供应链攻击

供应链攻击是指在最终消费者收到产品或产品交付机制之前，为了数据或攻击系统而进行的操纵。
供应链攻击可以发生在供应链的任何阶段，包括：
开发工具的操作
开发环境的操作
对源代码库（公共或私有）的操作
软件更新/分发机制的操作
受攻击/感染的系统镜像（工厂中多例被感染的可移动媒体）
用修改的版本替换合法软件
向合法分销商销售修改/仿冒产品
尽管供应链的攻击可能会影响硬件或软件的任意组件，但想要获得执行的攻击者往往关注在软件分发阶段或更新渠道中对合法软件进行的恶意添加。
可以以特定的受害者群体为目标， 或将恶意软件分发给广泛的消费者群体，但仅对特定受害者的附加策略。

缓解

在系统的整个生命周期应用供应链风险管理 (SCRM) 的实践和流程 ，如供应链分析和适当的风险管理。
利用已建立的软件开发生命周期 (SDLC) 实践 :
- 唯一识别供应链元素，进程和参与者
- 限制供应链中的访问和暴露
- 建立并维护元素，进程，工具和数据的来源
- 在严格限制内共享信息
- 执行 SCRM 意识和培训
- 对系统，元素和进程使用防御性设计
- 执行持续集成商审核
- 加强交付机制
- 确保维持活动和进程
- 管理整个系统或元素生命周期中的处理和最终处理活动

检测

通过散列校验或其他完整性校验机制来检验分布式二进制文件。
扫描下载的文件查找是否有恶意签名，并尝试在部署之前测试软件和更新，同时注意潜在的可疑活动。
对硬件进行物理检查以查找潜在的篡改。

- 译者: 林妙倩、戴亦仑 . source:cve.scap.org.cn