[論文レビュー] Software supply chain: review of attacks, risk assessment strategies and security controls

Betul Gokkaya, Leonardo Aniello+1 more|arXiv (Cornell University)|May 23, 2023

Software Engineering Research被引用数 4

ひとこと要約

本論文は、ソフトウェアサプライチェーン（SSC）攻撃に関する体系的文献レビューを提示し、一般的な攻撃ベクトル、オープンソースおよびサードパーティコンポーネントにおけるリスク要因を特定するとともに、的確なセキュリティ対策を提案している。実際のインcidェントと緩和戦略を結びつけることで、SSCにおけるリスク評価および防御の包括的なフレームワークを提供し、攻撃分類、リスクモデリング、実際の脅威への対策マッピングという主な貢献を果たしている。

ABSTRACT

The software product is a source of cyber-attacks that target organizations by using their software supply chain as a distribution vector. As the reliance of software projects on open-source or proprietary modules is increasing drastically, SSC is becoming more and more critical and, therefore, has attracted the interest of cyber attackers. While existing studies primarily focus on software supply chain attacks' prevention and detection methods, there is a need for a broad overview of attacks and comprehensive risk assessment for software supply chain security. This study conducts a systematic literature review to fill this gap. We analyze the most common software supply chain attacks by providing the latest trend of analyzed attacks, and we identify the security risks for open-source and third-party software supply chains. Furthermore, this study introduces unique security controls to mitigate analyzed cyber-attacks and risks by linking them with real-life security incidence and attacks.

研究の動機と目的

• ソフトウェアサプライチェーン（SSC）攻撃の増加する脅威に対処するため、攻撃パターンとリスクの包括的概要を提供すること。
• オープンソースおよびサードパーティソフトウェアコンポーネントを標的とする一般的な攻撃ベクトルを特定および分類すること。
• 特定されたSSCリスクおよび実際の攻撃インシデントに対処するための効果的なセキュリティ対策を提案およびマッピングすること。
• 脅威モデリングと対策実装を統合した、構造的なSSCセキュリティリスク評価フレームワークの構築。
• 理論的な検出／予防手法と、実際のSSC環境における実行可能で実務的なセキュリティ戦略とのギャップを埋めること。

提案手法

• SSC攻撃、リスク評価、セキュリティ対策に関する学術的およびグレイ文献を対象とした体系的文献レビュー（SLR）を実施した。
• 攻撃ベクトル、技術的手法、および実際の事例研究に基づいて、最も一般的なソフトウェアサプライチェーン攻撃を分類および分析した。
• 特定されたセキュリティリスクを、特にオープンソースおよびサードパーティソフトウェア依存関係を対象とした攻撃タイプにマッピングした。
• 実際のインシデント（例：SolarWinds、Log4j）に基づいて、攻撃パターンに結びついたセキュリティ対策のセットを提案した。
• 脅威インテリジェンス、依存関係分析、対策有効性評価を統合したリスク評価モデルを開発した。
• 複数の事例研究および技術レポートを統合し、攻撃トレンド、リスク要因、緩和戦略の相関関係を特定する構造的合成手法を用いた。

実験結果

リサーチクエスチョン

• RQ1 近年におけるソフトウェアサプライチェーン攻撃の主なタイプとトレンドは何か？
• RQ2 SSCにおけるオープンソースおよびサードパーティソフトウェアコンポーネントに関連する主なリスク要因は何か？
• RQ3 既存のセキュリティ対策は、実際のソフトウェアサプライチェーン攻撃に対してどのように効果的にマッピングできるか？
• RQ4 ソフトウェアサプライチェーンセキュリティにおける現在のリスク評価手法にどのようなギャップがあるか？
• RQ5 実証的証拠に基づいて、統合されたSSCリスク評価および対策実装フレームワークをどのように構築できるか？

主な発見

• 本研究では、サードパーティおよびオープンソースコンポーネントを標的とするサプライチェーン攻撃の増加傾向を特定した。特に、ビルドおよび配布システムの改ざんが主要な攻撃ベクトルであることが判明した。
• SSCにおける最も深刻なリスクは、サードパーティコードの再利用、ソフトウェアBill of Materials（SBOM）の欠如、依存関係の不十分な検証に起因している。
• SolarWindsやLog4jなどの実際のインシデントは、信頼できるソフトウェア配布チャネルへの信頼を悪用してサプライチェーンが侵害される事例を示している。
• SBOM作成、ソフトウェアコンポジション分析（SCA）、アーティファクトの暗号的署名といったセキュリティ対策は、特定された攻撃パターンの緩和に非常に効果的であることが判明した。
• 脅威インテリジェンスを自動リスク評価ツールと統合することで、サプライチェーン脅威の早期検出および対応が著しく向上することが分かった。
• 本研究では、既存のフレームワークにおける深刻なギャップを浮き彫りにした。具体的には、脅威インテリジェンスを特定の技術的対策に結びつける標準化され、実行可能であるリスク評価モデルの欠如である。