Ataque à cadeia de fornecimento
O que é Ataque à cadeia de fornecimento?
Ataque à cadeia de fornecimentoAtaque que compromete um fornecedor de software, hardware ou serviços de confiança para alcançar os seus clientes a jusante.
Um ataque à cadeia de fornecimento visa o desenvolvimento, a construção ou a distribuição de um fornecedor, fazendo com que código, componentes ou atualizações maliciosas sejam entregues como produtos legítimos a muitas vítimas em simultâneo. Técnicas comuns incluem comprometer repositórios de código, inserir backdoors em sistemas de build, contaminar dependências open source, abusar do acesso de prestadores de serviços geridos e adulterar hardware no fabrico. Como o artefacto malicioso está assinado e é confiável, as defesas perimetrais tradicionais raramente o detetam. As mitigações dependem de SBOM, builds assinados e reproduzíveis, fixação de dependências, gestão de risco de fornecedores, princípios zero trust, segmentação e monitorização contínua de comportamentos anómalos após uma atualização.
● Exemplos
- 01
Atacantes injetam uma backdoor numa atualização assinada de um fornecedor, infetando milhares de clientes através do patching de rotina.
- 02
Um pacote malicioso é publicado num registo público com um nome semelhante ao de uma biblioteca popular.
● Perguntas frequentes
O que é Ataque à cadeia de fornecimento?
Ataque que compromete um fornecedor de software, hardware ou serviços de confiança para alcançar os seus clientes a jusante. Pertence à categoria Ataques e ameaças da cibersegurança.
O que significa Ataque à cadeia de fornecimento?
Ataque que compromete um fornecedor de software, hardware ou serviços de confiança para alcançar os seus clientes a jusante.
Como se defender contra Ataque à cadeia de fornecimento?
As defesas contra Ataque à cadeia de fornecimento costumam combinar controles técnicos e práticas operacionais, conforme detalhado na definição acima.
Quais são outros nomes para Ataque à cadeia de fornecimento?
Nomes alternativos comuns: Ataque a terceiros, Comprometimento de fornecedor.