软件供应链攻击的风险管控：从SolarWinds到开源投毒
供应链攻击的本质是攻击你最信任的环节——你不审核每一个npm依赖包，攻击者就在第8层依赖中注入恶意代码。事件回顾：xz-utils后门（CVE-2024-3094）几乎被植入了全球所有Linux服务器的SSH守护进程，如果未被及时发现，后果将是网络安全史上最严重的事件。
防御框架：SLSA（Supply-chain Levels for Software Artifacts）定义了四级安全成熟度——从基础的构建脚本版本控制到最高级的”两个人review每行代码并执行密封构建”。实践中必须执行的最低标准：软件物料清单SBOM（Syft生成，每次CI自动发布）；依赖锁定（lockfile必须提交到仓库，不可变）；依赖扫描（Snyk/OSV-Scanner集成到CI中，阻断有已知漏洞的依赖）；构建出处（npm provenance/GitHub Artifact Attestations证明二进制确实来自源码）。
发表回复