根据Sonatype最新发布的《2021年软件供应链状况报告》，全球对开源代码的旺盛需求导致软件供应链攻击同比增长650%。
报告显示，全球的开发商累计从第三方开源生态系统“借用”超过2.2万亿个开源软件包或组件，以加快上市时间。这包括从Maven中央存储库下载的 Java、从PyPi下载的Python包、从npmjs和.NET NuGet包下载的JavaScript等。这些共享代码包通常包含公开披露的漏洞，攻击者可以利用这些漏洞。然而，Sonatype警告说，越来越多的网络犯罪分子变得更加积极主动。
报告指出：下一代软件供应链攻击要险恶得多，因为攻击者不再等待公开漏洞披露来进行攻击。相反，他们采取主动的方式，将新漏洞注入为全球供应链提供支持的开源项目中，然后在发现漏洞之前利用这些漏洞。通过将攻击转移到“上游”，攻击者可以获得影响力和关键的时间优势，使恶意软件能够在整个供应链中传播，从而对“下游”用户进行更具可扩展性的攻击。
在2015年2月至2019年6月之间的四年内，检测到216起此类攻击。然而，这一数字仅2019年7月至2020年5月这一年多的时间内就上升到了929起。在过去一年中，这一数字则飙升至12000起。其中主要的网络威胁活动，包括对SolarWinds和Codecov的攻击，这凸显了代码供应链攻击的潜在严重影响。
【本文是51CTO专栏作者“安全牛”的原创文章，转载请通过安全牛（微信公众号id:gooann-sectv）获取授权】
