Trusted Design
Adversaries may manipulate products or product delivery mechanisms prior to receipt by a final consumer for the purpose of data or system compromise.
Supply chain compromise can take place at any stage of the supply chain including:
While supply chain compromise can impact any component of hardware or software, adversaries looking to gain execution have often focused on malicious additions to legitimate software in software distribution or update channels.(Citation: Avast CCleaner3 2018)(Citation: Microsoft Dofoil 2018)(Citation: Command Five SK 2011) Adversaries may limit targeting to a desired victim set or distribute malicious software to a broad set of consumers but only follow up with specific victims.(Citation: Symantec Elderwood Sept 2012)(Citation: Avast CCleaner3 2018)(Citation: Command Five SK 2011) Popular open-source projects that are used as dependencies in many applications may also be targeted as a means to add malicious code to users of the dependency.(Citation: Trendmicro NPM Compromise)
In some cases, adversaries may conduct “second-order” supply chain compromises by leveraging the access gained from an initial supply chain compromise to further compromise a software component.(Citation: Krebs 3cx overview 2023) This may allow the threat actor to spread to even more victims.
T1195「Supply Chain Compromise」（サプライチェーンの妥協／侵害） は、ターゲットに到達する前の製品、サービス、または配信プロセスを改ざんすることで、組織内に侵入する手法です。 直接ターゲットを攻撃するのではなく、ターゲットが「信頼して利用しているもの」を汚染するため、検知が極めて困難な非常に強力な攻撃です。
この手法で攻撃者は、「信頼の連鎖を悪用した、広範囲かつ不可視の侵入」を実現します。
T1195は、改ざんの対象によって主に3つに分類されます。
開発者が利用するオープンソースのライブラリやパッケージマネージャー（npm, PyPIなど）に悪意のあるコードを混入させます。
* タイポスクワッティング: requests を requesst という名前で登録し、打ち間違いを狙ってインストールさせる。
ソフトウェアのソースコード、ビルド済みバイナリ、またはアップデート配布サーバーを直接侵害します。 * 例: 開発ツールのコンパイラを汚染し、ビルドされるすべてのソフトにバックドアが自動挿入されるようにする。
製造工程や配送途中で、マザーボードやネットワーク機器に物理的なチップや不正なファームウェアを仕込みます。
「信頼しているものも疑う」というゼロトラストの考え方が必要です。
サプライチェーン攻撃は特定の脆弱性というより、大規模な「インシデント」として記録されます。
現代のセキュリティ対策において、自社が利用している全てのソフトウェアのリスト（SBOM）を管理することは、このT1195に対抗するための最重要ステップの一つとされています。
この攻撃手法を利用する脅威アクターは登録されていません。