安全

Sonatype 存储库防火墙增加了一个关键的安全层，防止故意恶意的开源组件进入软件构建过程。

该机制大大降低了漏洞进入软件供应链的风险，从而增强了整体安全性。

主动漏洞管理

有效的管理需要集成提供实时监控、自动修补和软件组合分析（SCA）的工具。

Sonatype Lifecycle在这方面起着关键作用，它无缝集成到开发工作流程中，提供全面的漏洞管理和 SCA 功能。

通过主动监控软件依赖关系，Sonatype Lifecycle 确保仅使用安全、合规的组件，从而使依赖关系管理与严格的安全实践保持一致。

通过 SBOM 提高透明度

维护详细的软件物料清单 (SBOM)对于软件供应链内的透明度和安全性至关重要。

Sonatype SBOM Manager可自动生成 SBOM，从而促进大规模管理和合规性。此工具支持各种标准和格式，增强组织快速响应漏洞和合规性问题的能力。

前进的道路

要应对下一代软件供应链攻击，就必须将强大的安全实践融入软件开发和管理的各个方面。当前威胁的复杂性要求我们采取复杂而主动的应对措施，这凸显了采取全面而谨慎的网络安全措施的必要性。

在这个不断发展的环境中，安全是组织的集体责任，不仅限于单个开发人员或安全团队。软件供应链攻击的这一阶段不仅带来了挑战，也带来了重新思考和加强我们保护推动创新和技术进步的重要流程的方法的机会。

原文始发于微信公众号（河南等级保护测评）：确保开发基础设施安全：软件供应链安全的新前沿