[論文レビュー] Taxonomy of Attacks on Open-Source Software Supply Chains

Piergiorgio Ladisa, Henrik Plate+2 more|arXiv (Cornell University)|Apr 8, 2022

Software Engineering Research被引用数 15

ひとこと要約

本論文は、オープンソースソフトウェア（OSS）サプライチェーンを対象とした包括的で言語に依存しない攻撃分類法を提案する。攻撃ツリーとして構造化されたこの分類法は、107の固有の攻撃ベクトルを94件の実際のインシデントと33の緩和策にマッピングしている。17名の専門家と134名の開発者の検証を経て、多様なOSSエコシステムにおけるリスク評価、開発者教育、セキュリティリソースの戦略的配分を向上可能にする。

ABSTRACT

The widespread dependency on open-source software makes it a fruitful target for malicious actors, as demonstrated by recurring attacks. The complexity of today's open-source supply chains results in a significant attack surface, giving attackers numerous opportunities to reach the goal of injecting malicious code into open-source artifacts that is then downloaded and executed by victims. This work proposes a general taxonomy for attacks on open-source supply chains, independent of specific programming languages or ecosystems, and covering all supply chain stages from code contributions to package distribution. Taking the form of an attack tree, it covers 107 unique vectors, linked to 94 real-world incidents, and mapped to 33 mitigating safeguards. User surveys conducted with 17 domain experts and 134 software developers positively validated the correctness, comprehensiveness and comprehensibility of the taxonomy, as well as its suitability for various use-cases. Survey participants also assessed the utility and costs of the identified safeguards, and whether they are used.

研究の動機と目的

• プログラミング言語やエコシステムに依存しない、一般的で包括的かつ理解しやすいオープンソースソフトウェア（OSS）サプライチェーン攻撃の分類法の欠如に対処する。
• OSSサプライチェーンの全段階（寄稿から配布まで）にわたり、攻撃ベクトルを体系的に特定・分類する。
• 特定された攻撃ベクトルを、既存の緩和策にマッピングし、その実用性、コスト、実際の導入状況を評価する。
• 開発者教育、リスク評価、OSSエコシステムにおける新たなセキュリティ制御の設計を支援する、検証済みの基準フレームワークを提供する。
• 攻撃および緩和策データの継続的メンテナンスとインタラクティブでオープンソースの可視化を提供することで、長期的な関連性を確保する。

提案手法

• 学術的およびグレイ・リテラチャーからの攻撃ベクトルを収集するための体系的文献レビュー（SLR）を実施し、利用事例、未利用の脆弱性、プロトタイプ実装技術を含む。
• 攻撃分類法を攻撃ツリーとしてモデル化し、サプライチェーンの段階、関係者、関与するシステム（例：バージョン管理、パッケージマネージャ、ビルドシステム）別に構成する。
• 107の固有の攻撃ベクトルを94件の実世界インシデントと33の緩和策にマッピングし、トレーサビリティと実用的関連性を確保する。
• 2つのユーザーレビュー調査を設計・実施：17名の分野専門家を対象に分類法および緩和策の包括性、理解可能性、適用可能性を検証し、134名の開発者を対象に緩和策の認知度、実用性、使用状況を評価する。
• 選択バイアスを低減するため、スノーボールサンプリングを用いて多様で代表的な専門家および開発者の参加を確保する。
• オンライン上でインタラクティブでオープンソースの可視化ツールを提供し、実際のインシデント、攻撃の説明、緩和策の詳細へのリンクを含め、一般公開および継続的メンテナンスを可能にする。

実験結果

リサーチクエスチョン

• RQ1 RQ1.1 – プログラミング言語やエコシステムに依存しない、OSSサプライチェーンにおける包括的な攻撃ベクトルのリストは何か？
• RQ2 RQ1.2 – 攻撃ツリーのような、理解しやすく有用な形式で、これらの攻撃ベクトルをどのように表現できるか？
• RQ3 RQ2.1 – どのような一般的な緩和策が存在し、それぞれがどの攻撃ベクトルを軽減するか？
• RQ4 RQ2.2 – 専門家の観点から、これらの緩和策の実用性とコストは何か？
• RQ5 RQ2.3 – 実際のソフトウェア開発者が知っている・使用している緩和策はどれか？

主な発見

• 提案された分類法は、OSSサプライチェーンの全段階にわたり107の固有の攻撃ベクトルを含み、17名の分野専門家の検証を通じて包括的で理解しやすいと確認された。
• 攻撃ツリー構造により、攻撃パスの明確な可視化が可能となり、94件の実世界インシデントが特定のベクトルにマッピングされ、実用的関連性と教育的価値が向上した。
• 専門家による評価を通じて、同定された33の緩和策の実用性とコストが評価され、OSSプロジェクトにおけるセキュリティ投資意思決定に役立つインサイトが得られた。
• 134名の開発者を対象とした調査結果から、緩和策の認知度と使用状況にはばらつきが認められ、実用性は認識されているものの導入のギャップが明らかになった。
• 分類法のインタラクティブな可視化は、https://sap.github.io/risk-explorer-for-software-supply-chains/ で一般公開されており、継続的メンテナンスとコミュニティ参加を支援する。
• 本分類法は、新たな脅威の発生に応じて進化可能であり、セキュリティ関連のニュースおよび文献の継続的モニタリングにより、変化し続ける脅威環境においても長期的な関連性を保つ。