供應鏈攻擊是新興威脅，目標鎖定軟體開發者與供應商。 目標是透過感染合法應用程式來取得原始碼、建置程序或更新機制，以散播惡意軟體。
供應鏈攻擊的運作方式
攻擊者會尋找不安全的網路協定、未受保護的伺服器基礎設施，以及不安全的程式碼行為。 它們會入侵、更改原始碼，並在建置和更新過程中隱藏惡意軟體。
由於軟體是由可信賴的廠商開發與發布，這些應用程式和更新都經過簽署與認證。 在軟體供應鏈攻擊中，廠商很可能不知道其應用程式或更新在公開時已被惡意程式碼感染。 惡意程式碼會以與應用程式相同的信任與權限執行。
考慮到某些應用程式的流行，潛在受害者的數量相當可觀。 曾發生過這樣的案例：一款免費檔案壓縮應用程式遭植入惡意程式，並散布給某個國家／地區的使用者，而該應用程式當時是當地排名第一的工具類應用程式。
供應鏈攻擊的類型
遭入侵的軟體建置工具或更新基礎架構
盜取程式碼簽名憑證或使用開發公司身份簽署惡意應用程式
被入侵的專用程式碼被運送到硬體或韌體元件中
裝置 (攝影機、USB、手機等裝置上預先安裝惡意軟體 )
想了解更多關於供應鏈攻擊的資訊，請閱讀這篇名為《 攻擊啟動：供應鏈內部供應鏈被入侵帶來新風險》的部落格文章。
如何防範供應鏈攻擊
部署強的程式碼完整性政策，允許只有授權的應用程式能執行。
使用端點偵測與回應解決方案，能自動偵測並修復可疑活動。
給軟體供應商與開發者
維護高度安全的建置與更新基礎設施。
- 立即為作業系統和軟體安裝安全修補程式。
- 實施強制完整性控管，確保只有受信任的工具能正常運作。
- 要求管理員使用多重身份驗證。
在軟體開發生命週期中建立安全的軟體更新程式。
- 要求更新通道使用 TLS，並實施憑證釘選。
- 簽署所有東西，包括設定檔、腳本、XML 檔案和套件。
- 檢查是否有數位簽章，且不要讓軟體更新器接受一般輸入和指令。
建立供應鏈攻擊的事件應變流程。
- 揭露供應鏈事故，並以準確及時的資訊通知客戶
關於保護系統和裝置的更一般建議，請參見 防止惡意軟體感染。