[论文解读] Software supply chain: review of attacks, risk assessment strategies and security controls

Betul Gokkaya, Leonardo Aniello+1 more|arXiv (Cornell University)|May 23, 2023

Software Engineering Research被引用 4

一句话总结

本文对软件供应链（SSC）攻击进行了系统性文献回顾，识别出常见的攻击向量、开源及第三方组件中的风险因素，并提出了针对性的安全控制措施。研究将真实世界事件与缓解策略相联系，构建了一个全面的风险评估与防御框架，主要贡献包括攻击分类法、风险建模以及与实际威胁对应的安全控制映射。

ABSTRACT

The software product is a source of cyber-attacks that target organizations by using their software supply chain as a distribution vector. As the reliance of software projects on open-source or proprietary modules is increasing drastically, SSC is becoming more and more critical and, therefore, has attracted the interest of cyber attackers. While existing studies primarily focus on software supply chain attacks' prevention and detection methods, there is a need for a broad overview of attacks and comprehensive risk assessment for software supply chain security. This study conducts a systematic literature review to fill this gap. We analyze the most common software supply chain attacks by providing the latest trend of analyzed attacks, and we identify the security risks for open-source and third-party software supply chains. Furthermore, this study introduces unique security controls to mitigate analyzed cyber-attacks and risks by linking them with real-life security incidence and attacks.

研究动机与目标

• 为应对软件供应链（SSC）攻击日益增长的威胁，提供攻击模式与风险的全面概述。
• 识别并分类针对开源及第三方软件组件的常见攻击向量。
• 提出并映射有效的安全控制措施，以缓解已识别的SSC风险及真实世界攻击事件。
• 开发一个结构化的SSC安全风险评估框架，整合威胁建模与控制实施。
• 弥合理论性检测/预防方法与真实SSC环境中实际可行的安全策略之间的差距。

提出的方法

• 对关于SSC攻击、风险评估与安全控制的同行评审文献及灰色文献进行了系统性文献回顾（SLR）。
• 基于攻击向量、技术手段及真实世界案例研究，对最普遍的软件供应链攻击进行了分类与分析。
• 将识别出的安全风险映射到特定攻击类型，尤其聚焦于开源及第三方软件依赖。
• 提出一组与攻击模式相联系的安全控制措施，其依据来自SolarWinds和Log4j等真实事件。
• 开发了一个整合威胁情报、依赖分析与控制有效性评估的风险评估模型。
• 采用结构化综合方法，关联多个案例研究与技术报告中的攻击趋势、风险因素与缓解策略。

实验结果

研究问题

• RQ1 近年来，软件供应链攻击的最常见类型与趋势是什么？
• RQ2 与SSC中开源及第三方软件组件相关的首要风险因素有哪些？
• RQ3 如何有效将现有安全控制措施映射到真实世界的软件供应链攻击？
• RQ4 当前软件供应链安全风险评估方法论中存在哪些不足？
• RQ5 如何基于实证证据，构建一个统一的SSC风险评估与控制实施框架？

主要发现

• 该研究识别出针对第三方及开源组件的供应链攻击呈上升趋势，其中构建与分发系统被攻破是主要攻击向量。
• SSC中最关键的风险源于第三方代码重用、缺乏软件物料清单（SBOM）以及依赖项验证不足。
• SolarWinds与Log4j等真实事件表明，供应链攻击通常利用对合法软件分发渠道的信任。
• 安全控制措施如SBOM生成、软件成分分析（SCA）以及工件的加密签名，在缓解已识别的攻击模式方面被证明极为有效。
• 将威胁情报与自动化风险评估工具集成，可显著提升对供应链威胁的早期检测与响应能力。
• 该研究突出显示现有框架中的一个关键缺口：缺乏标准化且可操作的风险评估模型，无法将威胁情报与具体技术控制有效关联。