透过关键基础设施安全事件谈SBOM

美国 CISA（网络安全和基础设施安全局，下称 CISA）发布了一份新的警报，旨在预警开源工具被用来窃取国防工业基地部门组织的敏感数据这一威胁。

在 2021 年 11 月至 2022年 1 月，高级持续性威胁（APT）团体入侵了一家国防公司，并在其网络上潜伏了数月。CISA 称，这些团体破坏了一个用于管理该组织的微软 Exchange 服务器的管理员账户，并使用一个名为 Impacket 的开源工具包来扩大他们在网络中的落脚点并试图破坏它。

APT 小组使用了一个被劫持的管理员账户来获得访问权，允许他们在连接到 VPN 的情况下，两次访问网络的 EWS 的 API。访问 EWS API 后，威胁者可以在 3 天内使用命令行与该组织的网络互动，包括收集敏感数据。正是在这一时期，APT 组织利用 Impacket 在系统中横向移动。CISA 的警报将 Impacket 定义为一个 "Python 工具箱，用于在另一个系统上以编程方式构建和操纵网络协议"。

目前 CISA 尚未确定这些团体是如何进入网络的。

分析

随着现代软件和基础设施对第三方资源的依赖，针对软件供应链的攻击正以每年 4-5 倍的速度增长，仅在 2021 年就发生了几千次。根据 Sonatype 2021 年的报告，29%的常用开源项目包含了已知的第三方库安全漏洞，足以可见安全漏洞存在的普遍性。开源