聚焦源代码安全，网罗国内外最新资讯！
专栏·供应链安全
数字化时代，软件无处不在。软件如同社会中的“虚拟人”，已经成为支撑社会正常运转的最基本元素之一，软件的安全性问题也正在成为当今社会的根本性、基础性问题。
随着软件产业的快速发展，软件供应链也越发复杂多元，复杂的软件供应链会引入一系列的安全问题，导致信息系统的整体安全防护难度越来越大。近年来，针对软件供应链的安全攻击事件一直呈快速增长态势，造成的危害也越来越严重。
为此，我们推出“供应链安全”栏目。本栏目汇聚供应链安全资讯，分析供应链安全风险，提供缓解建议，为供应链安全保驾护航。
注：以往发布的部分供应链安全相关内容，请见文末“推荐阅读”部分。
美国网络安全和基础设施安全局 (CISA) 正在调查数据分析公司 Sisense 公司数据安全事件，它也影响关键基础设施组织机构，或引发供应链攻击。
Sisense 是2004年在以色列成立、如今总部位于纽约市的一家美国商业情报软件公司。该公司在伦敦和特拉维夫都设有办事处。该SaaS平台声称使用“受AI驱动的分析能力”为超过2000多名客户提供服务，包括纳斯达克、ZoomInfo、Verizon 和加拿大航空公司等。
今天，CISA 表示该事件也影响位于美国的关键基础设施行业的组织机构，目前CISA正与私营行业的合作伙伴们评估其影响。CISA表示，“CISA正在与私营行业的合作伙伴们一道，响应由独立安全研究人员发现的针对数据分析服务商 Sisense的攻陷事件。CISA 积极与私营行业合作伙伴协同响应该事件，尤其该事件也与受影响的关键基础设施行业组织机构有关。我们将第一时间发布相关进展。”
是供应链攻击的理想目标
Keeper Security 公司的安全和架构副总裁 Patrick Tiquet 表示，Sisense 是威胁猎人发动高阶供应链攻击的理想目标。他提到，“攻击者可能会利用他们的访问权限，进一步渗透 Sisense 客户的联网网络，在供应链中产生涟漪效应。Sisense 的客户应当立即按照CISA的指南行动，并重置被暴露到或用于访问 Sisense 服务的凭据和机密信息。”
CISA 督促所有的 Sisense 客户重置任何部分暴露的或用于访问该公司平台和服务的凭据和机密。Sisense 公司的首席信息安全官 Sangram Dash 重申了CISA发送给客户并与调查记者 Brian Krebs 共享的信息中提到的建议。Dash表示，“出于谨慎考虑，在我们继续调查的同时，我们督促大家及时更新在 Sisense 应用中使用的任何凭据。”
Sectigo 的高级产品副总裁 Jason Soroko 表示，除了重置密码外，建议Sisense 客户查看API密码密钥。他提到，“虽然 Sisense 事件详情不明，然而我的建议是修改任何 Sisense 账号的密码，重置用于与 Sisense 有关的服务的API密钥，并关注4月5日以后的任何异常活动。”
另外，客户应当将涉及潜在被暴露凭据或越权访问 Sisense 服务器的任何可疑活动告知CISA。目前，CISA和Sisense 尚未透露更多详情。一年前，导致3CX 数据泄露的另外一起供应链攻击也影响多家关基组织机构，包括位于美国和欧洲的“负责生成和向电网提供能源的电力供应商”。
开源卫士试用地址：https://oss.qianxin.com
代码卫士试用地址：https://codesafe.qianxin.com
推荐阅读
英韩：Lazarus 黑客组织利用安全认证软件 0day 漏洞发动供应链攻击
Okta 支持系统遭攻陷，已有Cloudflare、1Password等三家客户受影响
Okta 结束Lapsus$ 供应链事件调查，称将加强第三方管控
MSI UEFI 签名密钥遭泄漏 恐引发“灾难性”供应链攻击
OilRig APT 组织或在中东地区发动更多 IT 供应链攻击
“木马源”攻击影响多数编程语言的编译器，将在软件供应链攻击中发挥巨大作用
GitHub 在 “tar” 和 npm CLI 中发现7个高危的代码执行漏洞
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
Npm 恶意包试图窃取 Discord 敏感信息和浏览器文件
微软“照片”应用Raw 格式图像编码器漏洞 (CVE-2021-24091)的技术分析
速修复！热门npm 库 netmask 被曝严重的软件供应链漏洞，已存在9年
SolarWinds 供应链事件后，美国考虑实施软件安全评级和标准机制
揭秘新的供应链攻击：一研究员靠它成功入侵微软、苹果等 35 家科技公司
开源OS FreeBSD 中 ftpd chroot 本地提权漏洞 (CVE-2020-7468) 的技术分析
集结30+漏洞 exploit，Gitpaste-12 蠕虫影响 Linux 和开源组件等
热门开源CI/CD解决方案 GoCD 中曝极严重漏洞，可被用于接管服务器并执行任意代码
GitKraken漏洞可用于盗取源代码，四大代码托管平台撤销SSH密钥
因服务器配置不当，热门直播平台 Twitch 的125GB 数据和源代码被泄露
适用于Kubernetes 的AWS IAM 验证器中存在漏洞，导致提权等攻击
PyPI 仓库中的恶意Python包将被盗AWS密钥发送至不安全的站点
热门PyPI 包 “ctx” 和 PHP库 “phpass” 长时间未更新遭劫持，用于窃取AWS密钥
原文链接
https://www.bleepingcomputer.com/news/security/cisa-says-sisense-hack-impacts-critical-infrastructure-orgs/
https://www.darkreading.com/threat-intelligence/sisense-breach-triggers-cisa-password-reset-advisory
题图：Pexels License
本文由奇安信编译，不代表奇安信观点。转载请注明“转自奇安信代码卫士 https://codesafe.qianxin.com”。
奇安信代码卫士 (codesafe)
国内首个专注于软件开发安全的产品线。
觉得不错，就点个 “在看” 或 "赞” 吧~
2146
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
