Zusammenfassung
Supply-Chain-Angriffe auf Software-Lieferketten haben in den letzten Jahren dramatisch zugenommen. In dieser Analyse untersuchen wir 47 dokumentierte Vorfälle und identifizieren wiederkehrende Muster.
Methodik
Die Untersuchung basiert auf öffentlich dokumentierten Vorfällen aus den Jahren 2020–2024. Jeder Vorfall wurde anhand folgender Kriterien klassifiziert:
- Angriffsvektor: Wie wurde die Lieferkette kompromittiert?
- Auswirkung: Welche Systeme waren betroffen?
- Erkennung: Wie wurde der Angriff entdeckt?
- Behebung: Welche Maßnahmen wurden ergriffen?
Ergebnisse
Häufigste Angriffsvektoren
- Dependency Confusion — Ausnutzung der Namensauflösung in Paketmanagern
- Kompromittierte Maintainer-Konten — Übernahme legitimer Pakete
- Typosquatting — Pakete mit ähnlichen Namen wie populäre Bibliotheken
- Build-Pipeline-Manipulation — Direkte Manipulation von CI/CD-Konfigurationen
Verteidigungsstrategien
Effektive Gegenmaßnahmen umfassen:
- Pinning von Abhängigkeiten mit Hash-Verifizierung
- Regelmäßige Audits der Dependency-Kette
- Implementierung von SLSA-Frameworks
- Einsatz von Software Bill of Materials (SBOM)
Fazit
Die Analyse zeigt, dass ein mehrschichtiger Ansatz zur Absicherung der Software-Lieferkette notwendig ist. Einzelne Maßnahmen reichen nicht aus — erst die Kombination aus technischen Controls, organisatorischen Prozessen und automatisierten Prüfungen bietet effektiven Schutz.