Карточка Middle Безопасность цепочки поставки обновлено
Известные атаки на цепочку поставки
Вопрос
Назовите 3-4 известные атаки на цепочку поставки и чему они учат.
Попробуйте сами
Ответьте про себя или вслух, потом откройте ответ и сверьтесь.
Показать ответ и разбор
Коротко
SolarWinds (2020): защищать сборочную систему. Codecov (2021): не выполнять скачанные скрипты без проверки. xz-utils (2024): доверие к мейнтейнерам не гарантия, нужны воспроизводимые сборки и проверка tarball против репозитория.
Ответ
SolarWinds (2020): защищать сборочную систему. Codecov (2021): не выполнять скачанные скрипты без проверки. xz-utils (2024): доверие к мейнтейнерам не гарантия, нужны воспроизводимые сборки и проверка tarball против репозитория. Подмена тегов GitHub Actions (2025): фиксировать сторонние actions по SHA.
Разбор
Не нужно помнить детали, важно связать атаку с конкретной мерой защиты.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.