Ein Supply-Chain-Angriff ist ein Angriff, der über einen Lieferanten des eigentlichen Ziels läuft. Auf Deutsch heißt er Lieferkettenangriff.
- Supply-Chain-Angriff
Ein Angriff, der über einen Lieferanten des eigentlichen Ziels läuft.
Beispiel: „Der Supply-Chain-Angriff lief über eine Bibliothek, die in tausenden Projekten steckte.“Auch: Lieferkettenangriff, Supply-Chain-Attack. Betroffen sind Software, Dienstleister und Hardware gleichermaßen.
Abgrenzung zum unmittelbaren Angriff: Dort sucht jemand eine Lücke im eigenen System. Hier kommt der Schadcode durch die Vordertür, nämlich mit einer Aktualisierung.
Die drei Wege eines Supply-Chain-Angriffs
Über den Code, über den Zugang und über das Gerät. Beim Code wird eine Abhängigkeit unterwandert, etwa durch Übernahme eines verwaisten Projekts oder durch gestohlene Veröffentlichungsrechte. Beim Zugang wird ein Dienstleister angegriffen, der Fernzugriff auf die Systeme seiner Kunden hat. Beim Gerät wird etwas vor der Auslieferung verändert.
Warum diese Angriffe so wirksam sind
Weil sie Vertrauen ausnutzen, das technisch verankert ist. Eine Aktualisierung aus einer bekannten Quelle wird automatisch eingespielt, oft mit hohen Rechten und ohne dass jemand hinsieht; genau das soll sie ja. Dazu kommt die Hebelwirkung: Ein unterwandertes Paket erreicht mit einem Schlag jeden, der es einsetzt.
Was im eigenen Haus hilft
Vier Dinge, die alle unspektakulär sind. Eine Liste der eingesetzten Bestandteile, damit im Ernstfall die Frage „sind wir betroffen?“ in Minuten beantwortet ist. Feste Versionen statt automatisch nachgezogener. Prüfwerte für fremd geladene Dateien, siehe Subresource Integrity. Und eingeschränkte Rechte für Dienstleister, die von außen zugreifen.
Keiner dieser Punkte verhindert den Angriff; sie verkürzen die Zeit zwischen der Meldung und der eigenen Antwort. Genau darum geht es bei dieser Angriffsart, denn verhindern lässt sie sich im eigenen Haus nicht.