NIST发布网络供应链风险管理框架指南

近日，美国网络安全和基础设施安全局(CISA)和美国国家标准技术研究院(NIST)联合发布了网络供应链风险管理(C-SCRM)框架和安全软件开发框架(SSDF)指南项目，为网络防御者提供了与供应链攻击相关的趋势和最佳实践。

供应链攻击的最常见技术是：

• 劫持更新
• 破坏代码签名
• 破坏开源代码

在某些情况下，攻击可能会混合使用上述技术来提高其效率。

这些攻击大多数归因于资源丰富的攻击者和APT团体，它们具有很高的技术能力。

报告指出：“软件供应链攻击通常需要强大的技术才能和长期投入，因此通常很难执行。总的来说，高级持续威胁(APT)参与者更有可能、同时有意愿和能力来进行可能危害国家安全的高度技术性和长期性的软件供应链攻击活动。”

报告指出，组织容易受到此类攻击的原因有两个：

• 许多第三方软件产品需要特权访问
• 许多第三方软件产品需要卖方网络与位于客户网络上的卖方软件产品之间的频繁通信

该指南包含一系列建议，内容涉及组织如何预防供应链攻击以及在使用此技术交付恶意软件或易受攻击的软件的情况下如何缓解这些攻击。

项目地址：https://csrc.nist.gov/projects/cyber-supply-chain-risk-management