软件供应链攻击同比增长650%-低调大师

软件供应链攻击同比增长650%

2021-09-16 662

根据Sonatype最新发布的《2021年软件供应链状况报告》，全球对开源代码的旺盛需求导致软件供应链攻击同比增长650%。

报告显示，全球的开发商累计从第三方开源生态系统“借用”超过2.2万亿个开源软件包或组件，以加快上市时间。这包括从Maven中央存储库下载的 Java、从PyPi下载的Python包、从npmjs和.NET NuGet包下载的JavaScript等。这些共享代码包通常包含公开披露的漏洞，攻击者可以利用这些漏洞。然而，Sonatype警告说，越来越多的网络犯罪分子变得更加积极主动。

报告指出：下一代软件供应链攻击要险恶得多，因为攻击者不再等待公开漏洞披露来进行攻击。相反，他们采取主动的方式，将新漏洞注入为全球供应链提供支持的开源项目中，然后在发现漏洞之前利用这些漏洞。通过将攻击转移到“上游”，攻击者可以获得影响力和关键的时间优势，使恶意软件能够在整个供应链中传播，从而对“下游”用户进行更具可扩展性的攻击。

在2015年2月至2019年6月之间的四年内，检测到216起此类攻击。然而，这一数字仅2019年7月至2020年5月这一年多的时间内就上升到了929起。在过去一年中，这一数字则飙升至12000起。其中主要的网络威胁活动，包括对SolarWinds和Codecov的攻击，这凸显了代码供应链攻击的潜在严重影响。

【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】

戳这里，看该作者更多好文

微信关注我们

原文链接：http://zhuanlan.51cto.com/art/202109/682548.htm

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

9.11事件二十周年思考：“网络9.11”何时会发生？

震惊全球的“9.11”恐怖袭击事件已经过去了20年，在数字化应用不断发展的今天，恐怖组织是否会发动网络911事件开始备受行业关注。BreachQuest首席技术官Jake Williams指出：“虽然过去了20年，但是我们仍然清晰地记得911事件发生时恐怖。然而，大多数人可能对WannaCry或NotPetya等网络安全事件缺乏关注。” 但越来越多的线索表明，现代互联网技术正在被恐怖组织掌握并用于增强他们的能力，例如影响潜在的恐怖分子，以及资助、招募和培训新的团伙成员。 Cato Network网络安全战略高级主管Etay Maor表示：“恐怖组织现在拥有高度完善的互联网使用模式，并正在大量使用互联网。但目前还并非用于物理攻击，而是将其用于进行信息传播，或进行招募、募资、牟利、管理比特币以及激化思想等等。” 网络9.11是否会发生? 很多网络专家们认为，目前的网络攻击与大多数恐怖组织的主要目标还并不一致。Williams指出：“恐怖袭击会激起广大民众的恐惧心理。虽然网络攻击也有可能引发持续效应，但这需要在访问目标网络后进行大量研究和规划工作，这不符合一般网络攻击者即时盈利的目标。”此外...

2021-09-16

534

美国司法部(DoJ)于9月14日宣布与两名美国公民和一名前美国公民达成延期起诉协议，据悉，这3名被告都是美国情报界或美国军方的前成员，分别为49岁的Marc Baier、34岁的Ryan Adams以及40岁的Daniel Gericke。他们作为阿联酋的网络雇佣兵，负责将受保护的信息(ITAR/AECA)转移到阿联酋;协助阿联酋开发苹果的操作系统;并实施了危害美国实体的网络操作。根据法庭文件显示，这3人在一家总部位于阿联酋的公司(在法庭文件中被识别为“UAE-CO”，并被认为是DarkMatter公司)担任高级管理人员。该公司主要负责为阿联酋政府的国家电子安全局(NESA，相当于美国的NSA)提供计算机网络开发支持。特别值得注意的一点是，这些受雇的黑客还被指控为DarkMatter创建复杂的“零点击”(zero-click)漏洞，这些漏洞随后被武器化以非法收集美国公司在线账户的访问凭据，并未经授权地访问世界各地的手机。 “Raven”项目 2019年1月，路透社发表了一篇关于DarkMatter招募外国网络专家以开发防御性和进攻性网络武器的深度曝光。这些专家开展了“Raven”项...

2021-09-16

599

资源下载

更多资源

Mario

马里奥是站在游戏界顶峰的超人气多面角色。马里奥靠吃蘑菇成长，特征是大鼻子、头戴帽子、身穿背带裤，还留着胡子。与他的双胞胎兄弟路易基一起，长年担任任天堂的招牌角色。

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。