Компрометация цепочки поставок

Злоумышленники могут манипулировать продуктами или механизмами доставки продуктов до их получения конечным потребителем с целью компрометации данных или системы. Компрометация цепочки поставок может происходить на любом этапе цепочки поставок, включая: * Манипулирование средствами разработки * Манипулирование средой разработки * Манипулирование репозиториями исходного кода (публичными или частными) * Манипулирование исходным кодом в зависимостях с открытым исходным кодом * Манипулирование механизмами обновления/распространения программного обеспечения * Скомпрометированные/зараженные образы систем (съемные носители, зараженные на заводе) * Замена легитимного программного обеспечения на модифицированные версии * Продажа модифицированных/контрафактных продуктов легитимным дистрибьюторам * Перехват поставок Хотя компрометация цепочки поставок может затронуть любой компонент аппаратного или программного обеспечения, злоумышленники, стремящиеся получить выполнение, часто сосредотачиваются на вредоносных дополнениях к легитимному программному обеспечению в каналах распространения или обновления программного обеспечения. Злоумышленники могут ограничить нацеливание желаемым набором жертв или распространить вредоносное программное обеспечение широкому кругу потребителей, но следить только за конкретными жертвами. Популярные проекты с открытым исходным кодом, которые используются в качестве зависимостей во многих приложениях, также могут быть целью для добавления вредоносного кода пользователям зависимости. В некоторых случаях злоумышленники могут проводить компрометацию цепочки поставок «второго порядка», используя доступ, полученный в результате первоначальной компрометации цепочки поставок, для дальнейшей компрометации программного компонента. Это может позволить субъекту угрозы распространиться на еще больше жертв.