Gartner发布了软件供应链安全手册，在未来三年内预计有80%的组织会受到软件供应链攻击

简介：
在软件工程领域快速发展的今天,软件供应链安全已成为全球企业不容忽视的重要挑战.基于Gartner的研究报告,预计到2028年时,全球有80%的企业将会遭受软件供应链攻击,这一数据较2024年的已知情况增长了48%.这一数据凸显出企业在整个软件生命周期中加强安全防护措施的重要性.在软件供应链体系中,无论是外部来源还是内部开发的代码,以及开发环境都可能遭到破坏.为了保障软件交付过程的安全性,软件工程团队必须采取一系列保护措施.这包括在CI/CD流程中实施安全控制,对敏感信息进行保护以及对代码和容器镜像进行签名验证等.此外,报告还指出了几个关键问题:公开的包管理器充斥着易受攻击的第三方组件;这些组件可能在关键价值流中被无意使用;敏感数据泄露或代码篡改的风险较高;未能执行最低权限策略可能导致攻击者轻易横向移动并造成更大威胁.为了应对上述威胁,Gartner提供了多项建议:企业需通过严格版本控制政策确保内码完整;建立可信内容工件存储库评估第三方组件的安全性;在整个交付周期中管理供应商风险以保护内码.同时,组织应配置CI/CD工具中的安全控制机制,对秘密信息进行保护并验证代码及容器镜像签名.此外,开发环境需采用最小权限和零信任的安全架构以确保安全性.