[论文解读] Taxonomy of Attacks on Open-Source Software Supply Chains

Piergiorgio Ladisa, Henrik Plate+2 more|arXiv (Cornell University)|Apr 8, 2022

Software Engineering Research被引用 15

一句话总结

本文提出了一套全面的、与语言无关的开源软件（OSS）供应链攻击分类法，以攻击树形式组织，包含107个独特的攻击向量，对应94起真实事件和33项缓解措施。该分类法经17位专家和134名开发人员验证，可提升风险评估能力，加强开发人员教育，并优化多样化的OSS生态系统中安全资源的战略配置。

ABSTRACT

The widespread dependency on open-source software makes it a fruitful target for malicious actors, as demonstrated by recurring attacks. The complexity of today's open-source supply chains results in a significant attack surface, giving attackers numerous opportunities to reach the goal of injecting malicious code into open-source artifacts that is then downloaded and executed by victims. This work proposes a general taxonomy for attacks on open-source supply chains, independent of specific programming languages or ecosystems, and covering all supply chain stages from code contributions to package distribution. Taking the form of an attack tree, it covers 107 unique vectors, linked to 94 real-world incidents, and mapped to 33 mitigating safeguards. User surveys conducted with 17 domain experts and 134 software developers positively validated the correctness, comprehensiveness and comprehensibility of the taxonomy, as well as its suitability for various use-cases. Survey participants also assessed the utility and costs of the identified safeguards, and whether they are used.

研究动机与目标

• 解决缺乏一种通用、全面且易懂的开源软件（OSS）供应链攻击分类法的问题，且该分类法独立于编程语言或生态系统。
• 系统性地识别并分类从贡献到分发的OSS供应链各阶段的攻击向量。
• 将识别出的攻击向量与现有缓解措施进行映射，并评估其实际效用、成本及采纳程度。
• 提供一个经验证的参考框架，以支持开发人员培训、风险评估以及OSS生态系统中新安全控制措施的设计。
• 通过交互式、开源的可视化工具和对攻击与缓解措施数据的持续维护，确保分类法的长期适用性。

提出的方法

• 开展系统性文献综述（SLR），从学术文献和灰色文献中收集攻击向量，包括已利用的事件、未被利用的漏洞以及概念验证技术。
• 将攻击分类法建模为攻击树，按供应链阶段、参与方及涉及系统（如版本控制系统、包管理器、构建系统）组织攻击向量。
• 将107个独特的攻击向量与94起真实世界事件及33项缓解措施进行映射，确保可追溯性与实际相关性。
• 设计并实施两项用户调查：一项针对17位领域专家，以验证分类法及缓解措施的完整性、可理解性与适用性；另一项针对134名开发人员，以评估其对缓解措施的认知程度、感知效用及实际使用情况。
• 采用滚雪球抽样方法，确保专家和开发人员参与的多样性与代表性，最大限度减少选择偏差。
• 在互联网上托管一个交互式、开源的攻击树可视化工具，提供通往真实事件、攻击描述及缓解措施详情的链接，实现公众访问与持续维护。

实验结果

研究问题

• RQ1 RQ1.1 – 是否存在一份全面的、与编程语言或生态系统无关的OSS供应链攻击向量清单？
• RQ2 RQ1.2 – 这些攻击向量能否以清晰且实用的格式（如攻击树）进行表示？
• RQ3 RQ2.1 – 存在哪些通用缓解措施，它们分别能缓解哪些攻击向量？
• RQ4 RQ2.2 – 从专家视角来看，这些缓解措施的效用与成本如何？
• RQ5 RQ2.3 – 软件开发人员在实践中是否知晓并使用了这些缓解措施？

主要发现

• 所提出的分类法包含107个独特的攻击向量，覆盖OSS供应链的各个阶段，经17位领域专家验证，确认其全面性与可理解性。
• 攻击树结构能够清晰地可视化攻击路径，其中94起真实世界事件被映射到特定攻击向量，显著增强了实际相关性与教育价值。
• 专家对识别出的33项缓解措施进行了效用与成本评估，为OSS项目中的安全投资决策提供了可操作的见解。
• 对134名开发人员的调查结果表明，其对缓解措施的认知程度和使用情况参差不齐，反映出尽管感知效用较高，但实际采纳仍存在明显差距。
• 该分类法的交互式可视化版本已公开发布于 https://sap.github.io/risk-explorer-for-software-supply-chains/，支持持续维护与社区参与。
• 该分类法设计为可随新兴威胁持续演进，通过持续监控安全新闻与文献，确保在动态威胁环境中保持长期适用性。