The GitHub Blog
·
加强供应链安全：为下一次恶意软件攻击做好准备
💡
原文英文，约1200词，阅读约需5分钟。
📝
内容提要
开源生态系统面临组织化的供应链威胁，如Shai-Hulud攻击。攻击者利用被盗凭证和恶意脚本，迅速针对维护者的工作流程。建议维护者加强安全措施，关注凭证收集和安装过程，实施多重身份验证和定期审计，以防止未来攻击。
🎯
关键要点
-
开源生态系统面临组织化的供应链威胁，如Shai-Hulud攻击。
-
攻击者利用被盗凭证和恶意脚本，迅速针对维护者的工作流程。
-
Shai-Hulud攻击分为多个波次，第一波利用被盗的维护者账户注入恶意代码。
-
第二波Shai-Hulud 2.0升级了威胁，能够通过被盗凭证自我复制并传播。
-
攻击者通过被盗凭证获取初始立足点，收集更多秘密以扩大影响。
-
恶意脚本在安装时执行，且通常在运行时才显示行为。
-
攻击者针对受信任的命名空间和内部包名发布感染包。
-
快速迭代和工程化绕过防御措施表明这是一个有组织的攻击。
-
建议维护者加强出版模型和凭证流的安全性。
-
npm的安全路线图将加速，重点支持批量OIDC入驻和分阶段发布。
-
建议所有用户启用抗钓鱼的多重身份验证，并定期审计和撤销未使用的应用访问权限。
-
维护者应使用沙箱环境进行开发工作，以限制恶意软件的访问。
❓
延伸问答
Shai-Hulud攻击的主要特点是什么？
Shai-Hulud攻击具有多波次、利用被盗凭证、恶意脚本注入和针对维护者工作流程的特点。
维护者应该如何加强供应链安全？
维护者应实施多重身份验证、定期审计凭证流，并使用沙箱环境进行开发工作。
Shai-Hulud 2.0与第一波攻击有什么不同？
Shai-Hulud 2.0升级了威胁，能够自我复制并通过被盗凭证传播，且引入了更复杂的命令控制机制。
恶意软件是如何通过npm包传播的？
恶意软件通过在npm包中注入恶意代码，在安装时执行，从而感染用户的系统并窃取凭证。
npm的安全路线图有哪些重点？
npm的安全路线图重点包括批量OIDC入驻、扩展OIDC提供者支持和分阶段发布模型。
如何防止凭证被盗？
启用抗钓鱼的多重身份验证，定期审计和撤销未使用的应用访问权限，设置凭证的过期日期。
➡️
