‏دفاع لایه‌لایه در برابر حملات زنجیره تأمین نرم‌افزار

از سپتامبر به این‌سو، چند حمله‌ی مهم زنجیره تأمین (supply chain) از طریق رجیستری npm رخ داده: Shai-Hulud، Chalk/Debug، یکی با سوءاستفاده از توکن‌های tea.xyz و اخیراً axios. AWS توی این مطلب بهترین روش‌ها رو برای سمت مصرف‌کننده‌ی پکیج جمع کرده تا بشه دامنه‌ی این تهدیدها رو محدود کرد.

حمله‌هایی مثل Shai-Hulud از دو جبهه سوءاستفاده می‌کنن: حساب نگه‌دارنده‌های (maintainer) پکیج که با فیشینگ به خطر افتاده و نسخه‌های مخرب منتشر می‌کنن، و محیط مصرف‌کننده‌هایی که اون پکیج‌ها رو دانلود و اجرا می‌کنن. وقتی Shai-Hulud توی محیط توسعه و pipelineهای CI/CD اجرا می‌شد، دنبال secretهایی مثل توکن npm، توکن GitHub و کلیدهای دسترسی IAM می‌گشت.