Supply Chain Attack (Attaque de la Chaîne d'Approvisionnement)
hackingDéfinition
Une attaque de la chaîne d'approvisionnement (supply chain attack) cible non pas directement une organisation, mais un de ses fournisseurs, prestataires ou composants logiciels pour atteindre indirectement la cible finale.
Description
Une attaque de la chaîne d'approvisionnement cible un fournisseur, un prestataire ou un composant logiciel pour atteindre indirectement une organisation. La compromission de SolarWinds ou de XZ Utils illustre l'impact potentiel sur des milliers d'organisations via un seul vecteur.
Exploitation
L'attaquant compromet un outil de build, un dépôt de packages (npm, PyPI) ou un fournisseur de mise à jour pour injecter du code malveillant. Les organisations font confiance implicitement à leurs fournisseurs, contournant leurs défenses périmètriques.
Défense
- Implémenter SBOM (Software Bill of Materials) pour inventorier et surveiller toutes les dépendances
- Vérifier les signatures cryptographiques des packages et binaires avant déploiement
- Appliquer le principe Zero Trust aux composants tiers : isoler, surveiller et valider chaque dépendance
Besoin d'un expert sur ce sujet ?
Audit, pentest, conformité ISO 27001, développement IA sécurisé — demandez un devis gratuit.
Demander un devis